Conformidade de IA: como governar sistemas de IA e usar a IA no trabalho de conformidade

Conformidade de IA significa duas coisas: o trabalho contínuo para garantir que os sistemas de IA que sua organização desenvolve ou usa atendam às leis, normas e políticas internas aplicáveis, e o uso da IA em tarefas de conformidade rotineiras e de alto volume.

Este artigo aborda os dois significados: os riscos que a conformidade de IA trata, os principais frameworks, como criar um programa de conformidade, os controles para agentes de IA e onde a IA ajuda as equipes de conformidade. Ao final, apresenta perguntas a fazer antes de comprar uma ferramenta de conformidade.

O que é conformidade de IA?

Conformidade de IA se refere a duas coisas: fazer com que os sistemas de IA cumpram as regras estabelecidas na regulamentação de IA e usar a IA para realizar o trabalho de conformidade.

No primeiro sentido, a conformidade de IA garante que um sistema de IA siga as leis, os regulamentos, os padrões éticos e as políticas internas ao longo de todo o ciclo de vida da IA, dos dados de treinamento ao desempenho e ao uso.

Por exemplo, a Local Law 144 da cidade de Nova York exige que empregadores que usam uma ferramenta automatizada de decisão de contratação a submetam a uma auditoria de viés no prazo de um ano em relação ao uso, divulguem publicamente informações sobre a auditoria e notifiquem funcionários ou candidatos a vagas.

O trabalho de conformidade regulatória de IA é contínuo porque as aplicações de IA são atualizadas, os dados com que elas trabalham mudam e as regulamentações evoluem.

No segundo sentido, as equipes de conformidade usam a IA em tarefas rotineiras e de alto volume, como monitorar transações, revisar documentos e acompanhar mudanças regulatórias.

Algumas instituições financeiras, por exemplo, usam a IA para revisar transações e reduzir falsos positivos nos alertas de monitoramento de transações antes que os analistas decidam quais deles exigem um relatório de atividade suspeita.

Conformidade de IA vs. governança de IA vs. gestão de riscos de IA

Os três termos se sobrepõem, mas abrangem áreas diferentes: a governança define as regras, a gestão de riscos identifica o que pode dar errado e a conformidade garante que as regras sejam cumpridas.

Por que a conformidade de IA é importante

Alcançar a conformidade de IA limita sua exposição a multas, protege a privacidade das pessoas cujas informações sua IA processa e permite que sua organização preste contas do uso de sistemas de IA em caso de auditoria.

• Penalidades regulatórias: De acordo com a Lei de IA da UE, usar uma prática de IA proibida, como inferir as emoções de funcionários no trabalho, pode custar até 35 milhões de euros ou 7% do faturamento anual mundial. Fornecedores e implementadores podem receber multas de até 15 milhões de euros ou 3% por violações da Lei.
• Proteção de dados: Um sistema de IA que processa dados pessoais está sujeito às leis de proteção de dados, como o GDPR na UE. Isso inclui dados de treinamento, prompts e saídas que contenham dados pessoais.
• Preparação para auditorias: Registros de quais sistemas de IA você usa, quem os aprovou e como você os monitora permitem que você preste contas a reguladores, auditores e clientes.

Os principais riscos que a conformidade de IA trata

A conformidade de IA trata cinco riscos principais: viés algorítmico, falta de explicabilidade, alucinações em processos regulados, privacidade e vazamento de dados e shadow AI.

Expandir

Veja como os principais riscos se manifestam e exemplos de controles que ajudam a contê-los:

• Viés algorítmico: Um modelo reproduz padrões dos dados de treinamento que prejudicam determinados grupos. Uma ferramenta de contratação, por exemplo, pode classificar candidatos em posição inferior com base em um indicador indireto de idade ou etnia, como o ano de formatura ou o CEP. Auditorias de viés, que comparam resultados entre grupos demográficos, ajudam a detectar esses padrões.
• Falta de explicabilidade: A organização não consegue mostrar como um modelo chegou a uma decisão. Se uma instituição credora não consegue explicar por que um modelo recusou um empréstimo, ela não consegue defender o resultado. As organizações evitam isso documentando as entradas do modelo e a lógica de decisão e escolhendo modelos com saídas rastreáveis.
• Alucinações em processos regulados: Uma ferramenta de IA generativa afirma algo falso com convicção. Por exemplo, um advogado pode pedir a uma ferramenta de IA jurisprudência que sustente um argumento e receber citações de decisões judiciais que não existem. Exigir fontes para cada saída e fazer com que uma pessoa qualificada as verifique detecta esses erros.
• Privacidade e vazamento de dados: Informações confidenciais ou de clientes chegam a uma ferramenta fora do controle da organização. Por exemplo, um funcionário pode colar registros de clientes em uma ferramenta pública de IA que retém as entradas para treinar modelos futuros. Usar apenas ferramentas aprovadas, com limites contratuais para treinamento e retenção de dados, reduz o risco.
• Shadow AI: Funcionários usam ferramentas de IA que a organização não aprovou ou não consegue ver. Em uma pesquisa da Compliance Week de 2026, 42% dos participantes relataram uso não gerenciado de IA por funcionários. Possíveis soluções incluem uma lista de ferramentas aprovadas combinada com um processo rápido de aprovação de ferramentas de IA, além de gateways web.

Principais frameworks de conformidade de IA

A conformidade de IA se apoia em frameworks vinculantes de governança de IA, como a Lei de IA da UE, e em frameworks voluntários, como o Framework de Gestão de Riscos de IA do NIST e a ISO/IEC 42001, que ajudam as organizações a cumpri-los.

Lei de IA da UE

A Lei de IA da UE (Regulamento (UE) 2024/1689) adota uma abordagem baseada em riscos para a regulamentação de IA: algumas práticas são totalmente proibidas, sistemas de alto risco enfrentam restrições rigorosas e outros têm apenas regras leves de transparência. Ela se aplica a fornecedores e implementadores em qualquer lugar “em que o resultado produzido pelo sistema de IA seja utilizado na União”.

As obrigações previstas na Lei de IA da UE dependem do papel da organização:

• Quem desenvolve um sistema de IA de alto risco ou o comercializa com o próprio nome (fornecedores) deve concluir uma avaliação de conformidade, aplicar a marcação CE, registrar o sistema, manter a documentação técnica e monitorá-lo após o lançamento.
• Quem usa um sistema criado por terceiros (implementadores) deve seguir as instruções do fornecedor, atribuir a supervisão a pessoas com “a competência, a formação e a autoridade necessárias”, manter registros por pelo menos seis meses e informar os trabalhadores e outras pessoas afetadas pelas decisões do sistema.

Expandir

A Lei está sendo implementada em etapas. As práticas proibidas, a alfabetização em IA e as regras para IA de uso geral se aplicam desde 2025, enquanto as obrigações para sistemas de alto risco começam em 2 de dezembro de 2027 e, em 2 de agosto de 2028, para IA incorporada a produtos abrangidos pela legislação de segurança de produtos da UE.

A EN 18286:2026, sobre sistemas de gestão da qualidade, é a primeira norma europeia que dá suporte à Lei. Presume-se que os fornecedores que a seguem cumprem o requisito de gestão da qualidade da Lei.

Framework de Gestão de Riscos de IA do NIST

O NIST AI RMF (Framework de Gestão de Riscos de IA), publicado em janeiro de 2023, é um framework voluntário dos EUA estruturado em torno de quatro funções: Governar, Mapear, Medir e Gerenciar.

Seu Perfil de IA Generativa, lançado em julho de 2024, aplica o framework aos riscos da IA generativa.

ISO/IEC 42001

A ISO/IEC 42001 é a norma internacional para sistemas de gestão de IA e abrange as políticas, funções e processos que regem o desenvolvimento e o uso responsáveis de IA. A certificação é voluntária e é concedida por organismos de certificação independentes, não pela própria ISO.

Um certificado abrange o sistema de gestão da organização, não um produto de IA específico.

Regras dos EUA e setoriais que se aplicam à IA

Os EUA não têm uma lei federal única de IA. As regras vêm de cidades, estados e leis e regulamentos existentes que se aplicam à IA.

Por exemplo, a lei SB26-189 do Colorado, que entra em vigor em 1º de janeiro de 2027, regulamenta a tecnologia de tomada de decisão automatizada, e leis de privacidade, como a California Consumer Privacy Act (CCPA) ou a HIPAA, se aplicam sempre que a IA processa dados protegidos.

Como criar um programa de conformidade de IA

Criar um programa de conformidade de IA envolve seis etapas: inventariar seus sistemas de IA, classificá-los por risco, mapear os controles para as regras aplicáveis, designar responsáveis, documentar cada sistema e monitorá-lo com registros que um auditor possa verificar.

Expandir

Cada etapa abaixo termina com o registro que ela gera:

1. Faça o inventário de todos os sistemas de IA. Liste os sistemas que sua organização desenvolve, compra ou usa, incluindo recursos de IA em softwares existentes e ferramentas que os funcionários adotaram sem aprovação. Registre o que cada um faz, quem o usa e com quais dados ele interage.
   Resultado: Um inventário de IA.
2. Classifique cada caso de uso por risco. Avalie cada sistema pelo dano que ele pode causar, usando um esquema como os níveis de risco da Lei de IA da UE. Por exemplo, uma ferramenta que define prêmios de seguro de vida é de alto risco segundo a Lei, enquanto uma que resume reuniões internas não é.
   Resultado: Um registro de riscos.
3. Mapeie os controles para as regras aplicáveis. Liste as leis, normas e políticas internas que se aplicam a cada sistema e o controle que atende a cada requisito de conformidade. Por exemplo, uma revisão humana documentada ajuda a cumprir os requisitos de supervisão humana da Lei de IA da UE para sistemas de alto risco e a recomendação do NIST AI RMF de processos documentados de supervisão humana.
   Resultado: Um mapa de controles.
4. Designe responsáveis e pontos de supervisão humana. Nomeie um responsável para cada sistema e decida em que ponto uma pessoa revisa as saídas dele. Por exemplo, as áreas jurídica e de conformidade respondem pelas obrigações, a segurança responde pelos controles técnicos, os responsáveis de negócio respondem por seus casos de uso e um executivo presta contas pelo todo. Garanta que as pessoas de toda a organização estejam cientes e estabeleça canais de comunicação claros.
   Resultado: Responsáveis nomeados para cada sistema.
5. Documente cada sistema. Registre a finalidade, os dados de treinamento, os testes e as limitações conhecidas de cada sistema em formatos como model cards e avaliações de impacto. Os fornecedores de sistemas de alto risco também devem preparar a documentação técnica prevista no Anexo IV da Lei de IA da UE.
   Resultado: Um conjunto de documentação do sistema.
6. Monitore, registre e mantenha evidências. Projete os logs como evidências de auditoria desde o início para mostrar o que um sistema fez e quem o revisou. A Lei de IA da UE exige que sistemas de alto risco registrem eventos automaticamente ao longo de toda a sua vida útil. Uma trilha de auditoria deve capturar:
   • O modelo e a versão em uso
   • Entradas e saídas, ou uma amostra definida delas
   • Dados de treinamento ou de ajuste fino
   • Pontos de revisão humana e seus resultados
   • Ações que um agente executou e as permissões que ele usou
   • Por quanto tempo cada registro é mantido

Resultado: Registros de monitoramento e uma trilha de auditoria.

Ferramentas especializadas em conformidade de IA, como IBM watsonx.governance e OneTrust AI Governance, podem assumir partes desse programa, incluindo o inventário de IA, as avaliações de risco com base na Lei de IA da UE e a documentação.

Como aprovar ferramentas de IA que os funcionários podem usar

Antes de aprovar uma ferramenta de IA, verifique quatro pontos:

• Acesso a dados: Quais arquivos, sistemas e bases de conhecimento conectadas a ferramenta pode ler e se eles contêm dados pessoais que ela poderia expor.
• Treinamento com entradas: Se o fornecedor usa prompts, arquivos ou saídas para treinar seus modelos e se o seu contrato com o fornecedor proíbe isso.
• Retenção: Por quanto tempo o fornecedor mantém prompts, arquivos e o histórico de conversas e se você pode reduzir esse prazo.
• Hospedagem e transferências: Onde o fornecedor armazena e processa os dados, incluindo transferências para fora da sua região.

Controles de conformidade para agentes de IA

Agentes de IA precisam de mais controles do que ferramentas de chat porque decidem as próprias etapas e agem por meio das ferramentas e permissões concedidas. Três controles ajudam a contê-los:

• Acesso com privilégio mínimo: Dê a um agente apenas as ferramentas e permissões de que a tarefa dele precisa. A agência excessiva (Excessive Agency), em que um agente pode fazer mais do que sua tarefa exige, é um dos principais riscos de segurança segundo o OWASP Top 10 for LLM Applications 2026.
• Um log de cada ação: Registre cada chamada de ferramenta, os dados acessados e as permissões usadas, para rastrear o que um agente fez e para quem.
• Aprovação humana para ações de alto impacto: Exija que uma pessoa confirme etapas que enviam dados para fora da organização, movimentam dinheiro ou não podem ser desfeitas.

Como a IA é usada no trabalho de conformidade

Equipes de conformidade e de gestão de riscos usam a IA para monitorar controles, avaliar riscos, acompanhar mudanças regulatórias, revisar documentos e fazer a triagem de alertas de crimes financeiros.

Em uma pesquisa da Compliance Week de 2026 com 193 líderes de conformidade, ética, risco e auditoria, mais de 83% disseram usar IA, e quase 40% disseram que suas empresas a implantaram para avaliação e monitoramento de riscos.

Os casos de uso comuns de IA em conformidade incluem:

• Monitoramento contínuo da conformidade e coleta de evidências: A IA executa verificações e reúne provas de que elas funcionam (por exemplo, inspeções de segurança de equipamentos atrasadas em uma fábrica).
• Avaliação e priorização de riscos: A IA classifica unidades de negócio ou terceiros por risco (por exemplo, fornecedores com novas sanções ou exposição a litígios).
• Monitoramento de mudanças regulatórias: A IA acompanha as publicações dos órgãos reguladores e resume as mudanças (por exemplo, uma orientação anticorrupção revisada que reduz o limite para presentes na política de despesas).
• Revisão de documentos e políticas: a IA compara contratos e políticas com os requisitos (por exemplo, contratos com fornecedores sem cláusula de direito de auditoria).
• Triagem de crimes financeiros: a IA faz a triagem de alertas de monitoramento de transações e de verificação de clientes (por exemplo, correspondências de nomes em listas de sanções que, na verdade, se referem a outra pessoa).

A IA usada para conformidade precisa da mesma governança que outros sistemas de IA. Como afirmou a Financial Conduct Authority do Reino Unido em outubro de 2026, “as empresas são responsáveis pelos sistemas de IA que desenvolvem, adquirem e implantam – incluindo suas saídas e resultados”, e alertou que a revisão humana não deve se tornar “um exercício de ‘marcar caixinhas’”.

Na prática, as ferramentas de IA podem cuidar de tarefas rotineiras, como coletar evidências ou sinalizar mudanças regulatórias, mas não de decisões que envolvem responsabilidade legal, como decidir se uma atividade suspeita deve ser comunicada ou como elaborar políticas.

Controles de dados no Perplexity Enterprise

O Perplexity Enterprise oferece aos administradores controles sobre treinamento com dados de entrada, acesso a dados e retenção:

• Sem treinamento com seus dados: a Perplexity nunca usa conteúdo corporativo para treinar seus modelos de IA, e seus contratos com provedores de modelos terceirizados os proíbem de usar esse conteúdo para treinamento.
• Controle de acesso: SSO, SCIM e permissões baseadas em funções definem quem pode enviar arquivos e compartilhar respostas.
• Retenção e logs de auditoria: os arquivos anexados às sessões são excluídos após sete dias. Organizações com 50 ou mais licenças, ou com pelo menos uma licença Enterprise Max, também podem definir a retenção de sessões e receber logs de auditoria da atividade dos usuários.
• Certificações: a Perplexity tem certificação SOC 2 Type II, está em conformidade com o GDPR e só permite trabalhar com informações de saúde protegidas mediante um acordo de associado comercial (Business Associate Agreement) assinado.

Para ver esses controles na prática, fale com nossa equipe de vendas e agende uma demonstração personalizada.

Perguntas frequentes

O que é conformidade de IA na UE?

Conformidade de IA na UE significa cumprir as obrigações da Lei de IA da UE referentes ao seu papel (fornecedor ou implantador) e à categoria de risco de cada sistema. As obrigações entram em vigor em etapas, e os deveres relativos a sistemas de alto risco começam a valer em 2 de dezembro de 2027.

O que é uma IA em conformidade com a HIPAA?

Uma IA em conformidade com a HIPAA é uma ferramenta usada dentro das salvaguardas da HIPAA para informações de saúde protegidas. Se o fornecedor armazenar ou processar essas informações, o Departamento de Saúde e Serviços Humanos dos EUA exige antes a assinatura de um acordo de associado comercial (Business Associate Agreement).

A Lei de IA da UE se aplica a empresas dos EUA?

Sim. A Lei de IA abrange empresas dos EUA que colocam sistemas de IA no mercado da UE e aquelas cujos resultados de IA são usados na UE.

A IA pode substituir os responsáveis pela conformidade?

A IA não pode substituir os responsáveis pela conformidade. As organizações respondem pelo próprio trabalho, e as tecnologias de IA podem cometer erros; por isso, os responsáveis pela conformidade ainda precisam examinar e aprovar os resultados gerados por IA.