Modelo das três linhas

O Modelo das Três Linhas, publicado pelo Instituto dos Auditores Internos (IIA) como atualização das antigas três linhas de defesa, descreve como os papéis se articulam sob o órgão de governança. A primeira linha (o negócio e as equipes que desenvolvem ou usam IA) é dona do risco e o gerencia. A segunda linha (gestão de riscos, conformidade, privacidade, segurança da informação e, muitas vezes, um escritório de governança de IA) oferece conhecimento especializado, políticas, monitoramento e questionamento. A terceira linha, a auditoria interna, dá asseguração independente e objetiva ao conselho.

Aplicado à IA, o modelo deixa claro quem classifica um caso de uso, quem define e verifica os controles e quem testa se o sistema como um todo funciona. Evita uma falha comum: cientistas de dados corrigindo a própria lição, ou um comitê de ética que deveria auditar decisões que ajudou a tomar. Prestadores externos de asseguração, como organismos certificadores, ficam fora das linhas e reportam ao órgão de governança.

Exemplo: a equipe de risco de modelos de um banco valida o modelo de crédito construído pela área comercial, e a auditoria interna depois verifica se as validações seguiram o exigido.