A divisão de sinistros da Northbridge Mutual deseja implementar um copiloto de IA generativa para resumir as anotações dos reguladores de sinistros. Antes de aprová-lo, a equipe de governança deve definir quem é o responsável pelo caso de uso, quais dados podem ser processados, quais riscos exigem tratamento e quais evidências embasam a decisão. Estruturaremos o modelo operacional de um programa que transforma solicitações de adoção de IA em decisões rastreáveis, controles e relatórios para o conselho. [fontes][/fontes]
Um inventário de IA registra todos os sistemas e casos de uso de IA, bem como seus responsáveis, finalidades, dados, fornecedores e níveis de risco. Um registro de riscos de IA documenta cada risco identificado, seu responsável, classificação, tratamento e data de revisão. Juntos, esses artefatos conferem visibilidade ao programa e oferecem aos avaliadores um ponto de partida confiável. O modelo operacional da Northbridge Mutual conecta as etapas de triagem, classificação, controle, monitoramento e elaboração de relatórios:
Um programa passível de fundamentação demonstra quem tinha autoridade para aprovar, questionar ou interromper uma decisão e preserva as evidências que embasam essa decisão. Os direitos de decisão atribuem essas autoridades aos proprietários de negócios, às áreas de risco e conformidade, segurança, jurídico, compras e à alta liderança. Eles evitam que uma aprovação se transforme em uma troca informal de e-mails sem um responsável definido. [fontes][/fontes]
O programa também exige mecanismos de execução e controle. O responsável pela governança de IA verifica a integridade do inventário e as revisões pendentes, seguindo a periodicidade definida pela organização. Os responsáveis pelos controles fornecem as evidências. Uma violação desencadeia investigação, ação corretiva e, quando justificado, a suspensão do caso de uso afetado. Uma exceção registra a justificativa de negócio, a autoridade de aceitação de risco, a data de validade e as condições para a continuidade do uso. [fontes][/fontes]
Evidências são fundamentais Uma política só se torna governança quando os responsáveis designados a verificam, registram os resultados e agem diante de violações. [fontes][/fontes]
O controle de mudanças mantém o registro atualizado sempre que há alterações na finalidade do sistema, nas fontes de dados, no fornecedor, no modelo ou na população afetada. Isso está alinhado à Estrutura de Gerenciamento de Riscos de IA do NIST (NIST AI RMF), cuja função “Governar” abrange a responsabilidade e as políticas organizacionais, enquanto as funções “Mapear”, “Medir” e “Gerenciar” conectam essas decisões aos riscos identificados e às medidas de tratamento. [fontes][/fontes]
Um programa funciona como um ciclo operacional recorrente, e não como uma etapa única de aprovação. A primeira linha — a equipe de negócios que opera o caso de uso — é responsável pelo uso seguro e pelas evidências. A segunda linha define políticas, questiona decisões sobre riscos e monitora a conformidade. A terceira linha fornece garantia independente por meio da auditoria interna. A escalada para a alta liderança ocorre quando o risco residual, a não conformidade recorrente ou uma mudança significativa excedem a autoridade delegada. [fontes][/fontes]
A Northbridge Mutual pode utilizar um ciclo mensal para manter seus registros e identificar lacunas antes que elas se tornem apontamentos de auditoria. Podemos rastrear como cada atividade embasa a decisão seguinte: