Aula 3 · 22 min
A auditoria de IA é o serviço mais eficaz para entrar numa empresa que nunca ouviu falar de você. O cliente sai com um documento que guarda, mostra ao sócio e usa para decidir: o que a empresa já usa de IA, que riscos isso traz e o que fazer nos próximos 30 dias. E ela começa antes da primeira pergunta, com autorização por escrito.
Começar a aula
Objetivo: conduzir uma auditoria de IA com autorização escrita, inventário de apps e agentes, riscos e relatório com plano de 30 dias.
Um combinado e quatro passos, sempre nesta ordem. Clique em cada um.
A auditoria não termina em si: ela gera as vendas seguintes, a correção e o treinamento.
O que fazer e o erro comum em cada um.
Rode o prompt de pesquisa com o nome da empresa numa variável: troca uma linha e reaproveita o texto dezenas de vezes.
Procure as marcações de suposição. Se não houver nenhuma, o modelo está apresentando palpite como fato.
A TI lista o que comprou. Os funcionários usam extensões, chatbots na conta pessoal e apps de gravação que ninguém aprovou: é a IA na sombra.
Uma pesquisa interna curta ("como você usa tecnologia no trabalho?") revela o que a lista oficial esconde.
Use formulário só quando o cliente veio até você. Se foi você que procurou, pedir dever de casa antes de provar valor derruba a conversa.
Dados: cadastro de cliente em planilha aberta ou indo para fornecedor sem contrato. Permissões: agente que envia, apaga ou dá desconto sem aprovação. Chaves: senha ou chave de acesso visível no código ou compartilhada.
Cada correção rascunhada diz o que ficaria manual. "Nada, tudo automatizado" é fantasia.
Com a estrutura de 7 partes, você responde por e-mail o "e o que eu recebo no fim?".
Escreva ditando: fale o que concluiu, transcreva e peça ao assistente para estruturar. A sua opinião de verdade fica no texto.
O termo vai antes de tudo. O prompt você roda antes da reunião. O inventário e o relatório você preenche durante e depois.
TERMO DE ESCOPO E AUTORIZAÇÃO · AUDITORIA DE IA Empresa: <razão social> Data: <dd/mm/aaaa> Quem autoriza: <nome, cargo> Auditor(a): <seu nome> O QUE É: avaliação e triagem de riscos de IA. NÃO É: pentest, nem resposta a incidente, nem parecer jurídico. O QUE EU VOU OLHAR - Inventário de apps, agentes, integrações e ferramentas de IA em uso - Que dados cada um acessa e para onde envia - Permissões: o que cada um pode fazer sozinho - Onde ficam chaves e senhas de acesso (sem copiá-las) O QUE EU NÃO VOU FAZER - Tentar invadir, testar ataque ou derrubar qualquer sistema - Copiar, guardar ou levar dados de clientes ou funcionários - Alterar configuração sem pedido escrito ACESSO: <telas, documentos, pessoas que vou entrevistar> PERÍODO: de <data> a <data> ENTREGA: relatório com inventário, riscos e plano de 30 dias Assinatura de quem autoriza: ______________________
Você é um auditor de IA preparando a primeira reunião com uma empresa. EMPRESA = <nome da empresa> SITE = <endereço do site> SETOR = <setor, se você souber> Pesquise na web e devolva, nesta ordem: 1. RETRATO: o que a EMPRESA vende, para quem, porte aparente, como capta clientes. 2. ONDE JÁ HÁ IA OU AUTOMAÇÃO VISÍVEL: robô no site ou no WhatsApp, formulários, app de pedidos, área do cliente. Diga onde você viu. 3. HIPÓTESES DE DOR: 6 processos que empresas deste tipo fazem à mão. 4. HIPÓTESES DE RISCO: para cada item do passo 2, que dado ele provavelmente acessa e o que poderia fazer sozinho. 5. PERGUNTAS PARA A REUNIÃO: as 10 que só o dono pode responder e que mudariam as suas conclusões. Marque com [SUPOSIÇÃO] tudo o que você inferiu sem fonte. Não invente número. Não tente acessar áreas restritas: só o que é público.
INVENTÁRIO DE IA · <empresa> · <data> | item | para quê | quem usa | dados que acessa | pode fazer sozinho | onde fica a chave | dono | oficial? | |------|----------|----------|------------------|--------------------|-------------------|------|----------| | <ex.: agente de WhatsApp> | <vendas> | <atendimento> | <conversas, cadastro> | <criar pedido, desconto> | <painel do fornecedor> | <nome> | sim | | <ex.: extensão de resumo de e-mail> | | | | | | | não (na sombra) | RISCOS (um por linha, com evidência) - DADOS: <o que sai, para onde, onde você viu> - PERMISSÕES: <o que age sem aprovação, onde você viu> - CHAVES: <onde estão expostas ou compartilhadas, onde você viu>
RELATÓRIO DE AUDITORIA DE IA · <empresa> · <data> 1. OBJETIVOS E ESCOPO O que a empresa considera prioridade, nas palavras dela. Avaliação e triagem de riscos de IA; não é pentest, nem resposta a incidente, nem parecer jurídico. 2. INVENTÁRIO: apps, agentes, integrações e IA na sombra, com dono. 3. SISTEMAS E DADOS: o que tem porta de integração, o que não tem, onde o dado está bagunçado. 4. RISCOS COM EVIDÊNCIA: dados, permissões e chaves, do mais grave ao menos grave. 5. PRONTIDÃO DO TIME: quanto a equipe está aberta a mudar. 6. CORREÇÕES E OPORTUNIDADES PRIORIZADAS: retorno sobre esforço, com a conta aberta e o que fica manual. 7. PLANO DE 30 DIAS E PRÓXIMOS PASSOS Semana 1: <vitória rápida> Semana 2: <...> Semana 3: <...> Semana 4: <...> Depois (60 e 90 dias): <o que vem> Sessão de retorno de 30 min: <data>
A auditoria também é o seu filtro. E a honestidade é o que fecha.
Mesma informação escrita de cinco jeitos, cadastro duplicado, campo que ninguém sabe explicar.
Venda primeiro o serviço de organizar o dado: menos glamouroso, mais garantido.
Diga quanto custa o contorno. Se o cliente não aceitar, recuse: acesso travado consome semanas sem culpa sua.
A equipe evita detalhar como trabalha, com medo de ser substituída, ou ninguém abaixo do dono foi avisado.
Proponha treinamento antes de automação: quem aprendeu a usar para de sabotar.
Você ainda não gera reuniões sozinho? A auditoria gratuita é a sua entrada e o seu treino. Já tem processo repetível e o cliente veio até você? Cobre.
No fim, eduque sem prender: diga em que pontos esse tipo de projeto costuma dar errado, mesmo que ele execute com outra pessoa.
Se vocês executarem esse plano com outra empresa, tudo bem. Prestem atenção nestes cinco pontos: é onde esse tipo de projeto costuma dar errado.
A Horizonte é uma empresa fictícia de 40 pessoas, com peças de IA de estudo. Tudo lá é falso e proposital.
Preencha o termo de escopo e autorização para a Horizonte, com o dono (Carlos Mendes) como quem autoriza. Depois leia em voz alta a frase do que a auditoria não é.
Pronto quando: o termo tem quem autoriza, o que você vai olhar, o que não vai fazer, período e entrega, e a frase "não é pentest, nem resposta a incidente, nem parecer jurídico" está escrita e foi dita em voz alta.
Abra o inventário de TI e as peças do laboratório. Monte o inventário com o modelo, incluindo as ferramentas que aparecem só na pesquisa interna. Nomeie um risco de dados, um de permissões e um de chaves, cada um com onde você viu. Feche com o plano de 30 dias.
Pronto quando: o inventário tem cada peça com dono e a marca oficial/na sombra; há 3 riscos (dados, permissões, chaves) com evidência; e o plano de 30 dias tem uma tarefa por semana. Achar todas as falhas plantadas fica para a formação Auditor.
Laboratório: Horizonte Distribuidora · Inventário de TI
5 perguntas. A explicação aparece depois da sua tentativa.
Pergunta 1 de 5
O dono da empresa diz "pode olhar tudo, fica à vontade" ao telefone. O que você faz antes de abrir qualquer sistema?
Pergunta 2 de 5
A lista oficial da TI tem 8 ferramentas. Por que o inventário não para nela?
Pergunta 3 de 5
Um agente cria pedidos e concede desconto sem ninguém aprovar. Em qual dos três riscos isso entra primeiro?
Pergunta 4 de 5
Na reunião de auditoria, o que mais diferencia você?
Pergunta 5 de 5
Os dados do cliente estão em cinco planilhas com o mesmo campo escrito de jeitos diferentes. O que vem primeiro no plano de 30 dias?
Escolha uma alternativa. A explicação aparece depois da sua tentativa.