Glossário de governança de IA e GRC

Entenda os termos. Reconheca o trabalho. Encontre as vagas.

This glossary in English · Glosario en español · Glossaire en français

29 termos de governança de IA, risco, privacidade e conformidade, explicados em português profissional. Onde um termo tem base legal no Brasil, a lei e o artigo estão nomeados: a LGPD (Lei 13.709/2018), a ANPD e o PL 2338/2023. Onde a referência é internacional, o texto diz qual: EU AI Act, ISO/IEC 42001, NIST AI RMF.

Esta página existe porque a maior parte do material de GRC em português é tradução direta do inglês e perde justamente a parte que importa aqui: qual norma brasileira se aplica, e a quem.

Glossário

Alfabetização em IA

A capacidade das pessoas de uma organização de entender o que um sistema de IA faz, onde ele erra e quando escalar a questão. Não é treinamento técnico para todos: é o nível de compreensão que permite a alguém reconhecer um resultado que não deveria ser aceito. O PL 2338/2023 trata disso ao exigir informação clara para quem é afetado por decisões automatizadas.

ANPD

A Autoridade Nacional de Proteção de Dados, criada pela LGPD, é o órgão federal que fiscaliza, orienta e sanciona o tratamento de dados pessoais no Brasil. Publica resoluções e guias que detalham o que a lei exige na prática, e é a quem o encarregado responde em uma fiscalização. Para quem trabalha na área, conhecer as resoluções da ANPD vale mais do que conhecer a lei apenas em tese.

Auditoria de terceiros em IA

A avaliação do risco que entra na organização junto com um sistema de IA fornecido por outra empresa. Cobre o que o fornecedor treinou, com quais dados, sob qual contrato e com qual possibilidade de auditoria. Na LGPD, a responsabilidade pelo tratamento não é transferida ao fornecedor: o controlador continua respondendo.

Avaliação de conformidade

O processo de demonstrar, com evidência, que um sistema atende às exigências aplicáveis antes de entrar em operação. No EU AI Act é um requisito formal para sistemas de alto risco. No Brasil, o PL 2338/2023 segue uma lógica próxima, com avaliação prévia conforme o grau de risco.

Avaliação de impacto de IA

Um exame estruturado dos efeitos que um sistema de IA pode ter sobre pessoas, grupos, a organização e o ambiente em que será usado. Feita antes da implantação e revisada quando o uso muda. É o instrumento que mostra que alguém pensou no dano antes de ele acontecer.

Encarregado de dados

A pessoa indicada pelo controlador como canal de comunicação entre a organização, os titulares de dados e a ANPD, conforme o artigo 41 da LGPD. É o cargo brasileiro mais próximo do Data Protection Officer europeu, e a lei exige que a identidade e o contato do encarregado sejam divulgados publicamente.

Estrutura de gestão de risco de IA do NIST (AI RMF)

O arcabouço voluntário publicado pelo instituto de normas dos Estados Unidos, organizado nas funções governar, mapear, medir e gerenciar. Não é lei em nenhum país, e é amplamente adotado porque dá uma linguagem comum para descrever o trabalho.

Explicabilidade

A capacidade de dizer, em linguagem que a pessoa afetada entenda, por que um sistema chegou a um resultado. Diferente de interpretabilidade, que é entender o funcionamento interno do modelo. A LGPD dá ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado, no artigo 20, e é a explicabilidade que torna esse direito utilizável.

Fornecedor

A organização que desenvolve um sistema de IA e o coloca no mercado com o seu nome. No EU AI Act o fornecedor carrega a maior parte das obrigações, inclusive a avaliação de conformidade.

Gestão de risco de IA

O ciclo de identificar, avaliar, tratar e monitorar os riscos de um sistema de IA ao longo da sua vida útil. O NIST AI Risk Management Framework organiza esse trabalho em quatro funções: governar, mapear, medir e gerenciar.

Gestão de risco de modelos

A disciplina, nascida no setor financeiro, de controlar o risco de que um modelo esteja errado ou seja usado de forma indevida. Inclui validação independente, documentação e limites de uso. No Brasil, as exigências do Banco Central sobre modelos internos são o ponto de partida prático.

Governança de dados

A gestão de quais dados a organização tem, de onde vieram, quem pode usá-los e para quê. Sem isso, nenhuma afirmação sobre um modelo de IA pode ser verificada, porque ninguém consegue dizer com o que ele foi treinado.

Governança de IA

O conjunto de decisões, papéis e controles que determinam como uma organização desenvolve, adquire e usa IA, e quem responde quando algo dá errado. Governança é a estrutura; risco, privacidade e segurança são o trabalho que acontece dentro dela.

Humano no circuito (HITL)

Um desenho em que uma pessoa participa de cada decisão do sistema, de modo que nada chega a quem será afetado sem passar por alguém. HITL é a abreviação usada no mercado; a lei não usa esse termo e fala de supervisão humana. Compare com humano sobre o circuito, em que a pessoa supervisiona mas o sistema age sem esperar.

Humano no comando (HIC)

A autoridade sobre se e como um sistema de IA será usado, e não sobre cada decisão que ele toma. Quem está no comando pode decidir não implantar, retirar de operação ou mudar a finalidade de uso. Marca o nível acima do HITL e do HOTL.

Humano sobre o circuito (HOTL)

Um desenho em que o sistema age por conta própria enquanto uma pessoa monitora e pode intervir, parar ou reverter uma decisão. Escala onde o HITL não escala, e desloca a questão do controle da aprovação para a detecção: a pessoa precisa perceber o erro em tempo de agir.

IA invisível

Ferramentas de IA em uso dentro da organização sem conhecimento ou aprovação de quem responde por elas. Normalmente chega por iniciativa individual e boa intenção. É um problema de inventário antes de ser um problema de segurança.

Implementador

A organização que usa um sistema de IA desenvolvido por outra, sob sua própria autoridade. Obrigações menores que as do fornecedor, mas reais: uso conforme a finalidade, supervisão humana e registro. Na prática, a maioria das empresas brasileiras é implementadora, não fornecedora.

Interpretabilidade

O grau em que o funcionamento interno de um modelo pode ser examinado e compreendido por quem o constrói ou audita. Um modelo interpretável permite ver quais variáveis pesaram na decisão. Interpretabilidade serve a quem analisa; explicabilidade serve a quem foi afetado.

Inventário de IA

A lista do que a organização efetivamente usa: cada sistema de IA, quem é responsável por ele, para que serve e qual o seu nível de risco. Quase toda falha de governança começa por um inventário incompleto, porque não se governa aquilo que não se sabe que existe.

Monitoramento de modelos e deriva

O acompanhamento do desempenho de um modelo depois de implantado, para detectar quando ele passa a errar mais. A deriva ocorre porque o mundo muda e os dados de treino envelhecem: o modelo continua igual enquanto a realidade que ele descreve não.

Prestação de contas

Responder pelas decisões e ações envolvendo IA, com responsabilidades atribuídas a pessoas nomeadas e evidência de que foram cumpridas. Prestação de contas acompanha pessoas e organizações por toda a vida útil do sistema, e não termina quando o fornecedor entrega.

Red teaming

O exercício deliberado de tentar fazer um sistema falhar, agindo como alguém que quer usá-lo de forma indevida. Encontra o que a avaliação de desempenho não encontra, porque testa intenção e não apenas precisão.

Relatório de impacto à proteção de dados (RIPD)

O documento previsto no artigo 38 da LGPD (Lei 13.709/2018), que a ANPD pode exigir do controlador, descrevendo os tratamentos de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, junto com as medidas de mitigação adotadas. É o equivalente brasileiro do DPIA europeu e costuma ser o primeiro documento pedido em uma fiscalização.

Sistema de gestão de IA (ISO/IEC 42001)

A norma internacional que descreve um sistema de gestão para IA: política, papéis, avaliação de risco, controles e melhoria contínua, no mesmo formato da ISO/IEC 27001 para segurança da informação. É certificável, o que a torna a forma mais direta de demonstrar governança a um cliente ou a um regulador.

Sistema de IA de alto risco

Na classificação do EU AI Act, um sistema cujo uso pode afetar de forma significativa a segurança ou os direitos das pessoas, como triagem de candidatos, concessão de crédito ou acesso a serviços essenciais. O PL 2338/2023 adota uma lógica de níveis de risco semelhante, com obrigações proporcionais.

Supervisão humana

Os arranjos que permitem a pessoas acompanhar o uso de IA e intervir quando necessário. É o termo usado pelo artigo 14 do EU AI Act, que exige que quem supervisiona tenha conhecimento, autoridade e meios práticos para agir. As abreviações do mercado descrevem como essa supervisão está organizada: HITL, HOTL e HIC.

Transparência

Tornar claro o que um sistema faz, com que dados, com quais limites e para quem recorrer. Transparência é o que a organização divulga; explicabilidade é a razão por trás de um resultado específico.

Viés em IA

Um padrão de erro que recai de forma desigual sobre grupos de pessoas, normalmente porque os dados de treino refletem desigualdades já existentes. Viés é mensurável: se ninguém mediu, a afirmação de que o sistema é justo não tem base.

Onde esse trabalho aparece como vaga

Os termos acima descrevem funções reais. As listas abaixo são páginas permanentes do quadro: existem tenham elas quarenta vagas ou nenhuma, e por isso o link nunca morre.

• Vagas de compliance no Brasil
• São Paulo · Rio de Janeiro · Brasília · Porto Alegre
• Guia do Rio Grande do Sul

Para seguir daqui

• The same glossary in English, com os mesmos 29 termos
• Glosario en español
• Glossaire en français
• Guias de carreira e material de estudo para certificações
• RFPs de GRC abertos