Governação de Inteligência Artificial e ISO/IEC 42001 em Portugal

A governação começa por identificar os casos de uso: ferramentas adquiridas, funcionalidades integradas em aplicações e iniciativas desenvolvidas internamente. Cada utilização deve ter uma finalidade, responsáveis e condições de acompanhamento.

• Está a definir regras para a utilização de ferramentas de IA pelas equipas.
• Precisa de avaliar fornecedores, dependências e circulação de informação.
• Quer organizar a avaliação de riscos e impactos antes de ampliar um projeto.
• Pretende implementar ou auditar um sistema de gestão de IA.

O âmbito é ajustado ao papel da organização e aos sistemas abrangidos. A análise procura ligar políticas e decisões às práticas das equipas, evitando que a governação se limite a uma declaração de princípios.

• Inventário de sistemas de IA e identificação das utilizações relevantes.
• Responsabilidades, política de IA e critérios para aprovar novos usos.
• Riscos, impactos e medidas de controlo adequadas ao contexto.
• Gestão de dados, fornecedores e documentação de decisões.
• Supervisão humana, acompanhamento, incidentes e melhoria.
• Competências e sensibilização das pessoas envolvidas.

A ISO/IEC 42001:2023 é uma referência para sistemas de gestão da inteligência artificial. A consultoria pode apoiar a sua estruturação; a auditoria interna avalia o sistema face aos critérios acordados.

O Regulamento Europeu da Inteligência Artificial, conhecido como AI Act, exige um enquadramento específico do papel da organização e dos sistemas em causa. O trabalho pode apoiar o levantamento das questões relevantes para essa análise, em articulação com os responsáveis internos e especialistas necessários.

Uma certificação ISO/IEC 42001 não equivale, por si só, à demonstração de cumprimento integral do AI Act. A aplicabilidade e as obrigações são analisadas caso a caso.

1. Enquadrar: identificar objetivos, sistemas, equipas e partes interessadas.
2. Diagnosticar: rever práticas, documentação e evidências existentes.
3. Estruturar ou auditar: apoiar o sistema de gestão ou executar a auditoria interna contratada.
4. Priorizar: apresentar conclusões, responsabilidades e ações de melhoria.

Os entregáveis podem incluir um inventário inicial, relatório de diagnóstico, matriz de ações, política e procedimentos de governação ou relatório de auditoria interna. A proposta identifica o que está incluído.

O serviço centra-se na gestão e na governação. Desenvolvimento de modelos, testes especializados ou avaliações técnicas de desempenho são delimitados separadamente quando necessários ao projeto.

O serviço destina-se apenas a quem desenvolve modelos de IA?

Também pode ser relevante para organizações que adquirem ou utilizam soluções de IA. O âmbito deve refletir as utilizações e as responsabilidades concretas da organização.

Uma política de utilização de IA é suficiente?

A política orienta decisões, mas precisa de ser aplicada: responsáveis, procedimentos, formação e evidências de acompanhamento permitem verificar o que acontece na prática.

A auditoria interna emite uma certificação ISO/IEC 42001?

A auditoria interna entrega conclusões face ao âmbito e aos critérios definidos. A certificação e a decisão correspondente cabem a um organismo de certificação.

Que informação devo enviar para começar?

Indique o setor, principais utilizações de IA, equipas envolvidas, existência de políticas e objetivo do trabalho. Não envie informação confidencial sobre modelos, clientes ou dados nesta fase.