Compliance, governação e auditoria de inteligência artificial para empresas

AI Governance · Compliance · Auditoria de IA · EU AI Act · RGPD

AI Governance, Compliance e Auditoria de Inteligência Artificial

Criamos o modelo de governação, avaliamos sistemas, dados, fornecedores e controlos e transformamos as obrigações do EU AI Act e do RGPD num plano concreto, documentado e executável.

Pedir um diagnóstico Ver o que avaliamos

DA UTILIZAÇÃO REAL À EVIDÊNCIA

Uma auditoria começa pelo sistema que existe, não por uma checklist genérica

O mesmo modelo pode representar riscos diferentes conforme a finalidade, os dados, as pessoas afetadas e a decisão que apoia.

Inventário e classificação

Mapeamos sistemas próprios e ferramentas de terceiros, finalidade, utilizadores, papel da organização, pessoas afetadas e classificação preliminar segundo o AI Act.

Dados e RGPD

Analisamos categorias de dados, finalidade, fundamento, minimização, retenção, acessos, transferências, direitos e necessidade de avaliação de impacto.

Governação e controlo

Responsabilidades, aprovação de casos de uso, supervisão humana, gestão de alterações, registos, monitorização, incidentes, reclamações e formação.

Fornecedores e evidências

Contratos, documentação técnica, utilização de dados para treino, subcontratantes, segurança, níveis de serviço, limitações conhecidas e evidência disponível.

Compliance de IA não é preencher um questionário ao fornecedor

A documentação do fabricante é uma peça da análise, não a resposta completa. A empresa que utiliza o sistema conhece a finalidade concreta, os dados introduzidos, as pessoas afetadas, a decisão apoiada e a forma como o resultado entra no processo.

Verificamos se a prática corresponde ao que está documentado. Um controlo que existe numa política, mas não é conhecido por quem usa a ferramenta, não reduz o risco operacional.

O EU AI Act e o RGPD aplicam-se em conjunto

O AI Act organiza obrigações segundo o papel da entidade e o risco do sistema. O RGPD acompanha o tratamento de dados pessoais: finalidade, fundamento, transparência, minimização, segurança, direitos e decisões automatizadas.

A análise pode ainda envolver regras laborais, consumo, propriedade intelectual, cibersegurança, contratação pública ou regulação setorial. Por isso juntamos arquitetura, processos, segurança e assessoria jurídica na mesma avaliação.

A auditoria deve produzir prioridades, responsáveis e evidências

O resultado não é uma lista indiferenciada de problemas. Cada lacuna é ligada ao sistema, ao risco, ao requisito aplicável, à evidência existente, à medida de correção, ao responsável e ao prazo recomendado.

Se um caso de uso não justificar o risco ou não permitir controlo suficiente, a recomendação pode ser redesenhá-lo, restringi-lo ou não avançar. Compliance também é saber dizer não.

Não vendemos uma certificação que não existe

A auditoria da BigLearn é uma avaliação de preparação e conformidade: reúne evidências, identifica lacunas e acompanha a correção. Não substitui uma certificação legalmente reconhecida, uma decisão da autoridade competente ou um parecer isolado do contexto.

A componente técnica e organizacional é conduzida pela BigLearn. O enquadramento jurídico é acompanhado por advogado, em articulação com o encarregado de proteção de dados e outros responsáveis da organização quando aplicável.

AI GOVERNANCE

AI Governance: regras claras para decidir, utilizar e controlar a IA

AI Governance — ou governação de inteligência artificial — é o conjunto de responsabilidades, políticas, processos e controlos que permite a uma organização decidir que sistemas de IA pode utilizar, para que finalidades, com que dados e sob a responsabilidade de quem.

Não se limita à conformidade jurídica. Uma estrutura eficaz de AI Governance liga estratégia, risco, tecnologia, segurança, proteção de dados e operação. Define como são aprovados os casos de uso, que evidências devem existir, quando é necessária supervisão humana e como são tratados incidentes, alterações e reclamações.

Responsabilidades e decisão

Definição dos responsáveis por cada sistema, aprovação de novos casos de uso e critérios para aceitar, restringir, redesenhar ou rejeitar uma utilização de IA.

Políticas e utilização interna

Regras práticas para colaboradores, dados permitidos, ferramentas autorizadas, supervisão humana, validação de resultados e utilização de IA generativa.

Risco, documentação e evidências

Inventário de sistemas, classificação de risco, avaliações de impacto, registos de decisão, documentação técnica e evidências necessárias para demonstrar controlo.

Monitorização e melhoria contínua

Acompanhamento do desempenho, alterações dos modelos, incidentes, reclamações, fornecedores e eficácia dos controlos ao longo do ciclo de vida.

Da descoberta ao plano de correção

1. Definir o âmbito

Identificamos sistemas, processos, entidades, equipas, fornecedores e decisões abrangidas. A auditoria pode cobrir um caso de uso, uma área ou o portefólio de IA.

2. Recolher evidências

Entrevistas, políticas, contratos, fluxos de dados, documentação técnica, registos, testes, acessos, instruções de utilização e mecanismos de supervisão.

3. Avaliar lacunas e risco

Comparamos a utilização real com os requisitos aplicáveis e avaliamos impacto, probabilidade, controlo existente e evidência disponível.

4. Corrigir e acompanhar

Priorizamos medidas, responsáveis e prazos. Podemos apoiar documentação, controlos, alterações técnicas, formação, handover e nova verificação.

O que fica entregue

Inventário de IA

Sistemas, ferramentas, modelos, fornecedores, finalidades, responsáveis, dados e pessoas afetadas.

Matriz de requisitos e evidências

Papel da organização, classificação preliminar, requisitos aplicáveis e prova existente ou em falta.

Relatório de lacunas e risco

Conclusões por sistema, impacto, prioridade, dependências e pontos que exigem decisão jurídica ou de gestão.

Plano de correção

Medidas técnicas, processuais, contratuais e documentais, com responsáveis e sequência recomendada.

Modelo de AI Governance

Responsabilidades, política interna de IA, processo de aprovação de casos de uso, critérios de risco, controlos, documentação e mecanismos de monitorização.

Formação e handover

Capacitação por função para que os controlos sejam aplicados e a organização mantenha a evidência atualizada.

Tecnologia e Direito avaliados em conjunto

Uma auditoria de IA perde valor quando a equipa jurídica recebe apenas uma descrição comercial da ferramenta, ou quando a equipa técnica recebe apenas uma lista de artigos. Trabalhamos sobre o processo, os dados, a arquitetura, os contratos e a operação real.

A BigLearn avalia a componente técnica e organizacional e implementa os controlos acordados. O enquadramento jurídico é acompanhado em articulação com advogado e com os responsáveis internos da organização.

Assessoria jurídica: Miguel Abreu Peixoto

Advogado, cédula profissional n.º 12901L, com mais de 30 anos de experiência jurídica e duas décadas de percurso no setor bancário em funções jurídicas, de compliance, risco operacional, auditoria interna e reclamações de clientes.

Na BigLearn acompanha o enquadramento jurídico e a governação dos projetos de inteligência artificial, com foco no RGPD e no EU AI Act. Consulte o perfil de Miguel Abreu Peixoto ou o seu LinkedIn.

Perguntas frequentes

O que é AI Governance?

AI Governance é o sistema utilizado pela organização para dirigir e controlar a utilização da inteligência artificial. Define responsabilidades, políticas, processos de aprovação, critérios de risco, documentação, supervisão humana, monitorização e resposta a incidentes. O objetivo é permitir utilizar IA com controlo, evidência e responsabilidade.

O que é uma auditoria de inteligência artificial?

É uma avaliação estruturada dos sistemas de IA utilizados ou desenvolvidos pela organização. Identifica finalidades, dados, fornecedores, pessoas afetadas, decisões apoiadas, classificação de risco, documentação e controlos, terminando num relatório de lacunas e num plano de correção.

Qual é a diferença entre o EU AI Act e o RGPD?

O AI Act regula sistemas e modelos de IA através de uma abordagem baseada no risco, enquanto o RGPD regula o tratamento de dados pessoais. Um mesmo sistema pode estar sujeito aos dois regimes, além de regras laborais, de consumo, propriedade intelectual, segurança ou normas setoriais.

O AI Act já se aplica às empresas?

Sim. O regulamento entrou em vigor em 1 de agosto de 2024 e tornou-se geralmente aplicável em 2 de agosto de 2026, com obrigações e exceções faseadas. As proibições e a literacia em IA aplicam-se desde 2 de fevereiro de 2025, e algumas regras para sistemas de alto risco têm datas posteriores. O calendário deve ser confirmado para cada sistema e para a data da avaliação.

Uma empresa que apenas utiliza ChatGPT, Copilot ou outra ferramenta também deve avaliar riscos?

Sim. O nível de análise depende da utilização. É diferente usar uma ferramenta para resumir texto público ou para tratar dados pessoais, avaliar candidatos, apoiar crédito, responder a clientes ou influenciar decisões com impacto. A organização deve conhecer as ferramentas utilizadas, os dados introduzidos, os fornecedores e as decisões apoiadas.

A auditoria da BigLearn certifica a conformidade legal?

Não. A auditoria identifica o enquadramento aplicável, verifica evidências, avalia controlos e documenta lacunas, mas não é uma certificação oficial nem uma garantia abstrata de conformidade. A componente técnica e organizacional é realizada pela BigLearn e o enquadramento jurídico é acompanhado por advogado, atendendo ao caso concreto.

O que recebe a empresa no final da auditoria?

Recebe um inventário dos sistemas analisados, a classificação preliminar do papel e do risco, uma matriz de requisitos e evidências, as lacunas encontradas, prioridades de correção, responsáveis recomendados e um plano de implementação e acompanhamento.

Enquadramento oficial e atualização regulatória

A avaliação utiliza como referência o Regulamento (UE) 2024/1689 no EUR-Lex, o enquadramento e calendário publicados pela Comissão Europeia sobre o AI Act, o artigo 35.º do RGPD sobre avaliação de impacto e o Parecer 28/2024 do Comité Europeu para a Proteção de Dados sobre modelos de IA. O enquadramento aplicável deve ser confirmado para cada sistema e para a data da análise.