AI Governance – funcionalidade
Fluxos de trabalho de governança de IA preparados para auditorias
As políticas de IA não asseguram por si só a prontidão das organizações para auditorias. Com a adoção cada vez maior dessa tecnologia, os formulários manuais, as aprovações desconectadas e o rastreamento desatualizado de controles se tornam riscos de conformidade. Os fluxos de trabalho da solução AI Governance da OneTrust compõem uma camada operacional que conecta os casos de uso da IA aos devidos processos de admissão, avaliação, aprovação, atribuição de controles e coleta de evidências. Assim, a governança funciona como um sistema contínuo, e não como um exercício manual.
Da admissão à auditoria: os fluxos de trabalho por trás da governança de IA
As ferramentas de automação de conformidade voltadas à segurança da informação testam os controles com referência em normas como SOC 2 e ISO 27001. A governança da inteligência artificial é diferente: os fluxos de trabalho cobrem um processo multifuncional, no qual um novo sistema de IA passa pela avaliação dos riscos, aprovação de múltiplos indivíduos e supervisão contínua – um ciclo que envolve as áreas jurídica, de privacidade, segurança e liderança. A plataforma OneTrust estrutura esse processo em cinco fluxos de trabalho interconectados, da seleção do sistema até a geração de um pacote de evidências preparado para auditorias.
Admissão da IA e registro de casos de uso
Na plataforma OneTrust, cada sistema, modelo ou caso de uso de inteligência artificial passa por um fluxo de trabalho de admissão estruturado. Usos pretendidos, dados introduzidos, tipos de saída, regimes de supervisão humana, dependências de terceiros e exposição regulatória são registrados como campos específicos nos formulários iniciais, e não como anexos informativos. O processo de admissão alimenta automaticamente o registro dos casos de uso, de forma que os responsáveis, a classificação e o status do ciclo de vida dos sistemas são definidos já no início.
O processo de admissão cumpre duas funções: cria uma entrada no registro oficial e aciona automaticamente o fluxo de trabalho apropriado. Por exemplo: um sistema a ser usado em relações diretas com o consumidor é encaminhado a uma rota de avaliação mais minuciosa; um caso de uso que envolva um modelo terceirizado aciona o monitoramento das dependências do fornecedor; um caso que inclua o tratamento de dados pessoais inicia um fluxo de trabalho de avaliação de impacto. Todos os novos projetos de IA entram no ciclo de governança por meio de um mesmo processo, sem depender de planilhas isoladas e ações individuais.
Avaliação de riscos e aprovação
A plataforma OneTrust aciona automaticamente os fluxos adequados de avaliação de risco e aprovação, com base na forma como os casos de uso são classificados durante a admissão. Sistemas de baixo risco seguem rotas de revisão simplificadas, enquanto os de alto risco são direcionados a cadeias de aprovação com vários níveis, envolvendo as áreas jurídica, de privacidade, segurança, conformidade e liderança. Todas as decisões de aprovação são registradas, junto a informações como justificativas, registros de data e hora e responsáveis.
Atribuição, teste e reaproveitamento de controles
Quando os ciclos de revisão e aprovação são concluídos, a plataforma atribui automaticamente os controles necessários ao caso de uso, a partir de uma biblioteca centralizada. Esses controles são mapeados em referência aos marcos regulatórios aplicáveis, de forma que um único controle – como a supervisão humana – pode cumprir os requisitos de diferentes normas, sem que seja preciso duplicar registros.
Os controles são atribuídos a responsáveis específicos, também como parte dos fluxos de trabalho. Cada controle inclui um cronograma de testes, evidências relacionadas e informações sobre seu estado atual. Os resultados dos testes são registrados uma só vez e alimentam automaticamente todos os relatórios de auditoria e conformidade que fazem referência ao mesmo controle.
Essa abordagem garante uma responsabilização clara, processos consistentes e uma conexão contínua entre os controles, as evidências e a prestação de contas. As organizações obtêm uma visão permanentemente atualizada de sua situação quanto à conformidade, sem precisar reconstruir todo o cenário no momento da auditoria.
Gestão de exceções e encaminhamento
Quando um controle falha, uma revisão é perdida ou um sistema de IA não se enquadra nos parâmetros aprovados, a plataforma OneTrust encaminha automaticamente essa exceção ao responsável adequado, junto com todos os detalhes relevantes. O ciclo de vida de uma exceção inclui detecção, atribuição, remediação, encaminhamento e encerramento. Os padrões de exceção são monitorados ao longo do tempo, o que permite identificar falhas recorrentes e lacunas sistêmicas antes que elas se tornem constatações de auditoria.
Trilhas de auditoria e coleta de evidências
A plataforma OneTrust gera logs detalhados de todas as ações dos fluxos de trabalho de governança. As trilhas de auditoria resultantes são registros contínuos: quando um auditor ou regulador solicita documentos, por exemplo, o pacote de informações é gerado a partir do histórico já capturado do fluxo de trabalho e organizado por requisito, marco regulatório ou período.
OneTrust é classificada como "visionária" no relatório Magic Quadrant™ da Gartner® sobre Plataformas de Governança de IA em 2026.
Saiba por que a Gartner reconheceu a OneTrust em seu primeiro relatório Magic Quadrant sobre plataformas de governança de IA.
Perguntas frequentes
A plataforma OneTrust executa a governança de IA como um processo estruturado e reprodutível. Os casos de uso de IA entram no processo por meio de fluxos de trabalho estruturados de admissão, que capturam informações sobre responsabilidade, finalidade, uso de dados e dependências. A classificação feita durante a admissão determina a rota adequada de avaliação e aprovação. As avaliações de risco são encaminhadas aos revisores com base no nível das ameaças e nos requisitos das políticas, e as decisões referentes à aprovação são documentadas, junto às suas justificativas, registros de data e hora e responsáveis. Após a aprovação, os sistemas passam a integrar o inventário, já com controles mapeados e responsáveis designados. Os controles são testados em cronogramas recorrentes, as evidências de sistemas conectados são coletadas e as exceções passam por procedimentos de remediação. Pacotes de informação para auditoria são gerados, incluindo o histórico completo dos fluxos de trabalho e registros complementares.
O artigo 9 da Lei de Inteligência Artificial da União Europeia exige sistemas de gestão de riscos para sistemas de IA classificados como de alto risco. O artigo 17 requer processos de gestão da qualidade e evidências de conformidade documentadas, e o artigo 61 impõe o monitoramento pós-comercialização. A plataforma OneTrust estrutura os fluxos de trabalho, as evidências e as decisões de aprovação necessárias para o cumprimento desses requisitos, fornecendo às organizações um registro documentado de seus processos.
A Estrutura de Gestão de Riscos em IA do Instituto Nacional de Normas e Tecnologia dos Estados Unidos (NIST AI RMF) exige práticas organizacionais documentadas, responsabilização claramente definida e processos contínuos de governança. A plataforma OneTrust operacionaliza o cumprimento desses requisitos e integra controles, evidências e mecanismos de prestação de contas em todas as etapas do fluxo de trabalho.
A norma ISO 42001 exige a documentação do sistema de gestão da IA, o suporte a auditorias internas e o estabelecimento de processos de revisão. A plataforma OneTrust centraliza o histórico dos fluxos de trabalho, as atribuições de controles, os pacotes de evidências e os registros de auditoria em um só lugar, fornecendo de maneira automatizada as informações que os auditores precisam.
Os fluxos de trabalho da plataforma OneTrust podem se conectar a sistemas como ServiceNow, Jira, Microsoft Teams, provedores de identidade e prestadores de serviços em nuvem. Dados referentes às aprovações, responsáveis e evidências são introduzidos sem coleta manual. Os registros de governança permanecem conectados aos sistemas nos quais o trabalho é executado, o que possibilita a governança de IA em grandes organizações sem a necessidade de criar processos administrativos paralelos.
Você também pode se interessar
Saiba como a plataforma OneTrust estrutura a governança de IA, da admissão à auditoria.