A governação anual não acompanha IA semanal — os controlos precisam de validade e gatilhos

O sinal e os factos que mudam a decisão

Uma análise da ISACA publicada em 12 de agosto chama atenção para o desfasamento entre a velocidade das aplicações de IA e guardrails pensados para tecnologia estável. O problema não é escrever mais políticas, mas saber quando uma decisão deixou de ser válida.

O AI RMF trata GOVERN como função contínua e transversal ao ciclo de vida, não como reunião isolada. Versão do modelo, configuração, fonte de dados e autoridade de ferramentas alteram o perfil de risco mesmo sem mudar a interface.

Uma decisão reproduzível liga risco, controlo, proprietário, evidência, exceção e próxima revisão. Uma aprovação sem gatilho transforma uma conclusão antiga numa autorização permanente para um sistema que já mudou.

Decisão, limites e condição de bloqueio

Toda a aprovação de IA deve registar prazo de validade e eventos que forçam nova avaliação: modelo, dados, ferramenta, finalidade, população ou impacto.

Uma aprovação sem gatilho transforma uma conclusão antiga numa autorização permanente para um sistema que já mudou.

Execução e prova de conclusão

A execução deve começar por adicionar validade e gatilhos de alteração a cada decisão de go-live. Depois, comparar semanalmente inventário real com versões e finalidades aprovadas. O fecho exige bloquear automaticamente alterações materiais até existir reavaliação proporcional.

A ata deve mostrar estado observado, diferença face ao aprovado, responsável, prazo e decisão tomada sobre cada desvio.

• adicionar validade e gatilhos de alteração a cada decisão de go-live.
• comparar semanalmente inventário real com versões e finalidades aprovadas.
• bloquear automaticamente alterações materiais até existir reavaliação proporcional.
• A ata deve mostrar estado observado, diferença face ao aprovado, responsável, prazo e decisão tomada sobre cada desvio.