Conformidade de IA: governar sistemas de IA e utilizar a IA no trabalho de conformidade

A conformidade da IA tem dois significados: o trabalho contínuo para garantir que os sistemas de IA que a sua organização desenvolve ou utiliza cumprem as leis, normas e políticas internas aplicáveis, e a utilização da IA para tarefas de conformidade rotineiras e de grande volume.

Este artigo aborda ambos os significados: os riscos de que a conformidade da IA trata, os principais quadros de referência, como criar um programa de conformidade, os controlos para agentes de IA e as áreas em que a IA ajuda as equipas de conformidade. Termina com as perguntas a fazer antes de comprar uma ferramenta de conformidade.

O que é a conformidade da IA?

A conformidade da IA refere-se a duas coisas: fazer com que os sistemas de IA cumpram as regras estabelecidas na regulamentação da IA e utilizar a IA para realizar trabalho de conformidade.

No primeiro sentido, a conformidade da IA garante que um sistema de IA respeita as leis, os regulamentos, as normas éticas e as políticas internas ao longo de todo o ciclo de vida da IA, desde os dados de treino até ao desempenho e à utilização.

Por exemplo, a Local Law 144 da cidade de Nova Iorque exige que os empregadores que utilizam uma ferramenta automatizada de decisão em matéria de emprego a submetam a uma auditoria de enviesamentos no prazo de um ano relativamente à sua utilização, tornem públicas as informações sobre a auditoria e notifiquem os trabalhadores ou os candidatos a emprego.

O trabalho de conformidade regulamentar da IA é contínuo, porque as aplicações de IA são atualizadas, os dados com que trabalham mudam e a regulamentação evolui.

No segundo sentido, as equipas de conformidade utilizam a IA para trabalho rotineiro e de grande volume, como monitorizar transações, rever documentos e acompanhar alterações regulamentares.

Algumas instituições financeiras, por exemplo, utilizam a IA para rever transações e reduzir os falsos positivos nos alertas de monitorização de transações, antes de os analistas decidirem quais exigem uma comunicação de operação suspeita.

Conformidade da IA vs. governação da IA vs. gestão de riscos de IA

Os três termos sobrepõem-se, mas abrangem áreas diferentes: a governação define as regras, a gestão de riscos identifica o que pode correr mal e a conformidade garante que as regras são cumpridas.

Porque é que a conformidade da IA é importante

Alcançar a conformidade da IA limita a sua exposição a coimas, protege a privacidade das pessoas cujas informações a sua IA trata e permite que a sua organização preste contas da utilização de sistemas de IA em caso de auditoria.

• Sanções regulamentares: Ao abrigo do Regulamento da UE sobre a IA, a utilização de uma prática de IA proibida, como inferir as emoções dos trabalhadores no local de trabalho, pode custar até 35 milhões de euros ou 7% do volume de negócios anual a nível mundial. Os prestadores e os responsáveis pela implantação podem enfrentar coimas até 15 milhões de euros ou 3% por violações do Regulamento.
• Proteção de dados: Um sistema de IA que trata dados pessoais está sujeito às leis de proteção de dados, como o RGPD na UE. Isto inclui os dados de treino, os prompts e os resultados que contenham dados pessoais.
• Preparação para auditorias: Manter registos dos sistemas de IA que utiliza, de quem os aprovou e da forma como os monitoriza permite-lhe prestar contas a reguladores, auditores e clientes.

Os principais riscos de que a conformidade da IA trata

A conformidade da IA trata cinco riscos principais: enviesamento algorítmico, falta de explicabilidade, alucinações em processos regulados, privacidade e fuga de dados, e IA sombra (shadow AI).

Expandir

Eis como se manifestam os principais riscos e exemplos de controlos que os mitigam:

• Enviesamento algorítmico: Um modelo reproduz padrões dos seus dados de treino que prejudicam determinados grupos. Uma ferramenta de recrutamento, por exemplo, pode classificar candidatos numa posição inferior com base num indicador indireto da idade ou da etnia, como o ano de conclusão do curso ou o código postal. As auditorias de enviesamentos, que comparam resultados entre grupos demográficos, ajudam a detetar estes padrões.
• Falta de explicabilidade: A organização não consegue demonstrar como um modelo chegou a uma decisão. Se um credor não conseguir explicar por que razão um modelo recusou um empréstimo, não consegue defender o resultado. As organizações evitam este problema documentando as entradas e a lógica de decisão dos modelos e escolhendo modelos com resultados rastreáveis.
• Alucinações em processos regulados: Uma ferramenta de IA generativa afirma algo falso com confiança. Por exemplo, um advogado pode pedir a uma ferramenta de IA jurisprudência que sustente um argumento e receber citações de decisões judiciais que não existem. Exigir fontes para todos os resultados e que uma pessoa qualificada as verifique permite detetar estes erros.
• Privacidade e fuga de dados: Informações confidenciais ou de clientes chegam a uma ferramenta fora do controlo da organização. Por exemplo, um trabalhador pode colar registos de clientes numa ferramenta de IA pública que conserva as entradas para treinar modelos futuros. Utilizar apenas ferramentas aprovadas, com limites contratuais ao treino e à conservação de dados, reduz o risco.
• IA sombra: Os trabalhadores utilizam ferramentas de IA que a organização não aprovou ou que não consegue ver. Num inquérito da Compliance Week de 2026, 42% dos participantes relataram a utilização não gerida de IA por parte de trabalhadores. As soluções possíveis incluem uma lista de ferramentas aprovadas, aliada a um processo rápido de aprovação de ferramentas de IA, e gateways web.

Principais quadros de referência de conformidade da IA

A conformidade da IA baseia-se em quadros vinculativos de governação da IA, como o Regulamento da UE sobre a IA, e em quadros voluntários, como o Quadro de Gestão de Riscos de IA do NIST e a ISO/IEC 42001, que ajudam as organizações a cumpri-los.

Regulamento da UE sobre a IA

O Regulamento da UE sobre a IA (Regulamento (UE) 2024/1689) adota uma abordagem baseada no risco para a regulamentação da IA: algumas práticas são totalmente proibidas, os sistemas de risco elevado estão sujeitos a restrições rigorosas e os restantes apenas a regras de transparência ligeiras. Aplica-se a prestadores e responsáveis pela implantação em qualquer parte do mundo, “se o resultado produzido pelo sistema de IA for utilizado na União”.

As obrigações previstas no Regulamento da UE sobre a IA dependem da função da organização:

• Quem desenvolve um sistema de IA de risco elevado ou o coloca no mercado em seu próprio nome (prestadores) tem de concluir uma avaliação da conformidade, apor a marcação CE, registar o sistema, manter documentação técnica e monitorizá-lo após o lançamento.
• Quem utiliza um sistema desenvolvido por terceiros (responsáveis pela implantação) tem de seguir as instruções do prestador, atribuir a supervisão a pessoas com “a competência, a formação e a autoridade necessárias”, conservar registos durante, pelo menos, seis meses e informar os trabalhadores e as outras pessoas afetadas pelas suas decisões.

Expandir

O Regulamento está a ser aplicado por fases. As práticas proibidas, a literacia em IA e as regras para a IA de finalidade geral aplicam-se desde 2025, enquanto as obrigações relativas ao risco elevado começam a 2 de dezembro de 2027 e, a 2 de agosto de 2028, para a IA integrada em produtos abrangidos pela legislação da UE em matéria de segurança dos produtos.

A EN 18286:2026, relativa a sistemas de gestão da qualidade, é a primeira norma europeia de apoio ao Regulamento. Presume-se que os prestadores que a seguem cumprem o requisito de gestão da qualidade do Regulamento.

Quadro de Gestão de Riscos de IA do NIST

O NIST AI RMF (Quadro de Gestão de Riscos de IA), publicado em janeiro de 2023, é um quadro voluntário dos EUA estruturado em torno de quatro funções: Govern (Governar), Map (Mapear), Measure (Medir) e Manage (Gerir).

O seu Perfil de IA Generativa, lançado em julho de 2024, aplica o quadro aos riscos da IA generativa.

ISO/IEC 42001

A ISO/IEC 42001 é a norma internacional para sistemas de gestão de IA e abrange as políticas, funções e processos que regem o desenvolvimento e a utilização responsáveis da IA. A certificação é voluntária e é concedida por organismos de certificação independentes, e não pela própria ISO.

Um certificado abrange o sistema de gestão da organização, e não um produto de IA específico.

Regras dos EUA e setoriais aplicáveis à IA

Os EUA não têm uma lei federal única sobre IA. As regras provêm de cidades, estados e leis e regulamentos existentes que se aplicam à IA.

Por exemplo, a SB26-189 do Colorado, que entra em vigor a 1 de janeiro de 2027, regula a tecnologia de tomada de decisões automatizada, e as leis de privacidade, como a California Consumer Privacy Act (CCPA) ou a HIPAA, aplicam-se sempre que a IA trata dados protegidos.

Como criar um programa de conformidade da IA

Criar um programa de conformidade da IA envolve seis passos: inventariar os sistemas de IA, classificá-los por risco, mapear os controlos para as regras aplicáveis, atribuir responsáveis, documentar cada sistema e monitorizá-lo com registos que um auditor possa verificar.

Expandir

Cada passo abaixo termina com o registo que produz:

1. Inventarie todos os sistemas de IA. Liste os sistemas que a sua organização desenvolve, compra ou utiliza, incluindo funcionalidades de IA integradas em software existente e ferramentas que os trabalhadores adotaram sem aprovação. Registe o que cada um faz, quem o utiliza e com que dados interage.
   Resultado: Um inventário de IA.
2. Classifique cada caso de utilização por risco. Avalie cada sistema pelos danos que poderia causar, utilizando um esquema como os níveis de risco do Regulamento da UE sobre a IA. Por exemplo, uma ferramenta que fixa prémios de seguros de vida é de risco elevado ao abrigo do Regulamento, enquanto uma que resume reuniões internas não é.
   Resultado: Um registo de riscos.
3. Mapeie os controlos para as regras aplicáveis. Liste as leis, normas e políticas internas que se aplicam a cada sistema e o controlo que satisfaz cada requisito de conformidade. Por exemplo, uma revisão humana documentada ajuda a cumprir os requisitos de supervisão humana do Regulamento da UE sobre a IA para sistemas de risco elevado e a recomendação do NIST AI RMF de processos documentados de supervisão humana.
   Resultado: Um mapa de controlos.
4. Atribua responsáveis e pontos de supervisão humana. Designe um responsável para cada sistema e decida onde uma pessoa revê os seus resultados. Por exemplo, as equipas jurídica e de conformidade são responsáveis pelas obrigações, a segurança pelos controlos técnicos, os responsáveis de negócio pelos respetivos casos de utilização, e um executivo responde pelo conjunto. Garanta que as pessoas em toda a organização estão informadas e estabeleça canais de comunicação claros.
   Resultado: Responsáveis designados para cada sistema.
5. Documente cada sistema. Registe a finalidade, os dados de treino, os testes e as limitações conhecidas de cada sistema em formatos como fichas de modelo (model cards) e avaliações de impacto. Os prestadores de sistemas de risco elevado têm também de preparar a documentação técnica prevista no Anexo IV do Regulamento da UE sobre a IA.
   Resultado: Um conjunto de documentação do sistema.
6. Monitorize, registe e conserve evidências. Conceba os registos como evidências de auditoria desde o início, para demonstrar o que um sistema fez e quem o reviu. O Regulamento da UE sobre a IA exige que os sistemas de risco elevado registem eventos automaticamente ao longo do seu ciclo de vida. Uma pista de auditoria deve registar:
   • O modelo e a versão em utilização
   • As entradas e saídas, ou uma amostra definida das mesmas
   • Os dados de treino ou de ajuste fino
   • Os pontos de revisão humana e os respetivos resultados
   • As ações que um agente realizou e as permissões que utilizou
   • Durante quanto tempo cada registo é conservado

Resultado: Registos de monitorização e uma pista de auditoria.

Ferramentas especializadas de conformidade da IA, como o IBM watsonx.governance e o OneTrust AI Governance, podem assumir partes deste programa, incluindo o inventário de IA, as avaliações de risco face ao Regulamento da UE sobre a IA e a documentação.

Como aprovar as ferramentas de IA que os trabalhadores podem utilizar

Antes de aprovar uma ferramenta de IA, verifique quatro aspetos:

• Acesso a dados: Os ficheiros, sistemas e bases de conhecimento ligadas que a ferramenta consegue ler e se estes contêm dados pessoais que possa expor.
• Treino com as entradas: Se o fornecedor utiliza prompts, ficheiros ou resultados para treinar os seus modelos e se o seu contrato com o fornecedor o proíbe.
• Conservação: Durante quanto tempo o fornecedor guarda prompts, ficheiros e histórico de conversas e se pode encurtar esse prazo.
• Alojamento e transferências: Onde o fornecedor armazena e trata os dados, incluindo transferências para fora da sua região.

Controlos de conformidade para agentes de IA

Os agentes de IA exigem mais controlos do que as ferramentas de chat, porque decidem os seus próprios passos e atuam através das ferramentas e permissões que lhes são concedidas. Há três controlos que os mantêm sob vigilância:

• Acesso com privilégios mínimos: Conceda a um agente apenas as ferramentas e permissões de que a sua tarefa necessita. A agência excessiva (Excessive Agency), em que um agente consegue fazer mais do que a sua tarefa exige, é um dos principais riscos de segurança segundo o OWASP Top 10 for LLM Applications 2026.
• Um registo de todas as ações: Registe cada chamada de ferramenta, os dados acedidos e as permissões utilizadas, para rastrear o que um agente fez e em nome de quem.
• Aprovação humana para ações de elevado impacto: Exija que uma pessoa confirme os passos que enviam dados para fora da organização, movimentam dinheiro ou não podem ser anulados.

Como a IA é utilizada no trabalho de conformidade

As equipas de conformidade e de gestão de riscos utilizam a IA para monitorizar controlos, avaliar riscos, acompanhar alterações regulamentares, rever documentos e fazer a triagem de alertas de criminalidade financeira.

Num inquérito da Compliance Week de 2026 a 193 líderes das áreas de conformidade, ética, risco e auditoria, mais de 83% afirmaram utilizar IA e quase 40% disseram que as suas empresas a implementaram para avaliação e monitorização de riscos.

Os casos de utilização comuns da IA na conformidade incluem:

• Monitorização contínua da conformidade e recolha de evidências: A IA executa verificações e reúne provas de que funcionam (por exemplo, inspeções de segurança de equipamentos em atraso numa fábrica).
• Avaliação e priorização de riscos: A IA classifica unidades de negócio ou terceiros por risco (por exemplo, fornecedores com novas sanções ou exposição a litígios).
• Monitorização de alterações regulamentares: A IA acompanha as publicações dos reguladores e resume as alterações (por exemplo, orientações anticorrupção revistas que reduzem o limite para ofertas na política de despesas).
• Revisão de documentos e políticas: A IA compara contratos e políticas com os requisitos (por exemplo, contratos com fornecedores sem cláusula de direito de auditoria).
• Triagem de criminalidade financeira: A IA faz a triagem de alertas de monitorização de transações e de verificação de clientes (por exemplo, correspondências de nomes em listas de sanções que, afinal, dizem respeito a outra pessoa).

A IA utilizada para a conformidade exige a mesma governação que os outros sistemas de IA. Como afirmou a Financial Conduct Authority do Reino Unido em outubro de 2026, “as empresas são responsáveis pelos sistemas de IA que desenvolvem, adquirem e implementam – incluindo os seus resultados e consequências”, e alertou para que a revisão humana não se torne “um exercício de ‘assinalar quadrículas’”.

Na prática, as ferramentas de IA podem tratar tarefas rotineiras, como a recolha de evidências ou a sinalização de alterações regulamentares, mas não decisões que implicam responsabilidade jurídica, como decidir se se deve comunicar uma atividade suspeita ou como conceber políticas.

Controlos de dados no Perplexity Enterprise

O Perplexity Enterprise dá aos administradores controlos sobre o treino com os dados introduzidos, o acesso aos dados e a retenção:

• Sem treino com os seus dados: a Perplexity nunca utiliza conteúdos empresariais para treinar os seus modelos de IA, e os seus acordos com fornecedores de modelos terceiros proíbem-nos de os utilizar para treino.
• Controlo de acessos: o SSO, o SCIM e as permissões baseadas em funções definem quem pode carregar ficheiros e partilhar respostas.
• Retenção e registos de auditoria: os ficheiros anexados às sessões são eliminados após sete dias. As organizações com 50 ou mais postos, ou com pelo menos um posto Enterprise Max, também podem definir a retenção das sessões e receber registos de auditoria da atividade dos utilizadores.
• Certificações: a Perplexity tem certificação SOC 2 Type II, cumpre o RGPD e só permite trabalhar com informações de saúde protegidas mediante um Business Associate Agreement assinado.

Para conhecer estes controlos em detalhe, contacte a nossa equipa de vendas e marque uma demonstração personalizada.

Perguntas frequentes

O que é a conformidade de IA na UE?

A conformidade de IA na UE consiste em cumprir as obrigações do Regulamento da IA da UE aplicáveis à sua função (prestador ou responsável pela implantação) e ao nível de risco de cada sistema. As obrigações aplicam-se de forma faseada, e os deveres relativos aos sistemas de risco elevado começam a 2 de dezembro de 2027.

O que é uma IA em conformidade com a HIPAA?

Uma IA em conformidade com a HIPAA é uma ferramenta utilizada no âmbito das salvaguardas da HIPAA para informações de saúde protegidas. Se o fornecedor armazenar ou tratar essas informações, o Departamento de Saúde e Serviços Humanos dos EUA exige primeiro a assinatura de um Business Associate Agreement.

O Regulamento da IA da UE aplica-se a empresas dos EUA?

Sim. O Regulamento da IA abrange as empresas dos EUA que colocam sistemas de IA no mercado da UE e aquelas cujos resultados de IA são utilizados na UE.

A IA pode substituir os responsáveis de conformidade?

A IA não pode substituir os responsáveis de conformidade. As organizações são responsáveis pelo seu trabalho e as tecnologias de IA podem cometer erros, pelo que os responsáveis de conformidade continuam a ter de examinar minuciosamente e aprovar os resultados da IA.