Como preparar a área de TI para a regulação de IA

Por que preparar a TI antes de a lei fechar

Porque o núcleo do que qualquer regulação de IA baseada em risco vai exigir é o mesmo, independentemente de qual regra entre em vigor primeiro: saber quais sistemas de IA você tem, quão arriscados são, quem responde por cada um e o que está documentado. A regulação avança em várias frentes ao mesmo tempo — no Brasil, com o marco legal em tramitação;^[1] no exterior, com regras que entram em vigor por etapas^[2] — e ninguém sabe ao certo qual valerá primeiro para cada empresa. A boa notícia é que não é preciso esperar para começar.

O que as regras têm em comum

As regulações de IA baseadas em risco convergem em quatro exigências centrais: inventário dos sistemas, classificação por nível de risco, atribuição de papéis e documentação do que cada sistema faz. É essa convergência que torna a preparação segura mesmo com a lei em aberto: ao construir esses quatro pilares, a empresa se prepara para o denominador comum das regras, não para uma versão específica que pode mudar. Preparar-se cedo é gestão de risco, não aposta jurídica.

Por que a LGPD já é meio caminho andado

Porque boa parte do que a regulação de IA vai pedir a empresa já faz para a LGPD. Mapeamento de dados, base para tratamento, avaliação de impacto e atribuição de responsáveis são práticas de governança de dados que se estendem naturalmente aos sistemas de IA. Em tom operacional, isso significa reaproveitar o inventário de dados e os processos de privacidade que já existem, em vez de começar do zero — a IA é uma nova camada sobre uma base que a maioria das empresas já construiu.

O que este playbook não é

Este é um roteiro operacional, não uma interpretação da lei. Ele descreve o que a TI faz na prática — inventariar, classificar, atribuir, documentar, logar — sem citar dispositivos legais, sem prometer conformidade e sem substituir a análise jurídica. A leitura da norma, a decisão sobre enquadramento e a validação de conformidade cabem à área jurídica e a assessoria especializada. O papel da TI é chegar com a casa organizada para que essa análise tenha em que se apoiar.

Inventário de sistemas de IA

O inventário de sistemas de IA é o pré-requisito de tudo: não se classifica nem se governa o que não se enxerga. Ele lista todo sistema que usa IA — desenvolvido internamente ou embutido em SaaS de terceiro — com finalidade, dados usados, grau de autonomia e área dona. É o primeiro passo do playbook porque todos os demais dependem dele: sem saber quais sistemas existem, não há como classificar risco, atribuir dono ou documentar.

Como fazer o inventário na prática

O inventário começa por uma varredura das áreas e dos sistemas em uso, registrando para cada um:

1. Nome do sistema e finalidade — o que ele faz e para qual processo.
2. Origem — desenvolvido internamente ou embutido em SaaS de terceiro.
3. Dados usados — que informações alimentam o sistema, com qual sensibilidade.
4. Grau de autonomia — se apenas sugere, se decide com revisão ou se decide sozinho.
5. Área dona — quem usa e responde pelo sistema no negócio.
6. Impacto sobre pessoas — se o sistema participa de decisões que afetam indivíduos.

A IA de fornecedor é a mais esquecida

O sistema de IA que a empresa mais deixa de fora do inventário é o que vem embutido em SaaS de terceiro. O CRM que faz scoring, a ferramenta de RH que tria currículos, o antifraude do meio de pagamento — todos usam IA, e todos costumam passar despercebidos porque a empresa "não desenvolveu" a IA. Mas a responsabilidade pelo uso não some porque a IA é de terceiro; por isso, o inventário precisa cobrir explicitamente a IA embutida, não só a construída em casa.

Classificação por nível de risco

A classificação por risco ordena os sistemas do inventário conforme a finalidade e o impacto potencial sobre pessoas, para dizer onde investir esforço de controle. Sistemas que participam de decisões sobre crédito, seleção de pessoas, saúde ou acesso a serviços tendem a ser de risco mais alto; um resumo de texto interno ou uma sugestão de resposta a e-mail, mais baixo. Classificar é o que evita tratar todos os sistemas com o mesmo peso — gastando controle onde não precisa e faltando onde importa.

O que torna um sistema de IA de alto risco

O principal critério é o impacto sobre pessoas. Quanto mais uma decisão automatizada afeta a vida de um indivíduo — se ele consegue crédito, se avança em um processo seletivo, se tem acesso a um serviço —, maior o risco e mais controle o sistema exige. Um sistema que só organiza informação interna, sem decidir sobre ninguém, é de risco baixo. Esse eixo — impacto sobre pessoas — é o que orienta a maioria das regras baseadas em risco e é o mais prático para a TI aplicar.

Como classificar sem virar exercício jurídico

A classificação operacional é uma triagem, não um enquadramento legal. A TI, junto com o negócio, olha cada sistema e responde: ele decide algo sobre pessoas? Que tipo de decisão? Qual o impacto se errar? Com isso, ordena os sistemas em faixas de risco — alto, médio, baixo — como orientação prática para priorizar. O enquadramento formal na categoria da lei, quando a regra exigir, é tarefa da área jurídica; a triagem operacional é o que a TI faz agora para saber por onde começar.

Papéis: dono e revisor humano

Cada sistema de IA precisa de dois papéis nomeados: um dono, que responde pelo uso do sistema, e um revisor humano, que supervisiona as decisões relevantes. Papel sem nome é papel de ninguém — é a atribuição concreta que torna a governança executável. Sem dono, ninguém responde quando o sistema é questionado; sem revisor, a supervisão humana vira uma promessa que ninguém cumpre na prática.

O que o dono do sistema responde

O dono responde pelo uso do sistema no negócio: para que ele serve, que decisões apoia e se continua adequado. É quem aciona a TI quando algo muda, quem participa da avaliação de impacto e quem responde perante a governança pela operação daquele sistema. Em empresas pequenas, o dono costuma acumular vários papéis; o importante é que exista um nome associado a cada sistema, e não uma responsabilidade difusa pela "IA da empresa".

O revisor humano e a supervisão efetiva

O revisor humano garante que decisões relevantes tenham supervisão real — e não um "aprovar" automático que só carimba o que a IA sugeriu. Supervisão efetiva significa que a pessoa tem informação, tempo e autoridade para discordar do sistema quando necessário. É um princípio que aparece em praticamente toda regra de IA, e a TI o implementa como funcionalidade: um passo de revisão no fluxo, com a decisão do humano registrada, não como um texto na política.

Documentação e logs de decisão

Documentar e registrar é o que permite explicar uma decisão depois e demonstrar controle a uma auditoria. Em tom operacional, é "guardar evidência do que o sistema fez": o que o sistema faz, com quais dados, quais limitações conhecidas, e um log das decisões automatizadas relevantes. Sem documentação, a empresa sabe que usa IA, mas não consegue provar como nem sob qual controle — e é exatamente essa prova que qualquer regulação vai cobrar.

O que documentar de cada sistema

A documentação técnica mínima de um sistema de IA descreve: o que ele faz e para qual finalidade, quais dados usa, como as decisões são tomadas em linhas gerais, quais são as limitações conhecidas e como o sistema é supervisionado. Não precisa ser um tratado — precisa ser suficiente para que alguém de fora entenda o sistema e para que a empresa consiga explicá-lo se questionada. A IA de fornecedor entra aqui com a documentação que o próprio fornecedor disponibiliza.

Por que manter logs das decisões

Os logs de decisão são a evidência de que o sistema operou como deveria. Registrar as decisões automatizadas relevantes — o que foi decidido, com base em quê, quando — é o que permite reconstruir uma decisão específica meses depois, seja para responder a um indivíduo afetado, seja para demonstrar controle a um auditor. É o mesmo princípio de trilha que a segurança e a privacidade já aplicam, estendido às decisões que a IA toma.

Transparência: avisar que é IA

Um princípio operacional recorrente é avisar quando a pessoa está interagindo com um sistema de IA. Isso aparece em praticamente toda regra e a TI implementa como funcionalidade — um aviso claro na interface, não uma cláusula escondida. Combinado com a supervisão humana, forma a dupla de princípios que a maioria das regulações compartilha: a pessoa sabe que está diante de uma IA e uma decisão relevante sobre ela pode ser revista por um humano.

Avaliação de impacto e fornecedores de IA

Para os sistemas classificados como de alto risco, o playbook pede uma avaliação de impacto antes de colocá-los em produção; e para a IA de terceiro, uma gestão de fornecedores que cobre informação e garantias. São os dois passos que fecham a prontidão: o primeiro olha para dentro (o que pode dar errado no sistema de alto risco), o segundo olha para fora (o que o fornecedor de IA oferece de garantia). Ambos se apoiam no inventário e na classificação já feitos.

O que é uma avaliação de impacto de IA

É uma análise estruturada, feita antes de o sistema entrar em produção, que responde: o que pode dar errado, quem é afetado e quais mitigações existem. Para os sistemas de alto risco, ela documenta os riscos identificados e as medidas para reduzi-los, e é revisada quando o sistema muda. É parenta próxima da avaliação de impacto que a LGPD já pede para tratamentos de dado de risco — outra razão pela qual a governança de dados existente é a base natural da prontidão para IA.

Gestão de fornecedores de IA

A responsabilidade pelo uso não some porque a IA é de terceiro — por isso o fornecedor precisa ser cobrado. Na prática, a TI exige do fornecedor informação sobre como o sistema funciona, que dados usa e que garantias oferece, e registra isso no inventário. Em portes maiores, isso vira due diligence na contratação, cláusulas com evidências no contrato e monitoramento contínuo; em portes menores, começa com perguntas básicas ao fornecedor e o registro das respostas.

O checklist de prontidão, na ordem

O roteiro completo, dimensionado ao mínimo viável de cada porte, é este:

1. Inventariar os sistemas de IA, próprios e de fornecedor.
2. Classificar por risco, olhando o impacto sobre pessoas.
3. Atribuir dono e revisor humano a cada sistema.
4. Documentar e logar o que cada sistema faz e decide.
5. Avaliar impacto nos sistemas de alto risco antes da produção.
6. Cobrar os fornecedores de IA por informação e garantias.