Governança do uso de IA é o conjunto de políticas, responsabilidades, controles e evidências usado para determinar e verificar como pessoas, aplicações e agentes podem usar IA em uma organização.
Essa definição operacional concentra-se na atividade e em seu contexto de trabalho. A decisão relevante abrange uma finalidade, usuários ou identidades que atuam, uma aplicação e sua configuração, as informações processadas e os usos permitidos do resultado. Uma aplicação pode continuar aprovada enquanto determinada atividade exige outra decisão.
O que uma decisão sobre o uso abrange
A permissão para usar uma aplicação não especifica todos os dados que podem ser enviados nem todos os destinatários permitidos para suas saídas. Uma decisão sobre o uso precisa ter escopo suficiente para explicar qual atividade é permitida e em quais condições. Ela deve identificar quem pode esclarecer dúvidas ou aprovar mudanças nessas condições.
O AI RMF Playbook do NIST, em MAP 1.1, enfatiza a finalidade prevista, os usuários, o contexto e as premissas. A governança do uso aplica essa atenção à atividade realizada, em vez de tratar o nome da aplicação como uma descrição completa do uso.
Como as condições são aplicadas
As decisões da organização estabelecem as finalidades permitidas e as regras para tratar as informações. Procedimentos e controles técnicos aplicam as condições relevantes nos pontos em que o fluxo pode afetar dados ou sistemas. Algumas decisões dizem respeito ao envio de informações; outras, à revisão ou distribuição do resultado. Uma aprovação não substitui implicitamente a outra.
As evidências ajudam a determinar se a atividade corresponde à permissão e se as condições relevantes foram aplicadas. Quando os registros disponíveis não comprovam um fato, essa incerteza continua fazendo parte da revisão. Verificar, aqui, não significa que toda condição seja avaliada automaticamente por software.
Mudanças nos dados, no público, na conta, na funcionalidade ou na tarefa podem exigir uma revisão do escopo aprovado. Manter o mesmo modelo ou a mesma aplicação não responde a essas questões por si só.
O que o termo não comprova
A governança do uso vai além de manter um inventário de aplicações ou publicar uma política de uso aceitável. Nenhum dos dois comprova como toda atividade efetiva foi tratada. O rótulo também não garante descoberta, prevenção, conformidade ou visibilidade completas em todos os caminhos de acesso.
Conceitos relacionados
- A governança de IA abrange as decisões organizacionais mais amplas sobre desenvolver, implantar e usar IA.
- Shadow AI trata do uso fora do escopo de aprovação ou gestão da organização. Evidências incompletas de descoberta devem continuar distintas de um uso não aprovado confirmado.
O pilar de governança do uso de IA explica como essas decisões se aplicam a pessoas, aplicações, agentes, dados de entrada e saídas em fluxos de trabalho empresariais.