3.1 — Estruturas de Governança para IA: Regulamentos, Papéis e Responsabilidades (AI Governance)

INACEITÁVEL (proibido):

- Manipulação subliminar (ex: IA que afeta comportamento sem consciência do usuário)

- Pontuação social pelo Estado

- Reconhecimento facial em tempo real em espaços públicos (com exceções)



ALTO RISCO (regulado):

- Crédito, seguros, emprego

- Infraestrutura crítica

- Educação, saúde

- Sistema de justiça

→ Obrigações: análise de risco, dados documentados, supervisão humana, transparência



RISCO LIMITADO (transparência):

- Chatbots, deepfakes

→ Obrigação: informar que é IA



RISCO MÍNIMO (livre):

- Filtros de spam, recomendações de conteúdo não crítico

→ Sem obrigações adicionais

GOVERN: estabelecer cultura, políticas e processos para IA responsável

  - Quem tem autoridade para aprovar novos sistemas de IA?

  - Qual é o processo de revisão de impacto antes do deploy?



MAP: identificar contexto, riscos e stakeholders

  - Quem é afetado pelo sistema?

  - Quais dados são usados e de onde vêm?



MEASURE: métricas de risco e desempenho

  - Qual é a taxa de erro aceitável?

  - Como detectamos degradação de qualidade?



MANAGE: resposta a riscos e incidentes

  - O que fazemos quando o sistema erra?

  - Como revertemos um deploy problemático?

"O titular dos dados tem direito a solicitar revisão de decisões tomadas

unicamente com base em tratamento automatizado de dados pessoais que afetem

seus interesses, inclusive as destinadas a definir seu perfil pessoal,

profissional, de consumo e de crédito."



Impacto prático:

- Sistema de concessão de crédito automatizado → precisa de canal para revisão humana

- Sistema de filtragem de currículos por ML → candidatos rejeitados têm direito à revisão

- Chatbot que bloqueia acesso a serviços → precisa de escalação para humano

Product Manager: define o que o sistema decide e o nível de autonomia

Tech Lead / ML Engineer: implementa guardrails técnicos e audit trail

Legal/Compliance: valida conformidade regulatória antes do deploy

DPO (Data Protection Officer): obrigatório para sistemas de alto risco

Ethics Reviewer: avalia impacto em grupos vulneráveis (pode ser externo)

Operations: monitora qualidade em produção e gerencia incidentes

EU AI Act - linha do tempo:

- Fev 2025: sistemas de risco inaceitável proibidos

- Ago 2025: modelos de uso geral (GPT, Claude, etc.) com obrigações de transparência

- Ago 2026: sistemas de alto risco com conformidade obrigatória



LGPD: já em vigor desde Set 2020 → sistemas existentes precisam de revisão

Sistema: "Modelo de ML que decide se uma solicitação de limite de crédito é aprovada"



EU AI Act: ALTO RISCO (serviços financeiros que afetam acesso a crédito)

LGPD: Sim (decisão automatizada com dados pessoais → Art. 20 aplicável)

NIST AI RMF: MAP necessário → quem são os afetados? (pessoas com score baixo)



Obrigações:

1. Canal de contestação/revisão humana (LGPD Art. 20)

2. Documentação dos dados de treino (EU AI Act)

3. Análise de viés por grupo demográfico antes do deploy

4. Audit log de cada decisão por ≥5 anos

5. Política de monitoramento pós-deploy

Checklist de classificação EU AI Act → define requisitos desde o design

Incluir DPO no sprint planning de features que processam dados pessoais

# Todo request de IA em sistema de alto risco deve ser logado com:

log = {

    "timestamp": ISO8601,

    "usuario_id": hash,    # não nome, por LGPD

    "input_hash": hash,    # não conteúdo, se PII

    "modelo": model_name,

    "decisao": output,

    "score": confidence,

    "revisado_por_humano": False,

}