A Inteligência Artificial está presente no atendimento ao cliente, na análise de documentos, no desenvolvimento de software, no recrutamento, na produção de conteúdo e em processos internos que, muitas vezes, sequer são identificados formalmente como aplicações de IA. Nesse cenário, a ISO 42001 surge como uma referência importante para estruturar a governança e estabelecer critérios para o uso responsável da tecnologia.
A adoção acelerada da IA traz ganhos evidentes de produtividade e eficiência. Mas também cria uma questão que não pode mais ser tratada apenas como um tema de tecnologia:
Como a empresa está governando o uso de Inteligência Artificial?
Para as organizações, além da certificação ISO/IEC 42001– primeira norma internacional voltada especificamente à implementação de um sistema de gestão de Inteligência Artificial- é necessário compreender o próprio ambiente de IA, identificar riscos e estabelecer uma estrutura de governança compatível com a realidade do negócio.
O problema começa quando a empresa não sabe onde está usando IA
Imagine uma organização que utiliza uma ferramenta de IA generativa para elaboração de documentos, uma solução integrada ao CRM para análise de clientes e uma plataforma de recrutamento que utiliza algoritmos para apoiar a seleção de candidatos.
Cada área pode ter contratado ou adotado essas soluções por motivos legítimos e com objetivos diferentes.
Mas quem responde por esses usos?
Quais dados estão sendo inseridos nas ferramentas? Existem informações pessoais ou confidenciais envolvidas? Os fornecedores possuem mecanismos adequados de segurança? Os resultados produzidos pela IA são revisados por uma pessoa? Há critérios para avaliar erros, vieses ou decisões inadequadas?
Sem uma visão consolidada, a empresa pode ter uma série de aplicações de IA funcionando simultaneamente sem uma política comum, sem responsabilidades claramente definidas e sem critérios uniformes de avaliação.
Esse cenário é um dos principais desafios da governança de IA: a tecnologia pode estar sendo adotada de forma descentralizada enquanto os riscos permanecem centralizados na organização.
Governança de IA não é apenas criar uma política
É comum associar conformidade à elaboração de documentos. Uma política corporativa de uso de Inteligência Artificial é importante, mas, sozinha, não resolve o problema.
Uma estrutura efetiva de governança precisa responder a questões mais amplas: quais aplicações de IA existem, para quais finalidades são utilizadas, quais riscos apresentam, quem é responsável por cada etapa e quais controles devem ser aplicados.
Isso envolve olhar para o ciclo de vida da IA e para o contexto em que ela está inserida.
Uma aplicação utilizada para resumir reuniões, por exemplo, não necessariamente apresenta o mesmo nível de risco de uma solução utilizada para apoiar decisões relacionadas a crédito, contratação, saúde ou gestão de pessoas.
O risco também está na finalidade, nos dados, no grau de autonomia e nas consequências de seu uso. É justamente essa perspectiva que torna a governança um tema estratégico para as organizações.
O que é a ISO 42001?
A ISO/IEC 42001 estabelece requisitos para a criação, implementação, manutenção e melhoria contínua de um Sistema de Gestão de Inteligência Artificial (AIMS).
A proposta é inserir a IA dentro de uma estrutura formal de gestão, permitindo que a organização estabeleça políticas, objetivos, processos e controles relacionados ao uso da tecnologia.
Na prática, a norma aborda aspectos como:
-definição de responsabilidades e papéis relacionados à IA;
-identificação e avaliação de riscos;
-estabelecimento de políticas e objetivos;
-implementação de controles;
-gestão do ciclo de vida dos sistemas de IA;
-avaliação e monitoramento do desempenho;
-gestão de fornecedores e terceiros;
-documentação e manutenção de evidências;
-melhoria contínua do sistema de gestão.
O ponto central é importante: a ISO/IEC 42001 trata de como a organização deve estruturar sua gestão sobre essas ferramentas.
ISO 42001 e LGPD: temas diferentes, mas relacionados
Para empresas brasileiras, a discussão sobre governança de IA também precisa considerar a legislação de proteção de dados.
Isso ocorre porque muitas aplicações de Inteligência Artificial dependem de grandes volumes de dados e podem envolver informações pessoais.
Nesse contexto, uma análise de governança pode precisar considerar aspectos como finalidade do tratamento, base legal, segurança da informação, transparência, direitos dos titulares e compartilhamento de dados com fornecedores.
Mas é importante não confundir os dois temas.
A LGPD não substitui a governança de IA, assim como a ISO/IEC 42001 não substitui a conformidade com a LGPD. São estruturas diferentes que podem se complementar dentro de uma estratégia mais ampla de gestão de riscos tecnológicos, jurídicos e regulatórios.
Por onde uma empresa deve começar?
Antes de buscar uma certificação ou desenvolver uma série de documentos, o primeiro passo é realizar um diagnóstico. A organização precisa entender o que já existe.
Isso significa mapear as aplicações de IA utilizadas internamente, inclusive aquelas incorporadas a sistemas e serviços de terceiros.
A partir desse inventário, é possível avaliar diferentes aspectos:
- Finalidade do uso: Para que a IA está sendo utilizada?A ferramenta apenas apoia uma atividade ou influencia diretamente uma decisão?
- Dados envolvidos: Quais informações são utilizadas pelo sistema?Existem dados pessoais, informações confidenciais, propriedade intelectual ou dados estratégicos?
- Nível de risco: O que pode acontecer se o sistema produzir um resultado incorreto?Qual seria o impacto financeiro, operacional, jurídico ou reputacional?
- Participação humana: Existe revisão ou supervisão humana?Em quais situações uma decisão produzida ou apoiada pela IA precisa ser questionada ou validada?
- Fornecedores: Quem desenvolveu ou fornece a solução?O contrato estabelece responsabilidades relacionadas a segurança, confidencialidade, tratamento de dados e incidentes?
- Controles existentes: A empresa já possui políticas, procedimentos, registros e mecanismos de monitoramento?Onde estão as principais lacunas?
Esse levantamento permite transformar um cenário difuso em uma visão estruturada da exposição da organização à Inteligência Artificial.
Da identificação dos riscos à estrutura de governança
Depois do diagnóstico, a empresa pode definir uma estratégia proporcional aos riscos identificados.Isso pode envolver a criação ou revisão de políticas internas, definição de responsabilidades, classificação de aplicações de IA, estabelecimento de critérios para aprovação de novas ferramentas, avaliação de fornecedores, controles relacionados a dados e mecanismos de monitoramento.
Também é importante estabelecer uma lógica de melhoria contínua.
A governança não termina quando uma ferramenta é aprovada ou quando uma política é publicada. Sistemas podem ser atualizados, modelos podem mudar, fornecedores podem alterar suas condições e novas aplicações podem surgir dentro da organização.
Como podemos apoiar sua empresa
A implementação de uma estrutura de Governança de IA exige uma análise que combine aspectos técnicos, jurídicos e organizacionais.
No BL Consultoria Digital, o trabalho parte do contexto específico de cada organização para identificar aplicações, avaliar riscos e estruturar os mecanismos necessários para uma gestão adequada da Inteligência Artificial.
A atuação pode envolver o diagnóstico do cenário atual, avaliação de riscos, estruturação de políticas e controles, análise de aspectos relacionados à proteção de dados e fornecedores e adequação aos requisitos aplicáveis da ISO/IEC 42001.
Entre em contato com os nossos especialistas e saiba como podemos auxiliar a sua empresa.
