Aula 7 · 22 min
Corrigir as falhas de hoje não basta: amanhã chega uma ferramenta nova. Governança é o conjunto pequeno de regras e rotinas que a empresa mantém sozinha. Para uma PME, ela cabe em 20 itens, tirados das referências que o mercado usa: NIST AI RMF, ISO/IEC 42001, AI Act e LGPD. Sem comitê, sem burocracia.
Começar a aula
Objetivo: montar o checklist de governança de 20 itens da empresa, com status, evidência, dono e prazo, ligado às referências NIST, ISO 42001, AI Act e LGPD.
Você não precisa implantar as quatro. Usa o que cada uma ensina. Clique em cada bloco.
Escopo: você recomenda a governança e mostra a evidência. Não emite certificado ISO nem diz se a empresa cumpre a lei.
Governança demais trava; de menos, não protege. O tamanho segue a matriz da aula 3.
Política de uso escrita, revisão humana do que sai para fora e registro de incidentes.
Ex.: corretor de texto em comunicado interno.
O que pode. O que não pode (dado de cliente em conta pessoal, por exemplo). A quem pedir ferramenta nova.
Tudo do baixo, mais dono nomeado, monitoramento com indicador e linha de base, e revisão do registro.
Ex.: painel que decide se o agente amplia para a cobrança.
F11: o painel começou no mesmo dia do agente. Sem o "antes", ninguém prova que ajudou.
Tudo do médio, mais aprovação humana obrigatória nas ações sensíveis, trilha de auditoria, casos de teste antes de mudar e avaliação jurídica.
Ex.: agente que cria pedido e dá desconto; integração que envia e-mail.
Agente Hora e assistente de e-mail: aprovação acima de R$ 5 mil, apagar nunca, registro revisado toda semana.
IA na sombra não se resolve proibindo: levante, avalie cada ferramenta, ofereça alternativa aprovada e publique a política.
Repita a pesquisa interna a cada trimestre.
F12: a extensão que lê e-mails e o app que grava visitas sem aviso entram no inventário e na política, com alternativa.
Status: sim · parcial · não · não verificado. Cada linha com evidência, dono e prazo.
CHECKLIST DE GOVERNANÇA DE IA · <empresa> · <data> · revisão: trimestral n;função NIST;item;referência;status;evidência;dono;prazo GOVERNAR 01;Governar;Política de uso de IA publicada (pode / não pode / a quem pedir);NIST Govern · ISO 42001 (política);;;; 02;Governar;Responsável por IA nomeado, com tempo reservado;NIST Govern · ISO 42001 (papéis);;;; 03;Governar;Todo item do inventário tem dono com nome;NIST Govern;;;; 04;Governar;Equipe recebeu letramento básico em IA (o que pode, riscos, como pedir ajuda);AI Act art. 4 (letramento);;;; 05;Governar;Ferramenta nova só entra depois de ficha de fornecedor e triagem;NIST Govern · ISO 42001;;;; 06;Governar;Revisão trimestral marcada na agenda da diretoria;ISO 42001 (análise crítica);;;; MAPEAR 07;Mapear;Inventário de IA atualizado, incluindo IA na sombra;NIST Map;;;; 08;Mapear;Mapa do dado para cada fluxo com dado pessoal;LGPD arts. 6º, 7º, 37;;;; 09;Mapear;Ficha de fornecedor para cada fornecedor e modelo;NIST Map · LGPD arts. 33-36;;;; 10;Mapear;Matriz de risco feita e com prazo por item;NIST Map · OWASP LLM/Agentic;;;; MEDIR 11;Medir;Linha de base registrada antes de ligar cada agente;NIST Measure;;;; 12;Medir;Indicador de resultado de negócio (não só volume);NIST Measure;;;; 13;Medir;Casos de teste rodados antes de mudar regras de agente;NIST Measure · OWASP Agentic;;;; 14;Medir;Registro de ações dos agentes revisado (frequência definida);NIST Measure · OWASP Agentic;;;; 15;Medir;Registro de falhas e incidentes de IA, com a menor correção;NIST Manage · ISO 42001;;;; GERENCIAR 16;Gerenciar;Dinheiro, exclusão e publicação exigem aprovação humana;OWASP LLM03 · ASI02;;;; 17;Gerenciar;Cada agente pode ser desligado em 1 minuto (testado);NIST Manage;;;; 18;Gerenciar;Segredos fora do código e limite de gasto nos provedores;OWASP LLM06;;;; 19;Gerenciar;Achados críticos e altos com dono e prazo, conferidos depois;NIST Manage;;;; 20;Gerenciar;Plano de quem chamar: segurança (incidente), jurídico (LGPD), fornecedor;NIST Manage · LGPD art. 48;;;;
Na empresa-laboratório. Falhas desta aula: F11 (painel sem linha de base) e F12 (IA na sombra, agora como política).
Com tudo o que você levantou nas aulas 2 a 6, preencha o checklist de 20 itens para a Horizonte Distribuidora. Use o painel de indicadores (indicadores.json) para os itens 11 e 12.
Pronto quando: os 20 itens têm status; todo "sim" tem evidência; todo "não" e "parcial" tem dono e prazo; F11 e F12 aparecem nos itens certos (11-12 e 01, 07).
Escreva a política de uso de IA da Horizonte: o que pode, o que não pode, a quem pedir ferramenta nova. Inclua as 4 ferramentas da sombra (F12) com a decisão para cada uma.
Pronto quando: a política cabe em uma página, não pune quem respondeu à pesquisa e diz o que fazer com cada uma das 4 ferramentas.
A explicação aparece depois da sua resposta.
Pergunta 1 de 4
Uma PME brasileira que só vende no Brasil precisa cumprir o AI Act?competência
Pergunta 2 de 4
A empresa quer a "certificação ISO 42001" no seu relatório. O que você responde?competência
Pergunta 3 de 4
O painel mostra pedidos subindo desde que o agente entrou. Isso prova que o agente ajudou?
Pergunta 4 de 4
Quantos itens o checklist da PME deve ter?
Escolha uma alternativa. A explicação aparece depois da sua tentativa.