Comece pelos usos reais da sua equipe
Antes de redigir uma política, identifique como sua empresa utiliza IA. Inclua as soluções que ela desenvolve, os recursos de IA de seus fornecedores e as ferramentas que as pessoas usam para trabalhar. Converse com vendas, operações, tecnologia e recursos humanos: um contrato de software não conta toda a história.
Registre cada caso de uso com sua finalidade, responsável, usuários, fornecedor e tipos de dados utilizados. Diferencie uma ajuda para redigir um e-mail de um sistema que influencia decisões sobre pessoas. Esse inventário permite definir um escopo útil para o sistema de gestão.
Defina quem pode decidir e quando deve intervir
Todo uso de IA precisa de alguém responsável por sua finalidade e seus resultados. Defina quem autoriza novas ferramentas, quem avalia as mudanças e quem pode interromper determinado uso. A supervisão humana precisa de uma função concreta, informações suficientes e autoridade para agir.
Descreva os limites de uso com exemplos da sua operação: quais dados podem ser inseridos, quais resultados exigem revisão e quais situações precisam ser encaminhadas aos responsáveis. A equipe deve ter acesso a esses critérios no ambiente em que trabalha, e eles devem ser revistos quando o contexto mudar.
Avalie riscos e impactos com evidências
Analise o que pode dar errado e quem seria afetado. Considere erros, uso indevido de informações, dependência de fornecedores e efeitos sobre pessoas ou organizações, conforme cada caso. Nem todos os usos exigem o mesmo controle: a avaliação deve orientar prioridades e decisões.
Mantenha o registro da justificativa de cada decisão, do controle acordado e de seu responsável. Para um serviço de terceiros, solicite as informações necessárias para avaliar seu uso e registre as limitações do que recebeu. Uma aprovação sem evidências perde utilidade quando chega o momento de uma revisão.
Transforme o inventário em um sistema que você consiga manter
A ISO/IEC 42001:2023 estabelece requisitos para um sistema de gestão de IA. Sua implementação envolve conectar políticas, responsabilidades, avaliação de riscos e impactos, monitoramento e melhoria. O inventário é o começo; depois, é preciso verificar se as práticas acordadas são cumpridas e continuam adequadas.
Você pode integrar esses registros às suas ferramentas e compartilhar processos com a ISO 27001 e a ISO 9001. Se busca certificação, defina o escopo com sua equipe e o organismo independente escolhido. A certificação do sistema não substitui as avaliações técnicas nem a análise jurídica de cada uso.
Para levar à sua próxima reunião
Sua lista de preparação.
- Reúna os casos de uso de IA de todas as áreas incluídas no escopo.
- Defina um responsável para cada caso e cada aprovação.
- Identifique os dados, fornecedores e pessoas que podem ser afetadas.
- Registre riscos, impactos, controles e decisões com suas evidências.
- Defina como revisar mudanças, incidentes e resultados do sistema.
Este guia oferece orientação geral. O texto oficial da norma e o escopo da sua empresa determinam os requisitos aplicáveis.
Consultar a referência oficial na ISO
