Introdução: a IA tornou-se uma questão de governança
A inteligência artificial já não é um projeto secundário gerido pelo departamento de TI. Atualmente, as ferramentas de IA avaliam candidatos a vagas de emprego, aprovam crédito, elaboram relatórios financeiros e, cada vez mais, atuam de forma autónoma como agentes de IA. Cada uma destas utilizações cria novos riscos, desde decisões tendenciosas e fugas de dados até multas regulamentares e danos à reputação.
É por isso que a governança de IA se tornou a área de governança, risco e conformidade (GRC) com o crescimento mais rápido. Os conselhos de administração, os reguladores e os investidores esperam agora que as organizações demonstrem não só que utilizam IA, mas também que a controlam.
No entanto, a maioria das organizações não está preparada. O inquérito CFO Signals da Deloitte revelou que 59% dos diretores financeiros consideram que equilibrar a rapidez da IA com o risco é o seu principal desafio de governança. Este guia explica o que significa governança de IA, os regulamentos que a impulsionam, os riscos que as equipas de GRC devem gerir e as competências necessárias para liderar.
O que é governança de IA?
A governança de IA é o conjunto de políticas, funções, processos e controlos que asseguram que uma organização desenvolve e utiliza a IA de forma responsável, segura e em conformidade com a lei. Enquadra-se naturalmente nos três pilares de GRC:
|
Pilar de GRC |
O que significa para a IA |
|---|---|
|
Governança |
Supervisão pelo conselho de administração, estratégia de IA, definição clara de responsáveis e responsabilização por cada sistema de IA |
|
Gestão de riscos |
Identificação, avaliação e monitorização de riscos de IA, como enviesamentos, erros, segurança e exposição a terceiros |
|
Conformidade |
Cumprimento da legislação sobre IA, das regras de proteção de dados, dos regulamentos setoriais e das políticas internas |
Na prática, a governança da IA responde a perguntas simples, mas essenciais. Que sistemas de IA utilizamos? Quem é responsável por eles? O que pode correr mal? Quem verifica os resultados? E conseguimos comprovar tudo isto perante uma entidade reguladora ou um auditor?
As organizações com funções de GRC maduras partem em vantagem, porque a governança da IA assenta nas mesmas disciplinas: registos de riscos, controlos internos, políticas, auditoria e elaboração de relatórios.
A vaga regulatória: enquadramentos que todas as equipas de GRC devem conhecer
A regulamentação da IA está a passar dos princípios para regras vinculativas. Quatro enquadramentos definem atualmente a forma como as organizações em todo o mundo governam a IA.
Regulamento da UE sobre a IA
O Regulamento da União Europeia sobre Inteligência Artificial é a primeira legislação abrangente do mundo em matéria de IA. Classifica os sistemas de IA por nível de risco, desde práticas proibidas até utilizações de alto risco, como recrutamento, avaliação de crédito e infraestruturas críticas. As proibições relativas à IA de risco inaceitável e os deveres de literacia em IA são aplicáveis desde fevereiro de 2025. Com as alterações do Pacote Omnibus Digital, as obrigações aplicáveis aos sistemas autónomos de alto risco passam agora a vigorar a partir de 2 de dezembro de 2027, enquanto as regras de transparência para chatbots e conteúdos gerados por IA não foram adiadas. A legislação aplica-se a qualquer organização cuja IA afete pessoas na UE, incluindo empresas sediadas no Golfo.
ISO/IEC 42001
ISO/IEC 42001 é a primeira norma internacional certificável para um sistema de gestão de IA. Segue a mesma estrutura das normas ISO 27001 e ISO 9001, pelo que se integra facilmente nos sistemas de gestão existentes. A certificação está rapidamente a tornar-se uma forma de demonstrar uma utilização responsável da IA a clientes e entidades reguladoras.
Estrutura de Gestão de Riscos de IA do NIST
A estrutura norte-americana NIST AI RMF oferece uma estrutura voluntária e prática assente em quatro funções: governar, mapear, medir e gerir. Muitas equipas de risco utilizam-na como guia de trabalho.
Princípios da OCDE sobre IA e a abordagem dos EAU
Os Princípios da OCDE sobre IA estabelece a referência global para uma IA fiável, adotada por dezenas de países. Os EAU desenvolveram esta base através da sua estratégia nacional de IA e da carta para o desenvolvimento e a utilização da IA, e estão a implementar rapidamente a IA em toda a administração pública, elevando também o nível da governação no setor privado.
Os principais riscos da IA que as equipas de GRC devem gerir
A IA introduz riscos para os quais os controlos tradicionais nunca foram concebidos. Os mais significativos incluem:
- Preconceito e discriminação. Os modelos treinados com dados históricos podem tratar candidatos, clientes ou colaboradores de forma injusta.
- Resultados imprecisos. A IA pode produzir respostas convincentes, mas erradas, o que é perigoso na elaboração de relatórios financeiros, no trabalho jurídico ou na análise de riscos.
- Privacidade e fuga de dados. Os colaboradores podem introduzir dados confidenciais em ferramentas públicas de IA sem se aperceberem disso.
- Ameaças à cibersegurança. Os sistemas de IA podem ser manipulados através da injeção de instruções, de dados contaminados ou de fraudes possibilitadas por deepfakes.
- Risco de terceiros e fornecedores. Muitas capacidades de IA provêm de fornecedores externos cujos modelos e práticas de dados são difíceis de auditar.
- Risco de decisões autónomas. Os agentes de IA que atuam sem aprovação humana podem cometer erros dispendiosos em grande escala.
- «IA paralela». Funcionários que utilizam ferramentas de IA não aprovadas, sem qualquer política ou supervisão.
Cada um destes riscos deve constar do registo de riscos empresariais, com um responsável, controlos e monitorização claramente definidos, tal como qualquer outro risco significativo.
Criar um Quadro de Governação da IA: Passos Práticos
Não é necessário começar do zero. A maioria das organizações pode criar uma governação eficaz da IA alargando as suas estruturas de GRC existentes:
- Crie um inventário de IA. Enumere todos os sistemas de IA em utilização, incluindo as ferramentas integradas no software dos fornecedores, e identifique o responsável por cada um.
- Classifique por risco. Classifique os sistemas de acordo com o seu impacto nas pessoas, nas finanças e na conformidade, utilizando uma abordagem baseada no risco semelhante à da Lei da IA da UE.
- Atribua responsabilidades claras. Defina as funções do conselho de administração, da gestão de topo, das áreas de risco, conformidade e TI, bem como dos responsáveis pelas áreas de negócio. Muitas organizações estão agora a criar um comité de governação da IA.
- Elabore uma política de IA. Estabeleça regras para a utilização aceitável, o tratamento de dados, a supervisão humana e a aprovação de novas ferramentas de IA.
- Integre a IA na gestão de riscos empresariais. Adicione os riscos associados à IA ao registo de riscos, defina o apetite pelo risco e estabeleça indicadores-chave de risco.
- Implemente controlos e supervisão humana. Exija a revisão humana de decisões de elevado impacto e mantenha registos de auditoria dos resultados gerados pela IA.
- Teste, monitorize e audite. Verifique regularmente a exatidão, os vieses e os desvios dos modelos e inclua a IA nos planos de auditoria interna.
- Forme as suas equipas. A governação só funciona quando os colaboradores compreendem tanto a IA como as suas responsabilidades.
Alinhar estas etapas com a ISO/IEC 42001 ou o NIST AI RMF confere credibilidade internacional à sua estrutura.
As competências de que os profissionais de GRC precisam agora
A governação da IA está a criar uma nova procura por profissionais de GRC capazes de estabelecer uma ponte entre tecnologia, risco e regulamentação. As competências mais valiosas incluem:
- Literacia em IA: compreender como funcionam os modelos de IA e onde falham, sem necessidade de saber programar.
- Conhecimento regulamentar: interpretar o Regulamento da UE sobre Inteligência Artificial, as leis de proteção de dados e as regras setoriais.
- Avaliação de riscos: aplicar métodos de gestão de riscos empresariais a sistemas de IA.
- Conceção de controlos e auditoria: criar e testar controlos para a IA, incluindo a supervisão humana.
- Relatórios ao conselho de administração: explicar claramente os riscos da IA a diretores e executivos.
- Ética e discernimento: equilibrar a inovação com a equidade, a transparência e a responsabilização.
Para responsáveis pela conformidade, gestores de risco, auditores internos e secretários de sociedades, estas competências estão rapidamente a tornar-se essenciais, e não opcionais.
A 360 Leaders Training oferece uma gama completa de Cursos de Formação em Governação Corporativa, Risco e Conformidade (GRC) para profissionais que pretendem liderar nesta área. Os programas abrangem governação corporativa, gestão de riscos empresariais, conformidade, auditoria interna e riscos emergentes, como a IA, e são ministrados no Dubai e noutros locais internacionais.
Pronto para reforçar a governação da sua organização? Explore os nossos cursos de formação em GRC e desenvolva as competências necessárias para gerir hoje os riscos de amanhã.
Perguntas frequentes
O que é a governação da IA?
A governança de IA é o quadro de políticas, funções, processos e controlos que garante que a IA seja desenvolvida e utilizada de forma responsável, segura e em conformidade com as leis e os regulamentos.
Qual é a relação entre a governança de IA e a GRC?
A governança de IA amplia a governança, a gestão de riscos e a conformidade tradicionais. Acrescenta às estruturas de GRC existentes a supervisão da IA pelo conselho de administração, a gestão de riscos específicos da IA e a conformidade com os novos regulamentos relativos à IA.
O Regulamento da UE sobre a IA aplica-se às empresas nos EAU?
Sim, se os seus sistemas de IA forem colocados no mercado da UE ou se os respetivos resultados afetarem pessoas na UE. As empresas do Golfo com clientes, colaboradores ou parceiros europeus devem avaliar a sua exposição.
O que é a ISO/IEC 42001?
A ISO/IEC 42001 é a primeira norma internacional certificável para um sistema de gestão de IA. Ajuda as organizações a gerir os riscos da IA e a demonstrar a utilização responsável da IA perante clientes e entidades reguladoras.
Quais são os maiores riscos da IA para as organizações?
Os principais riscos são decisões tendenciosas, resultados imprecisos, fugas de dados, ameaças à cibersegurança, riscos associados a fornecedores, agentes autónomos de IA sem controlo e a utilização não autorizada de «IA sombra» pelos colaboradores.
Quem é responsável pela governança de IA numa organização?
O conselho de administração detém a responsabilidade máxima pela supervisão, enquanto a direção, as equipas de risco, conformidade, TI e auditoria interna, bem como os responsáveis pelas áreas de negócio, partilham a responsabilidade quotidiana. Muitas organizações nomeiam um comité de governança de IA.
Quem deve frequentar cursos de formação em GRC?
Responsáveis de conformidade, gestores de riscos, auditores internos, membros do conselho de administração, secretários de sociedades e gestores seniores responsáveis pela governação, pelos controlos ou pelos relatórios regulamentares.
