Quando a responsabilidade pela governação da IA fica repartida entre os departamentos jurídico, de privacidade, de aquisições e de tecnologia, os riscos associados à IA acabam por passar despercebidos. E, na maioria das organizações atuais, é exatamente isso que está a acontecer.
A governação da IA não falha por causa do descuido das pessoas. Falha porque ninguém assume a responsabilidade por todo o processo, do início ao fim.
Quando uma nova ferramenta de IA é introduzida na organização, o processo de revisão tende a seguir um percurso familiar. A empresa seleciona a ferramenta. É lançado um projeto-piloto. Os dados internos são integrados. Os departamentos jurídico, de privacidade, de compras e de segurança analisam, cada um, a sua parte do quadro antes de o sistema entrar em funcionamento. À primeira vista, parece ser uma questão de governação. O que fica por responder é a questão mais importante: quem é responsável por garantir que este sistema está a ser utilizado de uma forma que a organização possa explicar, monitorizar e defender ao longo do tempo?
Assim que a IA estiver em uso ativo, o verdadeiro desafio já não é saber se alguém reviu um contrato ou aprovou uma política. O desafio passa a ser saber se a organização dispõe de um modelo eficaz de supervisão após a implementação, que abranja a forma como os sistemas são classificados, quais os controlos necessários, quem monitoriza o desempenho, como as questões são escaladas e quem responde quando algo corre mal.
Por que razão o GRC é o contexto ideal para a governação da IA
Há uma razão para o GRC ter sido concebido desta forma. Integrar o risco, os controlos, a conformidade e a prestação de contas num único modelo operacional em toda a empresa não é um subproduto desta função. É precisamente esse o objetivo. E é exatamente essa conceção que faz do GRC o âmbito ideal para a governação da IA.
Isto não é uma crítica ao departamento jurídico. O departamento jurídico é essencial. Interpreta obrigações, define limites e aconselha sobre a exposição a riscos. Mas interpretar as regras e pô-las em prática são duas tarefas diferentes. O departamento jurídico não está, normalmente, preparado para gerir um programa de supervisão contínua. Os fluxos de trabalho de receção, a classificação de riscos, o mapeamento de controlos, a verificação de evidências, a gestão de problemas e a apresentação de relatórios de risco ao conselho de administração são disciplinas de GRC, não do departamento jurídico.
Esta distinção está a tornar-se cada vez mais difícil de ignorar à medida que a pressão regulatória aumenta. A governação da IA está a passar da fase política para a fase operacional. Por exemplo, a Lei da IA da UE concretiza isto, e a sua relevância estende-se muito para além das organizações europeias. A sua estrutura reflete a lógica de um programa de GRC maduro: classificação de riscos, controlos documentados, monitorização contínua, gestão de incidentes e responsabilidades definidas. Estas não são tarefas jurídicas pontuais. São obrigações de gestão contínuas.
É aí que a governação da IA orientada pelo quadro jurídico tende a ficar aquém. Uma empresa pode ter uma política exaustiva, um memorando jurídico sólido e um conjunto completo de notas de revisão e, mesmo assim, ser incapaz de responder às questões operacionais que revelam se a governação existe realmente na prática:
- Que sistemas de IA estão atualmente a ser utilizados em toda a empresa?
- Como é que foram classificados e por quem?
- Que autorizações foram necessárias antes da implementação?
- Que dados foram recolhidos antes do lançamento?
- Quem está a monitorizar estes sistemas atualmente?
- O que acontece se o desempenho diminuir ou se o caso de utilização se alargar?
Se essas questões não tiverem respostas claras, a organização dispõe de documentação, mas não de governação.
Como é, na prática, um modelo de governação da IA orientado pelo GRC
Integrar a governação da IA no modelo de GRC existente não significa que o GRC funcione isoladamente. Significa que o GRC fornece a estrutura que liga as equipas jurídicas, de privacidade, de contratos, de segurança, de dados e de negócios num todo coerente. Sem essa estrutura, cada função vê apenas uma parte do risco, o ambiente de controlo permanece fragmentado e a responsabilização desaparece no momento em que uma ferramenta entra em funcionamento.
Na prática, para se chegar lá, é preciso começar por fazer bem algumas coisas fundamentais.
- Elabore um inventário completo dos sistemas de IA em utilização. Isso inclui não só os modelos desenvolvidos internamente, mas também as funcionalidades de IA integradas em plataformas de terceiros e em produtos SaaS.
- Classifique esses sistemas por nível de risco de uma forma clara e repetível. O objetivo não é criar uma teoria. O objetivo é garantir que a empresa saiba quais são os casos de utilização que necessitam de uma análise mais aprofundada, de controlos mais rigorosos e de um acompanhamento mais atento.
- Defina quem aprova o quê. As equipas empresariais precisam de um fluxo claro para a receção, revisão, escalonamento e aprovação final. Se a aprovação depender de conversas pontuais, o processo não se manterá.
- Estabelecer expectativas mínimas de controlo. Os testes, a supervisão, o registo, a análise dos fornecedores e a escalação de problemas não devem ser deixados à interpretação individual em cada ocasião.
- Integrar a supervisão da IA nos processos de GRC já existentes. O risco associado à IA deve ser incorporado na mesma estrutura mais ampla utilizada para a gestão de problemas, a garantia de controlo e a prestação de contas ao conselho de administração.
Do tema da conformidade ao risco empresarial
Quando a governação da IA é integrada no GRC, ocorre uma mudança importante para os conselhos de administração e a direção executiva: a IA deixa de ser vista como um tema restrito à conformidade e passa a ser gerida como parte do risco empresarial. É aí que ela deve estar. Os riscos são demasiado amplos e o impacto nos negócios demasiado real para que a supervisão da IA fique relegada a um processo secundário, sem um responsável claro.
As organizações não precisam de uma nova comissão com competências vagas. Precisam de uma função específica que possa gerir o processo, manter o modelo de evidências e garantir que a responsabilização não desapareça assim que uma ferramenta entrar em funcionamento. Essa função é a GRC, e o momento de atribuir essa responsabilidade é antes da próxima implementação, não após o primeiro incidente.
Como a Archer apoia a governação da IA
A Archer fornece às equipas de GRC as ferramentas necessárias para gerir o risco relacionado com a IA como uma disciplina operacional, e não como um mero requisito de conformidade. As equipas podem criar um inventário centralizado de IA, classificar os sistemas com base numa biblioteca de controlos alinhada com a Lei da UE sobre a IA e realizar avaliações de impacto em termos de privacidade e ética, tudo na mesma plataforma utilizada para a gestão do risco empresarial, a supervisão de terceiros e a apresentação de relatórios ao conselho de administração.
Saiba mais sobre a Archer AI Governance aqui: https://www.archerirm.com/ai-governance
Se a sua organização está pronta para passar da teoria à prática no que diz respeito à governação da IA, o Archer foi concebido para o ajudar a alcançar esse objetivo. Solicite uma demonstraçãoou contacte-nospara dar início ao processo.
Perguntas frequentes
Quem deve ser responsável pela governação da IA numa organização?
A governação da IA deve estar a cargo das equipas de Governação, Risco e Conformidade (GRC), uma vez que estas foram concebidas para articular a gestão de riscos, os requisitos de conformidade e os controlos operacionais em toda a empresa. Embora os departamentos jurídico, de privacidade, de segurança e de TI desempenhem todos papéis importantes, o GRC proporciona a estrutura centralizada necessária para garantir uma supervisão consistente, a responsabilização e a gestão do ciclo de vida dos sistemas de IA.
Por que razão os departamentos jurídico ou de TI, por si só, não são suficientes para a governação da IA?
As equipas jurídicas e de TI são colaboradores essenciais, mas não foram concebidas para gerir a supervisão contínua dos sistemas de IA. A equipa jurídica centra-se na interpretação da regulamentação e no risco contratual, enquanto a equipa de TI se concentra na implementação e na infraestrutura. A governação da IA requer monitorização contínua, classificação de riscos, validação de controlos e elaboração de relatórios — funções que são fundamentais para os modelos operacionais de GRC, em vez de departamentos isolados.
Que riscos surgem quando a governação da IA não tem um único responsável?
Sem um modelo de responsabilidade claro, a governação da IA fica fragmentada entre os departamentos, o que leva a aprovações inconsistentes, visibilidade limitada dos sistemas de IA implementados e responsabilização pouco clara quando surgem problemas. Isto aumenta a exposição a violações regulamentares, ao risco operacional e a questões éticas, especialmente à medida que as ferramentas de IA se expandem por todas as funções empresariais sem uma supervisão centralizada.
