Inteligência Artificial como acelerador de Compliance
A promessa mais repetida sobre IA em compliance é a de escrever políticas. É a promessa menos interessante que existe, porque escrever política nunca foi o gargalo. Qualquer consultoria entrega um conjunto de políticas em duas semanas. O gargalo é provar, todo dia, que aquilo que está escrito acontece de fato: que o log está sendo retido pelo prazo definido, que o acesso do funcionário desligado foi revogado em 24 horas, que o fornecedor crítico revisou o plano de continuidade neste ciclo.
É aí que a conversa sobre IA em compliance fica útil, e é aí que uma plataforma se separa de um assistente de texto.
Avaliação de documentos
O primeiro uso dentro da Imara Trust é leitura, não escrita.
Um programa de compliance vive cercado de documento de terceiro: relatório SOC 2 Type II de fornecedor, certificado ISO com anexo de escopo, contrato com cláusula de segurança, DPA, laudo de pentest, política interna herdada de uma gestão anterior. Ler tudo isso na mão consome hora de profissional caro e produz resultado desigual, porque o analista que lê o décimo relatório do mês não lê com a mesma atenção do primeiro.
A plataforma extrai o que interessa de forma estruturada: qual o escopo real da certificação (e o que ficou de fora), quais exceções o auditor registrou, quais controles são responsabilidade do cliente e não do provedor, qual a data de validade. Depois compara isso com os requisitos que a sua organização definiu e aponta onde não bate.
O mesmo mecanismo funciona para dentro. Ao ingerir a política de acesso que a empresa já tinha, a plataforma indica quais cláusulas da ISO 27001 aquele documento cobre, quais deixa em aberto e onde o texto contradiz outro documento aprovado.
Avaliação de fornecedores
Gestão de terceiros é onde a maioria dos programas de compliance mente para si mesma. O questionário de 120 perguntas vai por e-mail, volta preenchido em três meses, alguém arquiva o PDF e o processo se considera cumprido. Ninguém lê. Quando o auditor pergunta como a criticidade do fornecedor foi definida, a resposta costuma ser um silêncio constrangido.
Com IA, o fluxo muda de forma. A resposta do questionário é confrontada com a evidência anexada, e a divergência aparece: o fornecedor marcou que faz backup testado, mas o relatório que ele mesmo enviou não menciona teste de restauração. A criticidade deixa de ser um campo preenchido no chute e passa a considerar o dado que o fornecedor processa, o tipo de acesso que ele tem, o volume de titulares envolvido e a dificuldade de substituição.
O ganho maior é de cadência. Reavaliar duzentos fornecedores por ano é inviável para um time de três pessoas. Reavaliar duzentos fornecedores quando a plataforma lê, compara e entrega uma fila priorizada de quinze casos que precisam de olho humano é rotina de terça-feira.
Riscos e tratamentos
Montar um inventário de riscos do zero é o ponto onde muitos projetos travam. A folha em branco paralisa, e o resultado costuma ser um registro genérico copiado de outro cliente.
A plataforma parte do que já sabe sobre a organização: os ativos inventariados, os processos mapeados, os fornecedores classificados, o setor de atuação, os incidentes registrados. A partir disso propõe riscos com cenário descrito, sugere probabilidade e impacto com a justificativa da nota, e associa cada risco aos controles do Anexo A ou às subcategorias do NIST CSF 2.0 que o endereçam.
O tratamento vem junto. Para um risco de exposição de credencial em repositório de código, a proposta já chega com o controle correspondente, o responsável sugerido pelo papel que ele ocupa, um prazo compatível com a severidade e a evidência que vai comprovar a execução. O trabalho do time deixa de ser criar e passa a ser criticar, que é uma tarefa muito mais rápida e muito mais adequada a quem tem experiência.
O mesmo vale para os artefatos de LGPD. ROPA, LIA e RIPD partem dos processos já cadastrados em vez de um formulário vazio, e a análise de legítimo interesse chega com o teste de balanceamento rascunhado a partir da finalidade declarada.
Onde a IA sozinha não chega
Tudo o que está acima acelera a produção de compliance. Nada disso, sozinho, prova compliance. Um modelo de linguagem sem acesso ao ambiente produz texto plausível, e texto plausível é exatamente o tipo de artefato que um auditor competente destrói em quinze minutos.
A virada acontece nas integrações. Quando a plataforma se conecta ao provedor de nuvem, ao diretório de identidade, à ferramenta de MDM, ao repositório de código, ao sistema de chamados e ao RH, ela para de perguntar se o controle está implementado e passa a verificar. A evidência deixa de ser um print colado numa pasta e vira uma consulta com data, origem e resultado registrados.
Essa diferença é o que separa uma ferramenta de redação de um sistema de compliance. A IA interpreta o requisito da norma e traduz em uma verificação executável. A integração executa a verificação. A plataforma guarda o resultado com rastreabilidade.
O ciclo que roda sozinho
Com as duas peças no lugar, o programa passa a rodar em um ciclo fechado. A plataforma consulta o estado real do ambiente, compara com o que o controle exige, identifica o desvio, abre o chamado para o responsável certo, acompanha o prazo, reverifica depois da correção e registra o histórico completo da ocorrência.
Nenhuma dessas etapas precisa de uma pessoa para acontecer. Todas precisam de uma pessoa para serem confiáveis, e a diferença entre as duas frases é o que define o nível de autonomia que a organização escolhe operar.
A Imara Trust opera hoje entre os níveis 2 e 3, com variação por módulo e pela integração disponível no ambiente do cliente. O nível 4 é para onde o produto está sendo construído.
| Nível | O que a plataforma faz | O que a pessoa faz |
|---|---|---|
| 0 | Planilha e pasta compartilhada | Todo o trabalho |
| 1 | Estrutura controles, cláusulas, prazos e responsáveis | Coleta, avalia e decide |
| 2 | Gera documento, propõe risco, sugere tratamento e classifica fornecedor | Revisa, corrige e aprova |
| 3 | Coleta evidência por integração, compara com o requisito e aponta o desvio | Decide o que fazer com o desvio |
| 4 | Abre o chamado, cobra o responsável, reverifica a correção e fecha o ciclo | Aceita risco, aprova exceção e responde ao auditor |
A Imara Trust opera hoje entre os níveis 2 e 3, com variação por módulo e pela integração disponível no ambiente do cliente.
Um comentário sobre o desenvolvimento
Vale registrar um uso lateral de IA, que não é o tema deste artigo mas explica parte da velocidade. A Imara usa assistentes de código no desenvolvimento da própria plataforma. O efeito prático aparece no relacionamento com parceiros: quando um MSSP pede um módulo específico, como continuidade de negócios alinhada à ISO 22301, o ciclo de entrega é de semanas. Sem isso, pedido de parceiro vira item de backlog anual.
Nenhuma dessas etapas precisa de uma pessoa para acontecer. Todas precisam de uma pessoa para serem confiáveis, e a diferença entre as duas frases é o que define o nível de autonomia que a organização escolhe operar.
A hipótese de eliminar a interação humana da execução do programa é realista. A de eliminar a pessoa do programa não é, e o motivo não é técnico.
A ISO 27001 exige comprometimento da direção como requisito de cláusula, não como recomendação. A LGPD exige um encarregado, que é uma pessoa com nome e responsabilidade. Aceitar um risco residual é decisão de negócio, e negócio nenhum delega decisão para um sistema que não pode ser responsabilizado. Quando o auditor senta na sala, ele não audita o software. Ele audita a decisão de alguém, e quer entender por que aquele risco foi aceito naquele nível.
Existe ainda um ponto que o mercado ainda vai discutir bastante: a ação automatizada vira, ela mesma, objeto de auditoria. Se a plataforma classificou um fornecedor como crítico, alguém vai perguntar com base em quê. O registro de como a decisão foi tomada, com qual modelo, sobre quais dados e sob qual regra, passa a ser evidência obrigatória. Autonomia sem esse registro não passa em auditoria nenhuma.
Por isso a meta correta não é zerar a hora humana. É inverter a proporção. Hoje, na maioria dos programas, algo em torno de 80% do esforço é execução e coleta, e 20% é julgamento. Com plataforma e integração operando no nível 3, essa relação se inverte. No nível 4, a execução some da conta e sobra o julgamento, que é justamente o que se espera de um profissional sênior de segurança e privacidade.
Um teste simples
Para saber onde a sua operação está, faça uma pergunta ao seu processo atual: quais controles estavam em conformidade no dia 12 de março, e como você sabe disso.
Se a resposta exigir que alguém abra uma planilha, procure uma pasta e reconstitua o histórico de memória, o problema não é falta de IA. É falta de sistema. A IA acelera bastante um programa estruturado. Ela não organiza a bagunça de ninguém.
Saiba antes de todo mundo as novidade da Imara
Prometemos que não enviaremos spam.