Relacione obrigações a evidências

Comece pelo sistema e seu uso pretendido

“Usamos IA” não fornece informações suficientes para determinar obrigações legais. Descreva o serviço, os usuários, os dados, as decisões, as jurisdições e o papel da organização. Diferencie a IA usada para desenvolver software da IA usada dentro do produto entregue.

Por exemplo, usar um assistente de programação para implementar um cálculo fixo é diferente de implantar um modelo que avalia candidatos a emprego. Ambos precisam de um processo de desenvolvimento adequado. Seus efeitos operacionais e as obrigações aplicáveis podem ser diferentes.

Peça a um responsável qualificado de jurídico ou compliance que avalie a aplicabilidade. A Comissão Europeia explica a estrutura baseada em risco do AI Act. Verifique a legislação e as orientações atuais para o caso de uso real, em vez de depender de um prazo lembrado de memória. Estrutura do AI Act.

Separe quatro partes do registro

Uma obrigação informa o que deve ser alcançado. Um controle descreve como a organização responde a ela. A evidência mostra o que aconteceu ou o que foi verificado. Uma decisão registra quem aceitou a conclusão e sob quais condições.

Considere uma exportação fictícia de clientes. A organização tem uma política que permite aos gerentes exportar registros apenas da própria organização. Um registro útil pode conter:

Esse exemplo ilustra um requisito interno. Não afirma que um teste atende a uma lei específica. Mantenha essa distinção nos registros.

Trate documentos gerados como trabalho a revisar

A IA pode ajudar a redigir uma descrição de fluxo de dados, identificar campos ausentes ou resumir evidências existentes. Também pode presumir um destinatário, inventar um controle ou descrever um backup que ninguém testou.

Confira cada afirmação relevante no sistema. Se um documento disser que os dados são criptografados, identifique o armazenamento relevante, a gestão de chaves e as evidências de configuração. Se disser que o acesso é revisado, localize o processo e seus registros reais.

Uma avaliação de impacto sobre a proteção de dados, ou DPIA, trata do processamento e de seus efeitos sobre as pessoas. Pelo Artigo 35 do GDPR, a exigência depende da probabilidade de alto risco e do contexto do tratamento. Produzir um arquivo com esse título não conclui a avaliação. Artigo 35 do GDPR.

Mantenha evidências atuais e proporcionais

Vincule as evidências a uma versão, um ambiente e uma data. Um teste de um release anterior pode não cobrir um caminho de autorização alterado. Defina quando uma mudança relevante exige nova revisão.

Colete o que sustenta a decisão. Evite reter registros completos de clientes apenas para provar que um teste de exportação foi executado. Um teste bem projetado pode usar dados fictícios e registrar o resultado necessário.

Uma ferramenta eficaz de governança conecta requisitos, trabalho, evidências e decisões. Ela não elimina a responsabilidade da organização de interpretar obrigações ou operar controles. Avalie essa conexão ao comparar ferramentas individuais de programação com um sistema completo de entrega.