O inventário de IA é o registro de todos os sistemas e casos de uso de IA de uma organização: o que fazem, quem responde por eles, que dados usam, quem é afetado e qual o risco. É a base de qualquer programa de governança de IA, do AI Act à ISO/IEC 42001: sem saber o que existe, não há como classificar, avaliar nem supervisionar. Esta ferramenta transforma a ficha de entrada numa linha pronta para o registro.
Como usar
- Dê nome ao caso de uso e informe o papel responsável e a área.
- Descreva a finalidade, o tipo de sistema, o fornecedor e a fase do ciclo de vida.
- Marque os dados usados, as pessoas afetadas e o peso do sistema na decisão.
- Informe a camada preliminar do AI Act, a supervisão humana e a data da próxima revisão.
- Leia a nota de risco e as pendências e exporte a linha em CSV para a planilha do inventário, ou a ficha em DOCX.
O que cada campo pede
| Campo | O que preencher |
|---|---|
| Nome do caso de uso | Um nome curto que todos na organização reconheçam. |
| Papel responsável | O cargo de quem responde pelo caso de uso, não o nome da pessoa. |
| Área | Ex.: Recursos Humanos |
| Descrição e finalidade | O que o sistema faz, para quê e quem usa o resultado. |
| Tipo de sistema | |
| Fornecedor | Opcional. Quem fornece o sistema, se for de terceiros. |
| Fase do ciclo de vida | |
| Dados usados | Marque todos os tipos de dados que o sistema recebe ou gera. |
| Pessoas afetadas | Quem é afetado pelos resultados do sistema. |
| Peso na decisão | O quanto o resultado do sistema decide sobre as pessoas. |
| Camada preliminar do AI Act | Se não souber, deixe como ainda não classificado e use o classificador. |
| Medidas de supervisão humana | Quem revisa, quando e com que poder de mudar o resultado. |
| Próxima revisão | Data em que o registro será revisto. |
Exemplo
Uma empresa fictícia de logística, a Logística Nordvale, registra um piloto de triagem de currículos para vagas de armazém, comprado de um fornecedor de software de recrutamento. O sistema usa dados pessoais de candidatos e recomenda, com revisão de uma recrutadora, e a camada preliminar marcada é alto risco. A ferramenta dá nota de risco interna alta e lista três pendências: fazer a avaliação de impacto sobre a proteção de dados, aplicar o questionário de due diligence ao fornecedor e garantir alfabetização em IA para quem opera o sistema.
Quando usar
- Ao montar o primeiro inventário de IA, área por área.
- Quando alguém propõe um novo uso de IA ou um piloto com um fornecedor.
- Para trazer ao registro usos de IA não autorizados descobertos na organização.
- Na revisão periódica do inventário, para atualizar fase, dados e supervisão.
Perguntas frequentes
O que deve constar num inventário de IA?
No mínimo: nome e finalidade do caso de uso, papel responsável, tipo de sistema e fornecedor, fase do ciclo de vida, dados usados, pessoas afetadas, peso na decisão, classificação de risco, medidas de supervisão humana e data de revisão. A ferramenta gera essas colunas.
Como a nota de risco interna é calculada?
Por regras simples: alto quando a camada do AI Act é alto risco ou proibida, quando há decisão automática com dados pessoais, quando menores são afetados com dados pessoais ou quando dados sensíveis pesam na decisão. Médio quando há dados pessoais, decisão automática, obrigação de transparência ou falta de classificação em produção. O resto é baixo.
O inventário de IA é obrigatório?
O AI Act não usa esse nome, mas as obrigações de fornecedores e responsáveis pela implantação pressupõem saber quais sistemas existem e em que camada caem. A ISO/IEC 42001 e o NIST AI RMF também partem desse mapeamento.
Como juntar várias fichas numa planilha?
Exporte cada ficha em CSV: o arquivo tem uma linha de cabeçalho e uma linha de registro, sempre com as mesmas colunas. Cole as linhas de registro, uma abaixo da outra, na planilha do inventário.
O resultado é um parecer jurídico?
Não. É uma ferramenta educativa, e a nota de risco é uma indicação interna. A classificação pelo AI Act e as avaliações de impacto precisam ser validadas por quem responde pela conformidade na sua organização.
Que certificação da DPCert cobre o inventário de IA?
A RAIF (Responsible AI Foundation), de entrada, trata de papéis e responsabilização no uso de IA. A RAIP (Responsible AI Practitioner) aprofunda o ciclo de vida e o inventário de sistemas de IA.