O registro de riscos de IA é a lista viva dos riscos de um sistema de inteligência artificial, com a probabilidade e o impacto de cada um, os controles existentes, o risco que sobra depois deles (residual), o responsável e o tratamento decidido. Ele mostra onde agir primeiro, sustenta decisões da alta direção e liga a gestão de riscos de IA à gestão de riscos corporativos da organização.
Como usar
- Descreva o sistema: origem, se é generativo, finalidade, peso na decisão, dados pessoais e pessoas afetadas.
- Preencha a tabela com um risco por linha, dando probabilidade e impacto de 1 a 5, o controle existente, a eficácia e o responsável. Com a tabela vazia, o resultado sugere um registro inicial pelo contexto.
- Leia as cinco prioridades, o mapa de calor do risco residual, os avisos e as categorias que faltam.
- Exporte em DOCX, CSV, PDF ou Markdown e leve os riscos para a DPIA quando houver dados pessoais.
O que cada campo pede
| Campo | O que preencher |
|---|---|
| Sistema de IA | O nome pelo qual a organização conhece o sistema. |
| Origem do sistema | |
| É IA generativa? | |
| Finalidade e contexto | O que o sistema faz, quem usa o resultado e para qual decisão. |
| Peso na decisão | O quanto o resultado decide sobre as pessoas. |
| Dados pessoais | O tipo mais sensível de dado pessoal que o sistema recebe ou gera. |
| Pessoas afetadas | Quem sente os efeitos do resultado. Deixe vazio se ninguém for afetado. |
| Próxima revisão do registro | Data em que o registro será revisto. |
| Categoria | |
| Descrição do risco | Ex.: resumo com fato inventado leva a prioridade errada |
| Probabilidade (1 a 5) | 1 rara, 5 quase certa. |
| Impacto (1 a 5) | 1 insignificante, 5 grave para pessoas ou para a organização. |
| Controle existente | Ex.: analista confere o resumo com os documentos |
| Eficácia do controle | |
| Responsável | Ex.: gerente de sinistros |
Exemplo
Uma seguradora fictícia registra oito riscos do assistente de triagem de sinistros, uma IA generativa de fornecedor que recomenda a prioridade de análise. A injeção de prompt pelo texto livre do aviso (5 × 4 = 20, sem controle) fica crítica e vai para a alta direção; analistas que aceitam a sugestão sem revisar (4 × 5, controle fraco, residual 15) fica alto e sem responsável. Três riscos ficam médios e três baixos, e a ferramenta aponta propriedade intelectual e uso indevido como categorias que faltam.
Quando usar
- Antes de colocar um sistema de IA em produção ou de ampliar o seu uso.
- Quando o inventário de IA mostra um sistema de risco médio ou alto.
- Para levar os riscos de IA ao comitê de riscos ou à alta direção com uma régua comum.
- Na revisão periódica, depois de um incidente ou de uma mudança de modelo ou de fornecedor.
Perguntas frequentes
O que deve ter um registro de riscos de IA?
Para cada risco: categoria, descrição, probabilidade, impacto, controle existente e eficácia, risco residual, tratamento, responsável e data de revisão. A ferramenta acrescenta o mapa de calor, as prioridades e a ligação de cada categoria com o NIST AI RMF, o AI Act europeu e o GDPR.
Como o risco residual é calculado?
O risco inerente é probabilidade vezes impacto, de 1 a 25. O controle reduz a probabilidade em 0, 1, 2 ou 3 níveis conforme a eficácia (nenhuma, fraca, parcial ou forte), nunca abaixo de 1, e o impacto não muda. Eficácia marcada sem controle descrito conta como nenhuma.
Quais são as faixas e o tratamento?
De 1 a 4 o risco é baixo e pode ser aceito; de 5 a 9 é médio e deve ser monitorado; de 10 a 16 é alto e pede plano de mitigação; de 17 a 25 é crítico e deve ser escalado para a alta direção. Ajuste a régua ao apetite de risco da sua organização.
De onde vem o registro inicial sugerido?
Do contexto informado. IA generativa traz inexatidão, propriedade intelectual e uso indevido; fornecedor traz riscos de terceiros; dados pessoais trazem privacidade; recomendação ou decisão automática traz supervisão humana. As notas iniciais são estimativas para você ajustar.
O registro substitui a DPIA ou a FRIA?
Não. O registro organiza todos os riscos do sistema; a DPIA trata os riscos às pessoas no tratamento de dados pessoais, e a FRIA, quando exigida pelo AI Act europeu, trata os direitos fundamentais e pode reaproveitar a DPIA. A ferramenta é educativa, não é parecer jurídico nem auditoria.
Qual certificação DPCert cobre este tema?
A avaliação de risco e de impacto de IA é um domínio da RAIP Responsible AI Practitioner. A integração dos riscos de IA à gestão de riscos corporativos é tema da RAIL Responsible AI Leader.