Uma estrutura de governação comum pode reduzir o trabalho repetido, melhorar a consistência e ajudar as equipas a gerir os requisitos locais sem terem de recomeçar do zero de cada vez
Pontos-chave
- A Lei da UE sobre a IA pode servir como uma base prática para a governação global da IA, uma vez que traduz a supervisão da IA em classificação, requisitos, documentação e controlos ao longo do ciclo de vida.
- Um modelo comum reduz a duplicação de trabalho quando as equipas regionais avaliam sistemas de IA, fornecedores ou capacidades de IA integradas semelhantes.
- Os requisitos locais continuam a ser importantes. Devem ser geridos como camadas sobrepostas ao modelo partilhado, e não como sistemas de governação separados.
- O modelo operacional deve definir o inventário, a receção, a classificação de risco, o percurso de revisão, as provas de controlo, a responsabilidade, a elaboração de relatórios e os fatores que desencadeiam a atualização.
- A Archer pode ajudar a articular os requisitos globais de governação da IA com um fluxo de trabalho de GRC em tempo real que promova a responsabilização, a comprovação e a supervisão.
O que é um modelo global de governação da IA?
Um modelo global de governação da IA é a estrutura operacional comum que uma organização utiliza para gerir os sistemas de IA em diferentes países, unidades de negócio e domínios de risco — e a Lei da IA da UE proporciona a essa estrutura uma base prática e pronta para a regulamentação. O objetivo não é obrigar todas as jurisdições a adotarem um modelo europeu. O objetivo é evitar ter de recriar a mesma capacidade de governação sempre que é introduzida uma nova regulamentação.
Um modelo global de governação da IA é a estrutura operacional comum que uma organização utiliza para gerir os sistemas de IA em diferentes países, unidades de negócio, produtos e domínios de risco. Define a forma como a utilização da IA é identificada, classificada, analisada, controlada, documentada, monitorizada e comunicada.
A necessidade é de natureza prática. As equipas globais tentam frequentemente resolver o mesmo problema através de diferentes quadros normativos. A equipa da Europa baseia-se na Lei da IA da UE. As equipas dos EUA recorrem frequentemente à terminologia do NIST. As equipas de produto e de engenharia pretendem um processo de revisão que não mude completamente sempre que um novo mercado seja incluído no âmbito de aplicação. As equipas jurídicas e de conformidade necessitam de margem para a interpretação local.
Quando cada região cria o seu próprio processo, a organização fica com mais documentos, mais etapas de revisão e mais folhas de cálculo locais, mas não necessariamente com uma supervisão mais rigorosa. Casos de utilização semelhantes podem ser classificados de forma diferente. As provas podem ser armazenadas em formatos distintos. O histórico de decisões pode ser difícil de reutilizar. A resposta a incidentes pode ficar mais lenta devido à falta de clareza quanto à responsabilidade.
Um modelo mais eficaz começa com uma estrutura central de governação comum e acrescenta camadas locais sempre que a legislação, as regras do setor, as expectativas das entidades reguladoras ou as práticas de mercado assim o exijam. A Lei da IA da UE constitui um ponto de partida sólido, uma vez que proporciona às organizações uma forma estruturada de abordar o âmbito da IA, a classificação de riscos, as práticas proibidas, os requisitos de alto risco, a literacia, a documentação, a supervisão humana, a transparência e a gestão do ciclo de vida.
Por que razão a Lei da UE sobre a IA funciona como uma base inicial?
A Lei da IA da UE é útil como espinha dorsal da governação, pois traduz as mesmas questões a que todas as organizações têm de responder — quais as utilizações da IA que são proibidas, quais as que apresentam elevado risco, que controlos se aplicam e quem é responsável — num quadro estruturado e exequível com alcance global prático. Outros quadros, como o NIST AI RMF, a norma ISO/IEC 42001 e os princípios da OCDE, reforçam a mesma lógica central e podem ser integrados num único modelo operacional, em vez de serem geridos como projetos desconexos.
A Lei da IA da UE é útil como espinha dorsal da governação, pois proporciona às organizações um ponto de partida estruturado para as decisões que, de qualquer forma, terão de tomar. Quais são as utilizações da IA que estão proibidas? Quais são as utilizações de alto risco? Que controlos e registos são necessários? Quem deve compreender o sistema? Que informações têm de estar disponíveis quando uma entidade reguladora, um auditor ou um cliente solicitar provas?
A lei tem também alcance prático para as organizações globais. O artigo 2.º abrange prestadores de serviços, operadores, importadores, distribuidores, fabricantes de produtos, representantes autorizados e pessoas afetadas na União, podendo ser aplicada sempre que os resultados produzidos por um sistema de IA sejam utilizados na União [*1]. Isso significa que muitas organizações fora da Europa não podem considerar a lei como uma questão puramente regional.
O calendário de implementação transforma também este tema, que antes era uma questão política voltada para o futuro, numa questão relacionada com o modelo operacional. As disposições gerais, incluindo a literacia em IA e as proibições, entraram em vigor a 2 de fevereiro de 2025. As regras relativas à IA de uso geral passaram a ser aplicadas a partir de 2 de agosto de 2025, e a implementação mais ampla prossegue por fases até 2 de agosto de 2027 [*2].
A lei não é o único quadro regulamentar com o qual uma empresa se deve preocupar. O NIST AI RMF fornece uma estrutura voluntária de gestão de riscos organizada em torno dos pilares «Governar», «Mapear», «Medir» e «Gerir» [*5]. A norma ISO/IEC 42001 estabelece requisitos para a criação, manutenção e melhoria contínua de um sistema de gestão de IA [*4]. Os princípios da OCDE reforçam a IA fiável, os direitos humanos, os valores democráticos e a responsabilização [*6]. Na prática, estas estruturas podem ser integradas num único modelo operacional de governação, em vez de serem geridas como projetos desconexos.
Uma estrutura comum é valiosa porque as mesmas questões fundamentais surgem repetidamente em todos os quadros de referência: que sistema de IA existe, por que razão é utilizado, quem é o seu proprietário, que riscos acarreta, que controlos se aplicam, que evidências existem, o que mudou e quem é responsável pelas decisões.
Por que razão a governação regional fragmentada gera riscos e trabalho adicional?
A governação fragmentada da IA parece, muitas vezes, razoável à primeira vista — cada região desenvolve o que precisa e cada ação faz sentido isoladamente. O risco torna-se visível em grande escala quando sistemas de IA semelhantes são avaliados de forma diferente, as evidências são armazenadas em formatos incompatíveis e ninguém consegue mostrar rapidamente à direção qual é, de facto, a exposição da empresa.
A governação fragmentada da IA parece, muitas vezes, razoável à primeira vista. Uma região identifica um novo requisito e cria um processo local. Uma unidade de negócio elabora uma lista de verificação para revisão. Uma equipa de produto documenta os seus próprios controlos. Uma equipa de privacidade armazena a sua avaliação num local separado. Cada ação pode fazer sentido quando considerada isoladamente.
A falha torna-se evidente quando a empresa cresce. Uma região analisa uma ferramenta de análise de contratos baseada em IA. Outra região analisa uma ferramenta semelhante seis meses depois e começa do zero. Um fornecedor adiciona uma funcionalidade de IA a uma plataforma já utilizada a nível global, mas apenas uma equipa local se apercebe disso. Surge um problema com o modelo e ninguém consegue identificar rapidamente quais as unidades de negócio que utilizam capacidades semelhantes ou se a mesma falha de controlo existe noutros locais.
Isto não é apenas um problema de documentação. É um problema do modelo operacional. Quando o registo, a classificação, a aprovação, as provas e a elaboração de relatórios variam de região para região, a direção não consegue comparar facilmente os riscos em toda a empresa. A auditoria não pode basear-se num único modelo de provas. O departamento jurídico não consegue reutilizar análises anteriores de forma eficiente. As equipas de produto enfrentam revisões mais demoradas, sem necessariamente receberem orientações mais claras.
Um modelo de governação partilhada altera a sequência. Um caso de utilização entra numa via de admissão. É classificado utilizando um método comum. A classificação determina o encaminhamento para revisão, as expectativas de controlo, os requisitos de documentação e as condições de aprovação. As equipas locais acrescentam o que o seu mercado exige, mas a empresa mantém um registo reutilizável da decisão.
O que deve incluir a estrutura comum?
Uma estrutura de governação comum deve ser suficientemente flexível para funcionar de forma consistente e suficientemente robusta para dar resposta às necessidades em matéria de questões jurídicas, de risco, de privacidade, de segurança, de produto, de auditoria e de supervisão do conselho de administração. Não deve ser uma arquitetura de políticas teórica. Deve ser um fluxo de trabalho efetivo, com responsáveis, limiares, registos, pontos de revisão e relatórios — construído em torno de seis capacidades que transformam as expectativas regulamentares num processo repetível.
Uma estrutura de governação comum deve ser suficientemente flexível para funcionar de forma consistente e suficientemente robusta para dar resposta às necessidades nas áreas jurídica, de risco, de privacidade, de segurança, de produto, de auditoria e de supervisão do conselho de administração. Não deve ser uma arquitetura de políticas teórica. Deve ser um fluxo de trabalho operacional, com responsáveis, limites, registos, pontos de revisão e relatórios.
A estrutura central necessita, normalmente, de seis capacidades. Em primeiro lugar, um inventário de IA que registe sistemas, casos de utilização, fornecedores, funcionalidades de IA incorporadas, copilotos, agentes e pilotos. Em segundo lugar, um método de classificação de riscos que possa ser mapeado para a Lei da IA da UE e outros quadros regulamentares. Em terceiro lugar, um fluxo de trabalho de receção e análise que encaminhe as análises adequadas com base no nível de risco e na jurisdição. Em quarto lugar, um modelo de controlo e evidência que registe o que foi revisto, por que razão as decisões foram tomadas, quais os controlos aplicáveis e quais as exceções que permanecem em aberto. Em quinto lugar, uma atribuição clara de responsabilidades nas áreas de negócios, tecnologia, assuntos jurídicos, conformidade, privacidade, segurança e risco. Em sexto lugar, gatilhos de atualização para que o registo seja alterado quando o sistema, o fornecedor, os dados, o caso de utilização, a legislação ou as orientações forem alterados.
A escolha de conceção mais importante consiste em separar a base comum da sobreposição local. A base deve ser reutilizada em todos os mercados. A sobreposição deve refletir os requisitos de uma jurisdição, setor, entidade reguladora ou cliente para além da base.
| Elemento de governação | Estrutura comum | Sobreposição local |
| Inventário de IA | Um registo único de sistemas, casos de utilização, responsáveis, fornecedores, dados, regiões e estado. | Adicione campos específicos do mercado, referências a entidades reguladoras ou requisitos do setor. |
| Classificação de risco | Um método de classificação por níveis de risco que utiliza o caso de utilização, o impacto, a sensibilidade dos dados e os grupos afetados. | Mapeie categorias ou limiares locais sem alterar a lógica central de risco. |
| Fluxo de trabalho de revisão | Um único canal de receção e um processo de revisão para as equipas jurídica, de privacidade, de segurança, de risco e de produto. | Adicione as autorizações regionais sempre que a legislação, as orientações das entidades reguladoras ou as regras do setor assim o exijam. |
| Modelo de provas | Um conjunto de registos relativos à fundamentação, aos testes, aos controlos, à supervisão, às aprovações, às exceções e aos incidentes. | Adicione elementos de prova locais, tais como avisos, avaliações de impacto, documentos arquivados ou traduções. |
| Relatórios | Uma visão global da empresa para a liderança, a auditoria, o acompanhamento de questões e a supervisão do conselho de administração. | Adicionar análises de mercado relativas à gestão local, à resposta das entidades de supervisão e ao acompanhamento das medidas corretivas. |
Como devem funcionar as sobreposições locais?
As sobreposições locais não constituem exceções à governança — são adições controladas a um modelo comum. Essa distinção é importante. Uma sobreposição acrescenta um requisito porque o mercado assim o exige, e não porque ninguém tenha chegado a acordo quanto ao processo de base. Quando a disciplina é mantida, a camada de sobreposição torna o modelo mais útil, sem o substituir.
As sobreposições locais não constituem exceções à governação. São adições controladas a um modelo comum de governação. Essa distinção é importante. Uma sobreposição local deve acrescentar um requisito, um campo, uma revisão, uma aprovação, um documento ou uma perspetiva de relatório porque o mercado assim o exige. Não deve criar um processo paralelo, a menos que exista uma razão jurídica ou operacional sólida para tal.
Por exemplo, um sistema de IA para RH de elevado impacto pode necessitar de processos comuns de admissão, inventário, classificação de riscos, informações sobre modelos, informações sobre fornecedores, supervisão humana, provas de testes e acompanhamento de problemas. Uma sobreposição local pode acrescentar um requisito específico de notificação, a apreciação por parte do conselho de empresa, requisitos linguísticos, um campo de avaliação do impacto na privacidade, divulgação ao cliente ou um resumo de provas destinado às entidades reguladoras.
O modelo de sobreposição ajuda as organizações a avançarem mais rapidamente sem perderem o controlo. As equipas jurídicas regionais mantêm a autoridade para interpretar a legislação local. A GRC assegura a coerência do fluxo de trabalho, do modelo de provas e da visão empresarial. As equipas de negócios e de produto dispõem de um único caminho a seguir, em vez de um labirinto de governança diferente para cada país.
A parte mais difícil é a disciplina. As equipas têm de concordar que as adições locais devem ser documentadas, atribuídas a um responsável, revistas e atualizadas periodicamente. Caso contrário, a camada de sobreposição torna-se mais uma forma de fragmentação.
| Implicações para o planeamento: Tratar o modelo global de governação da IA como um modelo operacional controlado. Os complementos locais devem ter responsáveis, fundamentação, datas de entrada em vigor, ciclos de revisão e referências à legislação, às orientações das entidades reguladoras ou aos requisitos empresariais que os originaram. |
Quem deve ser o responsável pela estrutura central de governação?
A atribuição de responsabilidades é, muitas vezes, o obstáculo. Nenhuma função, por si só, consegue gerir a IA de forma eficaz, mas a empresa continua a precisar de um responsável que assuma a responsabilidade pelo modelo operacional — normalmente na área de GRC ou de gestão de risco empresarial, trabalhando em estreita colaboração com os departamentos jurídico, de privacidade, de segurança, de dados, de produto e com a liderança empresarial. O papel não consiste em aprovar todas as decisões da IA, mas sim em manter a coerência do sistema.
A responsabilidade é, muitas vezes, o obstáculo. As equipas jurídicas são responsáveis pela interpretação. As equipas de produto são responsáveis pelas decisões relativas ao produto. As equipas de segurança e privacidade são responsáveis por domínios de controlo específicos. As equipas de risco e conformidade são responsáveis pelas expectativas de governação. Os líderes empresariais são responsáveis pelos resultados. Nenhuma função, por si só, consegue governar a IA de forma eficaz.
A empresa continua a necessitar de um responsável pelo modelo operacional. Em muitas organizações, essa função recai naturalmente sobre a área de GRC ou de gestão de risco empresarial, que trabalha em estreita colaboração com os departamentos jurídico, de privacidade, de segurança, de dados, de produto, de compras, de auditoria interna e com a liderança empresarial. A razão é prática: a área de GRC é, normalmente, a que está mais próxima dos fluxos de trabalho, controlos, evidências, questões, políticas e relatórios.
O responsável pela governação não deve tentar aprovar todas as decisões da IA. A sua função consiste em garantir a coerência do sistema. Isso implica gerir o inventário, definir o método comum de avaliação de riscos, coordenar o fluxo de revisão, garantir a qualidade das evidências, gerir o mapeamento entre políticas e controlos, acompanhar problemas e exceções e proporcionar à liderança uma visão fiável da exposição à IA.
Os conselhos de administração e as comissões executivas não precisam de saber de todas as sugestões, todas as experiências ou todos os pormenores técnicos. Precisam de ter a certeza de que a utilização relevante da IA é visível, classificada, atribuída, controlada e atualizada à medida que os riscos se alteram.
Como construir a estrutura de base da governação? Seis passos para 2026
No âmbito do planeamento para 2026, os responsáveis pela gestão de riscos e conformidade devem considerar a estrutura de governação como parte integrante do ambiente de controlo da governação da IA — com um único inventário, um único método de classificação, um único fluxo de trabalho de receção, um modelo de evidência estruturado, sobreposições locais deliberadas e atualizações contínuas. O objetivo é a eficácia da governação, e não a conclusão da formação.
1.Comece por fazer um inventário de IA. Registe os sistemas internos, a IA de fornecedores, as funcionalidades SaaS incorporadas, os copilotos, os agentes, os pilotos e a IA «sombra» conhecida. Inclua o responsável pela área de negócio, a região, as categorias de dados, o caso de utilização, o fornecedor, o estado e a data de revisão.
2.Defina um método de classificação. Classifique os casos de utilização por nível de risco, impacto, sensibilidade dos dados, grupos afetados, necessidades de supervisão humana e jurisdição relevante. Torne o método suficientemente compreensível para que as equipas empresariais o possam utilizar.
3.Criar um fluxo de trabalho único para a receção e análise. Encaminhar as análises com base no nível de risco e no contexto. Envolver os departamentos jurídico, de privacidade, de segurança, de produto, de aquisições, de risco e de conformidade apenas quando a sua análise for relevante.
4.Elaborar o modelo de evidências. Definir os registos necessários para cada nível de risco: fundamentação da decisão, evidências de testes, mapeamento de controlos, garantia do fornecedor, supervisão humana, aprovações, exceções, incidentes e medidas corretivas.
5.Adicione sobreposições locais de forma deliberada. Documente cada adição local e mantenha-a associada ao mercado, à regulamentação, às regras do setor, às expectativas das autoridades de supervisão ou aos requisitos dos clientes que deram origem à mesma.
6.Atualizar o modelo continuamente. Iniciar uma reavaliação sempre que os sistemas de IA sofram alterações, os fornecedores lancem novas funcionalidades de IA, haja alterações na legislação ou nas orientações, surjam problemas ou a utilização empresarial se expanda para novos mercados.
Construir um modelo global de governação da IA com a Archer
A Archer ajuda as organizações a transformar a governação da IA de um conjunto de projetos regionais num modelo operacional de GRC integrado. A prioridade é reunir num único local o inventário de IA, a classificação de riscos, os requisitos de controlo, as evidências, a garantia dos fornecedores, as questões, as exceções e os relatórios.
Isto proporciona às equipas uma forma prática de utilizar a Lei da IA da UE como base inicial, sem deixar de cumprir os requisitos locais. Um caso de utilização pode ser registado uma única vez, classificado de forma consistente, encaminhado para os revisores adequados, associado a controlos, atribuído a responsáveis e acompanhado ao longo das alterações ao longo do seu ciclo de vida. É possível adicionar sobreposições locais sem perder a visão global da empresa.
Esta abordagem proporciona à liderança uma base mais sólida para a supervisão. Em vez de solicitar a cada região uma atualização separada, os líderes podem verificar onde existe uma utilização significativa da IA, qual o nível de risco que essa utilização acarreta, quais os controlos em vigor, quais as evidências existentes e o que requer atenção.
Saiba mais sobre o Archer AI Governance: https://www.archerirm.com/ai-governance
Saiba mais sobre as soluções GRC da Archer: https://www.archerirm.com/
Perguntas frequentes
Por que razão utilizar a Lei da UE sobre a IA como ponto de partida para a governação global da IA?
A Lei da IA da UE proporciona às organizações uma forma estruturada de classificar os sistemas de IA, identificar utilizações proibidas e de alto risco, definir os requisitos de documentação e articular a governação da IA com os controlos ao longo do ciclo de vida. Para as organizações globais, essa estrutura pode constituir uma base prática, mesmo quando os requisitos locais diferem.
Um modelo de governação global substitui a interpretação jurídica local?
Não. Um modelo global constitui a base comum. Os requisitos legais, regulamentares, setoriais e de supervisão locais devem ser geridos como camadas adicionais, para que a organização mantenha a coerência, respeitando simultaneamente as obrigações específicas de cada mercado.
De que forma o RMF de IA do NIST se enquadra nesta abordagem?
O RMF de IA do NIST pode ajudar a estruturar a gestão de riscos através das etapas «Governar», «Mapeia», «Medir» e «Gerir». Essas funções podem ser integradas no mesmo modelo operacional utilizado para a preparação para a Lei da IA da UE, especialmente no que diz respeito à responsabilização, ao mapeamento de riscos, à medição e ao tratamento de riscos.
De que forma a norma ISO/IEC 42001 se enquadra nesta abordagem?
A norma ISO/IEC 42001 apoia uma abordagem baseada num sistema de gestão da IA. Ajuda as organizações a estabelecer, manter e melhorar continuamente políticas, processos e estruturas de governação para uma utilização responsável da IA. Isso torna-a um complemento útil para uma estrutura global de governação da IA.
O que é que deveria ser comum a todos os mercados?
O inventário principal, o método de classificação de riscos, o processo de admissão, o modelo de evidências, a estrutura de responsabilidades, o processo de emissão e a lógica de relatórios devem ser comuns sempre que possível. Os requisitos locais devem adicionar campos, documentos, aprovações ou visualizações de relatórios apenas quando necessário.
De que forma é que o Archer pode apoiar um modelo global de governação da IA?
A Archer pode ajudar a integrar o inventário de IA, a avaliação, o mapeamento de controlos, a garantia de conformidade dos fornecedores, o fluxo de trabalho, o acompanhamento de problemas, as provas e a elaboração de relatórios num modelo estruturado de GRC. Isto permite assegurar tanto a consistência a nível empresarial como as sobreposições de governação locais.
Fontes
[*1] Serviço de Apoio da Lei sobre IA, Artigo 2.º: Âmbito de aplicação: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-2
[*2] Serviço de Apoio da Lei da IA, Cronograma para a implementação da Lei da IA da UE: https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act
[*3] Comissão Europeia, Perguntas e respostas sobre literacia em IA: https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
[*4] ISO, ISO/IEC 42001:2023 Tecnologias da informação – Inteligência artificial – Sistema de gestão: https://www.iso.org/standard/42001
[*5] NIST, Quadro de Gestão de Riscos da Inteligência Artificial 1.0: https://www.nist.gov/itl/ai-risk-management-framework
[*6] OCDE, Princípios da IA: https://oecd.ai/en/ai-principles
