Por que razão a governação da IA começa por saber quais os sistemas existentes, quem são os seus proprietários e como são controlados
O que é um inventário de IA na governação da IA?
Um inventário de IA é o registo controlado dos sistemas de IA e das capacidades baseadas em IA utilizadas em toda a organização — registando o que cada sistema faz, quem é o seu responsável, quais os dados com que lida, quais os controlos aplicáveis e se está sujeito a regulamentação. Sem ele, a classificação de riscos, a conceção de controlos, o registo regulamentar e a prestação de contas ao conselho de administração assentam todos numa base frágil.
Um inventário de IA é o registo controlado dos sistemas de IA e das funcionalidades baseadas em IA utilizadas em toda a organização. Regista o que cada sistema faz, onde é utilizado, quais os dados com que interage, quem é o seu responsável, qual o nível de risco, quais os controlos aplicáveis e se está aprovado, em análise, em fase piloto, em correção ou fora de serviço.
O inventário não se limita aos modelos criados internamente. Deve incluir IA de fornecedores, funcionalidades SaaS incorporadas, copilotos, agentes, experiências e a utilização «oculta» de IA que as equipas de governação descobrem depois de a adoção já ter começado.
A questão prática colocada ao conselho de administração é simples: a administração consegue demonstrar onde a IA está a ser utilizada e se cada utilização relevante está devidamente regulamentada? Sem um inventário, a classificação de riscos, a conceção de controlos, a garantia dos fornecedores, o registo regulamentar e a prestação de contas ao conselho de administração assentam todos numa base frágil.
A Lei da IA da UE reforça esta necessidade, uma vez que os requisitos de registo e de informação para determinados sistemas de IA de alto risco dependem de registos precisos e atualizados. O artigo 49.º abrange o registo, e o Anexo VIII especifica as informações que devem ser apresentadas e mantidas relativamente aos sistemas de IA de alto risco em causa [*1]. A norma ISO/IEC 42001 e o NIST AI RMF reforçam a disciplina do sistema de gestão e da gestão de riscos no que diz respeito à governação da IA, ao controlo do ciclo de vida e às evidências [*4][*5].
A questão fundamental para a liderança é saber se a empresa consegue identificar, classificar, assumir a responsabilidade, controlar e explicar a utilização da IA antes que esta se torne um problema regulamentar, operacional ou de confiança.
Pontos-chave
- O inventário de IA está a tornar-se um registo fundamental de governação, e não uma simples lista administrativa de ferramentas.
- A supervisão do Conselho de Administração depende de uma visão atualizada da utilização relevante da IA, do nível de risco, da responsabilidade, dos controlos, das exceções e das questões pendentes.
- A IA do fornecedor e as funcionalidades SaaS incorporadas tornam os processos passivos de gestão de inventário pouco fiáveis, uma vez que as capacidades de IA podem ser introduzidas através de atualizações de rotina do produto.
- Um inventário justificável deve servir de base para o registo regulamentar, a gestão de riscos ao longo do ciclo de vida, as provas de controlo, a garantia dos fornecedores e a prestação de contas ao conselho de administração.
- A Archer pode ajudar a integrar o inventário de IA, a classificação de riscos, a conceção de controlos, os riscos de terceiros, o acompanhamento de questões e os relatórios de liderança num único modelo de governação.
Por que razão a questão do inventário da IA passou a fazer parte da ordem de trabalhos do Conselho?
O inventário da IA passou a ocupar um lugar de destaque na agenda de governação, uma vez que as pressões regulamentares, de supervisão e de garantia comercial convergem agora para o mesmo registo. A regulamentação faseada, a responsabilização do conselho de administração pela exposição significativa à IA e as crescentes exigências por parte de clientes, auditores e seguradoras exigem que a administração demonstre não só que a IA é utilizada, mas também que é devidamente regulada.
A questão da IA ganhou destaque na agenda de governação, uma vez que as pressões regulamentares, de supervisão e de garantia comercial apontam agora para o mesmo resultado.
A primeira pressão é de natureza regulamentar. A Lei da IA é aplicada por fases. O calendário oficial do Serviço de Apoio da Lei da IA indica que as disposições gerais, a literacia em IA, as proibições e as obrigações relativas à IA de uso geral já se encontram em vigor, enquanto outras obrigações serão implementadas gradualmente em datas posteriores [*2]. A regulamentação por fases não diminui a necessidade de disciplina no inventário. Pelo contrário, aumenta a necessidade de saber o que existe, como está classificado e que provas estão disponíveis.
A segunda pressão prende-se com a supervisão do conselho de administração. Os administradores não precisam de um registo de todas as instruções ou experiências. Precisam, sim, de uma visão fiável dos sistemas de IA relevantes, das utilizações sensíveis, das dependências de terceiros, das lacunas de controlo, dos incidentes, das exceções e das medidas corretivas. As implementações de IA desconhecidas são difíceis de justificar, uma vez que a administração não consegue explicar a exposição ao risco que não consegue identificar.
A terceira pressão prende-se com a garantia comercial. Clientes, parceiros, investidores, auditores e seguradoras questionam-se cada vez mais se a IA é gerida com a mesma disciplina aplicada à privacidade, à cibersegurança, à resiliência operacional e ao risco de terceiros. Um inventário atualizado proporciona à organização uma base factual para essas conversas.
| Implicações em termos de planeamento: Trate o inventário de IA como um registo regulamentado, com responsáveis, campos de dados mínimos, gatilhos de atualização, periodicidade de revisão, provas de controlo e relatórios ao conselho de administração. Não o trate como um exercício pontual numa folha de cálculo. |
O que deve incluir um inventário de IA a nível do conselho de administração?
Um inventário ao nível do conselho de administração tem de ser mais do que uma simples lista de ferramentas. Tem de associar cada sistema de IA ao contexto empresarial, ao risco, ao controlo e à responsabilização — indicando os responsáveis, o estado atual e uma resposta de controlo que reflita o que está realmente em jogo em cada caso de utilização, e não apenas o facto de o sistema existir.
A maioria das organizações começa por utilizar uma folha de cálculo. É um ponto de partida útil. Um inventário ao nível do conselho de administração tem de ser mais do que uma simples lista de ferramentas. Tem de associar cada sistema de IA ao contexto empresarial, ao risco, ao controlo e à responsabilização.
Um registo de governação deve incluir informações sobre o sistema, tais como nome, finalidade, utilizadores, fornecedor, versão do modelo, fluxo de trabalho e estado de implementação. Deve também incluir as categorias de dados, a utilização de dados pessoais, a exposição de dados sensíveis ou regulamentados, as dependências do modelo e se o sistema foi desenvolvido internamente, adquirido externamente, incorporado num produto de um fornecedor ou utilizado através de uma conta de colaborador.
A responsabilidade é igualmente importante. Cada sistema de IA relevante deve ter um responsável empresarial identificado, e não apenas um contacto técnico. As equipas técnicas podem gerir a plataforma, mas são as equipas empresariais que assumem a responsabilidade pelas consequências da forma como o sistema é utilizado.
A classificação de risco deve determinar o conjunto de controlos. Os sistemas que influenciam o emprego, o crédito, os cuidados de saúde, os direitos legais, a segurança, as decisões de conformidade, o tratamento dos clientes ou ações comerciais relevantes requerem uma supervisão mais rigorosa do que os sistemas de apoio à produtividade de baixo risco. O inventário deve tornar essas distinções visíveis e indicar a resposta de controlo associada a cada nível.
O estado deve estar atualizado. Os estados «Aprovado», «Em fase piloto», «Em análise», «Assinalado para correção», «Retirado» ou «Bloqueado» devem ser explicitados. Um inventário desatualizado transmite uma falsa sensação de segurança aos responsáveis, uma vez que mantém um registo sem garantir a supervisão.
Por que é que a IA dos fornecedores torna a gestão do inventário mais difícil?
Atualmente, as capacidades de IA entram na organização por vias que não foram concebidas para a governação da IA. Um fornecedor de SaaS pode lançar uma funcionalidade de IA generativa numa plataforma que a organização já utiliza, e uma equipa de negócios pode ativá-la durante a renovação sem que seja necessária uma decisão de aquisição separada — criando pontos cegos que as revisões periódicas de fornecedores e os processos passivos de inventário não conseguem detetar.
Atualmente, as capacidades de IA entram na organização por vias que não foram concebidas para a governação da IA. Um fornecedor de SaaS pode lançar uma funcionalidade de IA generativa numa plataforma que a organização já utiliza. Uma ferramenta de fluxo de trabalho pode adicionar funcionalidades de resumo, recomendação, classificação ou ação autónoma. Uma equipa empresarial pode ativar uma funcionalidade durante a renovação sem que seja necessária uma decisão separada de aquisição de IA.
Isso cria um ponto cego na gestão de riscos de terceiros. As avaliações periódicas de fornecedores, as notificações de alterações significativas, as verificações de renovação e os questionários de segurança devem incluir perguntas específicas sobre IA. O processo de avaliação deve indagar se o fornecedor adicionou funcionalidades de IA, que dados essas funcionalidades processam, se os dados dos clientes são utilizados para treino ou aperfeiçoamento, quais os fornecedores de modelos envolvidos, que registos são conservados, que tipo de supervisão humana existe e se o fornecedor pode apresentar provas de testes, monitorização e gestão de problemas.
O inventário deve também identificar o risco de concentração em IA. Se vários processos empresariais dependerem do mesmo fornecedor de modelos, da mesma plataforma SaaS ou da mesma arquitetura de agentes de IA, a organização precisa de compreender essa dependência operacional e contratual. Um conselho de administração não pode avaliar o risco de concentração se essa mesma dependência aparecer como registos desarticulados nos registos de aquisições, segurança e negócios.
O Shadow AI também deve constar no inventário. O objetivo não é legitimar uma utilização insegura. O objetivo é tornar a exposição visível para que possa ser bloqueada, corrigida, transferida para uma ferramenta aprovada ou gerida através de um processo formal de integração.
Que questões deve o inventário esclarecer para o Conselho de Administração?
Um inventário de IA torna-se relevante para o conselho de administração quando consegue responder às perguntas que a liderança irá colocar durante processos de supervisão, auditoria, análise de incidentes, planeamento orçamental ou preparação para o cumprimento de requisitos regulamentares. A utilidade do inventário depende das respostas que consegue fornecer sob pressão.
Um inventário de IA torna-se um tema a tratar pelo conselho de administração quando consegue responder às perguntas que a direção irá colocar durante os processos de supervisão, auditoria, análise de incidentes, planeamento orçamental ou preparação para o cumprimento da regulamentação.
| Pergunta do Conselho de Administração | Por que é importante | Provas de inventário |
| Onde é que estamos a utilizar a IA? | Mostra a adoção efetiva da IA nas unidades de negócio e nos fluxos de trabalho. | Nome do sistema, processo empresarial, utilizadores, estado e finalidade. |
| Que utilizações poderiam afetar as pessoas ou as decisões regulamentadas? | Distingue a utilização com baixo risco para fins de produtividade dos casos de utilização que possam necessitar de uma análise mais aprofundada. | Nível de risco, grupos afetados, contexto da decisão e estado da avaliação de impacto. |
| Quem é o responsável pelo sistema e quem o aprovou? | Promove a responsabilização quando surgem problemas ou quando uma revisão está atrasada. | Titular da empresa, registo de aprovação, revisor e data da revisão. |
| Que dados e fornecedores estão envolvidos? | Estabelece uma ligação entre a governação da IA e a privacidade, a segurança, o risco associado a terceiros e o risco de concentração. | Categorias de dados, fornecedor, modelo, modo de acesso, subcontratantes e contratos. |
| O que mudou ou requer uma intervenção? | Mantém o registo atualizado à medida que os modelos, os dados, os casos de utilização e os controlos se alteram. | Alterações de versão, problemas, exceções, incidentes, medidas corretivas e data da próxima revisão. |
De que forma o inventário está relacionado com o registo e as provas previstos na Lei da IA da UE?
Se um sistema de IA de alto risco for obrigatoriamente registado na base de dados da UE, a informação necessária não estará disponível no momento do registo — terá de ser obtida a partir do inventário interno. O trabalho de inventário é fundamental, pois serve de base à classificação, à documentação técnica, ao mapeamento de controlos, à recolha de provas e à apresentação de relatórios ao conselho de administração. As organizações que esperarem pelos prazos estabelecidos pelas autoridades de supervisão para elaborar o registo acabarão por fazê-lo sob pressão.
Caso um sistema de IA de alto risco relevante tenha de ser registado na base de dados da UE, a informação necessária não consta no momento do registo. Esta tem de provir do inventário interno. O artigo 49.º e o Anexo VIII referem-se a informações como os dados do fornecedor e do responsável pela implantação, a finalidade prevista, o estado do sistema, informações sobre conformidade e resumos das avaliações de impacto relevantes para os responsáveis pela implantação, quando aplicável [*1].
O calendário da Lei da IA está dividido em fases. As organizações devem evitar esperar por cada data de supervisão antes de elaborar o registo. O trabalho de inventário é fundamental, pois apoia a classificação, a gestão de riscos, a documentação técnica, o mapeamento de controlos, a recolha de provas e a apresentação de relatórios ao conselho de administração [*2].
A norma ISO/IEC 42001 especifica os requisitos para estabelecer, manter e melhorar continuamente um sistema de gestão da IA. Esse tipo de sistema de gestão depende de uma visão fiável dos sistemas de IA abrangidos pelo âmbito de aplicação [*4]. O RMF de IA do NIST organiza a gestão de riscos da IA em torno das funções de governança, mapeamento, medição e gestão. O inventário é especialmente importante para as funções de governança e mapeamento, uma vez que identifica os sistemas, o contexto, os intervenientes e os riscos que devem ser governados [*5].
Quando o inventário está incompleto, a cadeia de provas fica incompleta. Um relatório do conselho de administração, um documento apresentado à entidade reguladora, uma análise de fornecedores, um teste de controlo ou uma resposta a uma auditoria só podem ter a solidez dos registos em que se baseiam.
Como criar um inventário de IA pronto para apresentar ao conselho de administração? Cinco passos para 2026
No âmbito do planeamento para 2026, os responsáveis pela gestão de riscos e conformidade devem considerar o inventário de IA como parte integrante do ambiente de controlo da governação da IA. O objetivo é dispor de um registo credível que apoie a adoção responsável, a supervisão, a preparação para o cumprimento da regulamentação e a apresentação de provas defensáveis — não uma folha de cálculo preenchida, mas sim um registo de governação dinâmico que se mantenha atualizado à medida que os sistemas, os fornecedores e os riscos evoluem.
1. Realizar uma auditoria à pegada da IA. Identificar os sistemas de IA em todas as unidades de negócio, incluindo modelos desenvolvidos internamente, funcionalidades SaaS, copilotos, agentes, pilotos e IA oculta detetada através de relatórios de segurança, de aquisições ou de colaboradores.
2. Definir o modelo mínimo de dados. Chegar a acordo sobre os campos obrigatórios para cada registo de IA: finalidade, responsável, utilizadores, dados, fornecedor, modelo, nível de risco, controlos, estado, data de revisão, problemas e ligações para provas.
3. Classificar os riscos e atribuir controlos. Utilizar a classificação por níveis de risco para determinar as revisões necessárias, a supervisão humana, os testes, o registo, os controlos de dados, as medidas de transparência e os procedimentos de escalonamento.
4. Atualizar os processos relativos a fornecedores e alterações. Integrar as alterações nas capacidades de IA nas avaliações de terceiros, nas renovações, nas notificações de alterações significativas e nas verificações de atualizações de produtos.
5. Associar o inventário aos relatórios apresentados ao conselho de administração. Relatar a utilização de IA em materiais, sistemas de alto risco, lacunas de controlo, exceções, incidentes, risco de concentração e progresso das medidas corretivas, através do calendário de governação já utilizado pelo conselho de administração ou pela comissão de auditoria.
Estes passos transformam o inventário de um exercício de conformidade num registo operacional. Uma folha de cálculo preenchida pode responder a uma questão relativa a um momento específico. Um registo de governação dinâmico ajuda os líderes a gerir a IA à medida que a tecnologia, a base de fornecedores e o perfil de risco evoluem.
Criação do inventário de IA com o Archer
A Archer ajuda as organizações a transformar a gestão de inventário com IA de um mero exercício burocrático numa capacidade de governação estruturada. A prioridade é interligar sistemas de IA, responsáveis de negócios, terceiros, obrigações, riscos, controlos, aprovações, problemas, exceções e provas num único modelo operacional.
Isso significa manter um inventário de IA, avaliar os casos de utilização da IA, associar os riscos aos controlos e às obrigações, designar responsáveis, registar as aprovações, acompanhar os problemas e elaborar relatórios que mostrem onde a IA está a ser adotada e onde é necessário tomar medidas.
Um inventário sólido de IA não retarda a adoção responsável da IA. Proporciona aos colaboradores e às equipas empresariais um caminho mais claro para a utilização aprovada, ao mesmo tempo que oferece aos responsáveis pela governação uma base mais sólida para a supervisão. As organizações que gerirem bem os riscos da IA em 2026 não se basearão apenas em políticas e folhas de cálculo dispersas. Criarão um registo dinâmico que associe a utilização da IA à responsabilização, aos controlos e às provas.
Saiba mais sobre o Archer AI Governance: https://www.archerirm.com/ai-governance
Saiba mais sobre as soluções GRC da Archer: https://www.archerirm.com/
Perguntas frequentes
O que é um inventário de IA?
Um inventário de IA é um registo regulamentado dos sistemas de IA e das funcionalidades baseadas em IA utilizadas em toda a organização. Regista o que cada sistema faz, onde é utilizado, quais os dados com que interage, quem é o seu responsável, qual o nível de risco, quais os controlos aplicáveis e qual o seu estado atual.
Por que razão o conselho de administração precisa de um inventário de IA?
O conselho de administração necessita de uma visão fiável sobre a utilização significativa da IA, a exposição ao risco, a propriedade, as lacunas de controlo, as dependências em relação a fornecedores, os incidentes e as medidas corretivas. Sem um inventário, a administração não pode dar aos administradores uma resposta fiável sobre onde a IA está a ser utilizada ou como é gerida.
A IA incorporada nas ferramentas SaaS deve ser incluída?
Sim. A IA incorporada nas plataformas dos fornecedores deve ser incluída, uma vez que pode processar dados organizacionais, influenciar fluxos de trabalho, criar novas dependências ou alterar o perfil de risco de um sistema existente sem que seja necessário um processo de aquisição separado.
De que forma a Lei da UE sobre a IA se relaciona com o inventário de IA?
A Lei da IA da UE inclui requisitos de registo e informação para determinados sistemas de IA de alto risco. Os registos internos de inventário ajudam as organizações a identificar os sistemas abrangidos, a classificar o risco, a recolher as informações necessárias e a manter provas para efeitos de supervisão e revisão.
O que deve constar em cada registo de inventário da IA?
Cada registo deve incluir a finalidade do sistema, o proprietário, os utilizadores, as categorias de dados, os detalhes do fornecedor ou do modelo, a classificação de risco, os controlos, o estado de aprovação, a data de revisão, as questões pendentes, as exceções e as ligações para as provas.
Com que frequência deve ser atualizado um inventário de IA?
O inventário deve ser atualizado sempre que um sistema for introduzido, modificado, ampliado, retirado de serviço ou sofrer alterações significativas. Deve também ser revisto de acordo com uma periodicidade de governação definida, para que os registos desatualizados sejam identificados antes de criarem lacunas na supervisão.
De que forma é que o Archer pode apoiar a gestão do inventário com IA?
Fontes
[*1] Serviço de Apoio da Lei da IA, Artigo 49.º: Registo e requisitos de informação previstos no Anexo VIII: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-49 e https://ai-act-service-desk.ec.europa.eu/en/ai-act/annex-8
[*2] Serviço de Apoio da Lei da IA, Cronograma para a implementação da Lei da IA da UE: https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act
[*3] Comissão Europeia, Visão geral do quadro regulamentar da Lei da IA: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
[*4] ISO, ISO/IEC 42001 Sistema de Gestão de Inteligência Artificial: https://www.iso.org/standard/42001
[*5] NIST, Estrutura de Gestão de Riscos da Inteligência Artificial (AI RMF 1.0): https://www.nist.gov/itl/ai-risk-management-framework e https://nvlpubs.nist.gov/nistpubs/ai/nist.ai.100-1.pdf
[*6] Soluções Archer AI Governance e Archer GRC: https://www.archerirm.com/ai-governance e https://www.archerirm.com/
