Frameworks – NIST AI RMF: o que a plataforma cobre
O NIST AI RMF é um framework de gestão de risco de inteligência artificial publicado pelo instituto de normas dos Estados Unidos. Como o NIST CSF, ele é voluntário e não certificável: serve para organizar e medir, não para receber um selo.
Para quem serve
Para empresas que usam ou desenvolvem IA e precisam demonstrar que pensam nos riscos disso, sem necessariamente buscar certificação.
Os casos:
- Clientes começaram a perguntar como a empresa governa IA, e você quer uma resposta estruturada.
- A empresa adotou IA rapidamente e precisa organizar o assunto internamente.
- A empresa quer se preparar antes de partir para uma certificação, como a ISO 42001.
- A conversa com a diretoria sobre IA precisa de uma estrutura compreensível.
A relação com a ISO 42001
As duas tratam de governança de IA, e a diferença é a mesma que existe entre o NIST CSF e a ISO 27001:
| NIST AI RMF | ISO 42001 | |
|---|---|---|
| Natureza | Voluntário, não certificável | Norma certificável |
| Uso típico | Organizar, diagnosticar, comunicar | Demonstrar formalmente ao mercado |
| Melhor momento | Antes, para entender onde você está | Depois, quando alguém pede prova |
Habilitar os dois é comum e faz sentido: o AI RMF ajuda a montar o programa, a ISO 42001 o certifica. E como as exigências se sobrepõem bastante, a plataforma mostra o percentual já coberto ao habilitar o segundo.
As quatro funções
O framework organiza o trabalho em quatro funções, e essa estrutura é o principal valor dele:
| Função | A pergunta que ela responde |
|---|---|
| Governar | Quem decide sobre uso de IA na empresa, com que critério e sob que responsabilidade |
| Mapear | Onde a IA é usada, para quê, e quem é afetado |
| Medir | Como avaliar se o sistema funciona como esperado, e quais riscos ele traz |
| Gerenciar | O que fazer a respeito, com priorização e acompanhamento |
A função Mapear é onde a maioria das empresas descobre o tamanho real do assunto. O inventário quase sempre revela mais uso de IA do que a liderança imaginava, porque áreas adotam ferramentas sem passar pela tecnologia.
Riscos que este framework tira do abstrato
O valor prático dele está em nomear preocupações que costumam ficar vagas:
- Viés, quando o sistema trata grupos de forma desigual.
- Confiabilidade, quando ele erra de formas que ninguém previu.
- Transparência, quando não é possível explicar por que uma decisão foi tomada.
- Supervisão, quando não há humano capaz de revisar e reverter.
- Uso de dados, especialmente dados pessoais, no treinamento e na operação.
Cada um desses temas vira controle na plataforma, o que os transforma de conversa em item de trabalho com responsável.
O que é comprovado automaticamente e o que não é
Vale ser direto: quase nada aqui é automatizável. Não existe integração que confira governança de IA.
| Função | Como é comprovada |
|---|---|
| Governar | Política de uso de IA publicada, papéis definidos, registro de decisões |
| Mapear | Inventário documentado dos sistemas de IA em uso |
| Medir | Avaliações registradas como evidência |
| Gerenciar | Módulo de Riscos, com o risco ligado ao tratamento |
O que a plataforma faz aqui é organizar, cobrar e guardar. O trabalho é humano.
Por onde começar
- Faça o inventário. Pergunte a cada área quais ferramentas de IA ela usa. Esta etapa costuma ser reveladora.
- Classifique por impacto sobre pessoas. Separe o que afeta decisões sobre clientes e candidatos do que é conveniência interna.
- Publique a política de uso de IA. O que é permitido, o que exige aprovação, o que é vedado.
- Registre os riscos no módulo de Riscos, com tratamento apontando para o controle correspondente.
- Defina supervisão humana onde ela é necessária, e registre como funciona na prática.
- Reavalie a distribuição entre as funções periodicamente. É o uso natural deste framework.
O que costuma dar problema
- Inventário incompleto. Ferramentas adotadas por marketing, RH ou atendimento sem registro central.
- Ficar só em Governar. Publicar a política e parar ali. Mapear e Medir são onde o risco real aparece.
- Supervisão humana declarada e inexistente. É o achado mais grave, porque é uma afirmação falsa.
- Confundir com uma norma certificável. Não existe certificado de AI RMF. Se o cliente quer prova formal, o caminho é a ISO 42001.
⚠️ Esta página descreve o propósito e a estrutura geral do framework em linguagem própria, para orientar o uso da plataforma. As publicações do instituto responsável são de acesso público e são a referência oficial.
Este artigo foi útil?