Diagnóstico de Maturidade em Governança de IA
O Diagnóstico de Maturidade em Governança de IA é uma avaliação feita por questionário e entrevistas com os departamentos-chave da empresa, apoiada em referências como ISO/IEC 42001 e NIST AI RMF.
Mostra a maturidade da governança de IA, os riscos de IA mais críticos para o negócio, o que já está controlado e por onde começar.
- CríticoDados de clientes em ferramentas públicas de IA
- CríticoAgente com acesso amplo ao CRM, sem revisão
- AltoFornecedores de IA sem cláusula sobre uso dos dados
- AltoPolítica de uso de IA não comunicada
- MédioSem indicadores de governança de IA
- Publicar a regra de uso de dados em ferramentas de IA
- Revisar as permissões do agente ligado ao CRM
- Montar o inventário inicial de ferramentas
O que o diagnóstico entrega
Uma fotografia da governança de IA da empresa, com três resultados.
Maturidade
Nível de 1 a 5 em seis dimensões de governança de IA.
Riscos prioritários
Os riscos de IA mais críticos para o setor e o modelo de negócio da empresa.
Por onde começar
O que já está controlado, o que falta e as ações rápidas para os primeiros 90 dias.
- Médias e grandes empresas que já usam IA, oficialmente ou não.
- Questionário online, com cada grupo de perguntas enviado ao departamento responsável, e entrevistas remotas.
- De 20 a 40 minutos de questionário por departamento, mais as entrevistas e a devolutiva.
- Relatório e devolutiva em até 30 dias após a última entrevista.
Como o diagnóstico é feito
- Padronizado. O mesmo método, a mesma escala e os mesmos critérios para todas as empresas.
- Foco no que importa. Maturidade em seis dimensões e os riscos de IA mais críticos para o tipo de negócio.
- Cada pergunta com quem sabe. Cada grupo de perguntas vai ao departamento que domina o tema.
- Regras fixas. A mesma resposta gera a mesma nota, qualquer que seja o consultor.
O que o diagnóstico não é
- Auditoria ou pré-auditoria
- Certificação ISO/IEC 42001
- Parecer jurídico ou de conformidade
- Inventário de todos os riscos da empresa
- Teste técnico de sistemas
Como funciona
Cinco fases, do início à devolutiva, com as mesmas regras para todas as empresas.
Preparação
Reunião de abertura, NDA e consentimentos. Cada grupo de perguntas é enviado ao departamento responsável.
- Patrocinador e ponto focal
- Cronograma e respondentes definidos
Questionário
Contexto, inventário de IA e cerca de 60 perguntas de maturidade, respondidos online pelos departamentos.
- Departamentos respondentes
- Respostas completas e inventário
Entrevistas
Remotas, por departamento ou grupo de trabalho, para validar o questionário e resolver divergências.
- Departamentos ou grupos de trabalho
- Respostas validadas, com status
Análise
Notas pelos critérios de pontuação, sinais críticos, priorização dos riscos pelo perfil e revisão de qualidade.
- Ponto focal, para dúvidas pontuais
- Notas, riscos e prioridades
Relatório e devolutiva
Relatório padronizado e devolutiva com o patrocinador e os participantes.
- Patrocinador e participantes
- Relatório final e próximos passos
Os 30 dias contam a partir da última entrevista, com o questionário completo. Atrasos da empresa deslocam o prazo.
- Consultor IA SeguraConduz a abertura e as entrevistas, faz a análise, elabora o relatório e apresenta a devolutiva.
- Compromissos da IA SeguraMesmo método para todas as empresas, sigilo e revisão de qualidade antes da entrega.
- PatrocinadorExecutivo que garante prioridade ao diagnóstico e participa da devolutiva.
- Ponto focalOrganiza a agenda, distribui os grupos de perguntas e acompanha os prazos.
- Departamentos respondentesRespondem os seus grupos de perguntas e participam das entrevistas.
- NDA e consentimentos assinados
- Patrocinador e ponto focal nomeados
- Departamentos respondentes indicados
- Reunião de abertura agendada
O que avaliamos
Um questionário em três blocos, respondido online pelos departamentos, que pode ser salvo e retomado.
- Não pontua
Bloco A: Contexto e perfil
Setor, modelo de negócio, porte, regulações aplicáveis, operação na Europa e patrocinador. Define o perfil de risco.
- Não pontua · em lista
Bloco B: Inventário de IA
Ferramentas de IA generativa, sistemas próprios, IA embutida em fornecedores, agentes e usos que afetam pessoas. Define a exposição.
- Pontua · cerca de 60 perguntas
Bloco C: Maturidade
Seis dimensões, divididas em grupos de perguntas. Cada pergunta tem cinco respostas, uma para cada nível, mais "não sei" e, nos grupos opcionais, "não se aplica".
Seis dimensões de maturidade
Governança e responsabilidades
- Direção e estratégia
- Política e regras de uso
- Papéis, comitê e capacitação
Inventário e uso de IA
- Visibilidade e uso não autorizado
- Aprovação de novos usos
- Ciclo de vida (opcional)
Dados e privacidade
- Dados em ferramentas de IA
- Dados pessoais e LGPD
- Treinamento e retenção
Segurança e acesso
- Identidade e acesso, inclusive de agentes
- Proteção das aplicações
- Registro e monitoramento
Fornecedores e terceiros
- Avaliação e contratação
- Acompanhamento e termos
Impacto, conformidade e incidentes
- Impacto sobre pessoas
- Obrigações legais
- Incidentes
- Monitoramento e melhoria
Quem responde
Liderança ou patrocinador
- Contexto e perfil
- Direção e estratégia
- Papéis, comitê e capacitação
- Monitoramento e melhoria
Segurança e TI
- Inventário de IA
- Política e regras de uso
- Visibilidade e uso não autorizado
- Dados em ferramentas de IA
- Segurança e acesso
- Incidentes
Privacidade e jurídico
- Dados pessoais e LGPD
- Fornecedores e terceiros
- Impacto sobre pessoas
- Obrigações legais
Dados e produto
- Aprovação de novos usos
- Ciclo de vida
- Treinamento e retenção
Os departamentos variam de empresa para empresa: esta divisão é uma referência, ajustada com o ponto focal. Algumas perguntas vão para dois departamentos, para revelar divergências.
Como a nota é calculada
Regras fixas: a mesma resposta gera a mesma nota, qualquer que seja o consultor.
Escala de maturidade
- Nível 1: InicialNão existe ou acontece de forma isolada, sem responsável.
- Nível 2: RepetívelAcontece na prática, mas depende de pessoas, sem registro.
- Nível 3: DefinidoDocumentado, aprovado e comunicado às áreas.
- Nível 4: GerenciadoAplicado de forma consistente e medido com indicadores.
- Nível 5: OtimizadoRevisado e melhorado com base em resultados.
Risco de cada dimensão
- CríticoAlgum sinal crítico presente
- AltoNível 1 ou 2
- MédioNível 3
- BaixoNível 4 ou 5
Se o inventário mostra uso pouco relevante de IA naquela dimensão, o risco pode descer um grau, com justificativa no relatório.
Sinal crítico é uma situação que torna crítico o risco de uma dimensão, qualquer que seja a média, como dados pessoais ou confidenciais entrando em ferramentas públicas de IA sem regra. Ele limita a dimensão ao nível 2.
Regras de cálculo
- A nota do grupo é a média das respostas. A nota da dimensão é a média dos grupos, arredondada para baixo, e os grupos pesam igual.
- A nota só é calculada com todas as perguntas respondidas. "Não sei" conta como resposta, no nível 1, e aparece sinalizado como desconhecido.
- Quando dois departamentos divergem, vale o menor nível até as entrevistas resolverem.
- As entrevistas só alteram uma resposta com justificativa registrada.
- Cada resposta tem um status: declarada no questionário, confirmada na entrevista ou divergente entre departamentos.
Como a empresa sabe quais ferramentas de IA estão em uso?
- Nível 1: Não sabe.
- Nível 2: Sabe por relatos informais dos departamentos.
- Nível 3: Tem um inventário documentado das ferramentas aprovadas.
- Nível 4: Atualiza o inventário periodicamente, incluindo o uso não autorizado detectado.
- Nível 5: O inventário está ligado à aprovação de novos usos e é monitorado continuamente.
Como os riscos são priorizados
O diagnóstico não lista todos os riscos da empresa. Ele aponta os mais críticos para o tipo de negócio.
Perfil do negócio
Setor, modelo de negócio, regulações e usos de IA, vindos do contexto e do inventário.
Cenários relevantes
O catálogo de riscos é filtrado pelos cenários que se aplicam a esse perfil.
Cruzamento
Cada cenário é avaliado pela maturidade dos grupos de perguntas ligados a ele.
Riscos prioritários
Os cinco mais críticos vão para o relatório, com a justificativa.
| Relevância para o perfil | Nível 1 ou 2 | Nível 3 | Nível 4 ou 5 |
|---|---|---|---|
| Alta | Crítico | Alto | Médio |
| Média | Alto | Médio | Baixo |
| Baixa | Médio | Baixo | Baixo |
Colunas: maturidade do grupo de perguntas ligado ao cenário. Um sinal crítico ligado ao cenário o torna crítico.
Em uma operadora de saúde, dados sensíveis em ferramentas públicas e decisões automatizadas sobre pacientes têm relevância alta. Em uma indústria sem atendimento ao consumidor, os mesmos cenários podem ter relevância média.
Relatório e devolutiva
Um relatório padronizado, com a mesma estrutura para todas as empresas, e uma devolutiva para combinar os próximos passos.
Estrutura do relatório
- Resumo executivo, em até 2 páginas
- Radar de maturidade nas seis dimensões
- Os cinco riscos mais críticos para o negócio
- Sinais críticos encontrados
- Por dimensão: o que está controlado e o que falta
- Ações rápidas para os primeiros 90 dias
- Página de observações sobre o contexto
- Próximos passos
- Anexos: respostas, mapeamento das referências, premissas e limitações
Devolutiva em até 30 dias
Com o patrocinador e os participantes, até 30 dias após a última entrevista. Apresenta os resultados, esclarece dúvidas e combina os próximos passos.
A porta de entrada da jornada de governança de IA
O relatório indica prioridades, não qual serviço contratar. Quando fizer sentido para a empresa, a IA Segura apresenta uma proposta de estruturação da governança.
- Estruturação da Governança de IA
- Governança de IA as a Service
- Preparação para Certificação ISO/IEC 42001
- Treinamentos em IA
Premissas e limitações
Valem para todas as empresas, com o mesmo método.
Escopo
A organização como um todo. Sistemas de IA não são avaliados individualmente.
Base
Informações declaradas pelos participantes, sem verificação da IA Segura.
Foco
Os riscos de IA mais críticos para o setor e o modelo de negócio, não todos os riscos.
Ponto focal
A empresa indica um responsável e garante a disponibilidade dos participantes.
Prazos
Relatório e devolutiva em até 30 dias após a última entrevista. Atrasos da empresa deslocam o prazo.
Método único
Mesmos critérios de pontuação, escala e sinais críticos para todas as empresas.
Referências
ISO/IEC 42001, ISO/IEC 23894, NIST AI RMF, LGPD, PL 2338/2023 e EU AI Act apoiam o método, sem medir conformidade.
Confidencialidade
NDA prévio, com os dados tratados conforme o contrato e a LGPD.
Reavaliação
Com o mesmo questionário, conforme a proposta.
O que o diagnóstico não é e não entrega
- Não é auditoria nem pré-auditoria. Não há coleta nem análise de documentos ou evidências.
- Não é parecer de conformidade legal ou regulatória nem opinião jurídica.
- Não é certificação e não a garante. A certificação é emitida por organismo acreditado.
- Não inclui testes técnicos em sistemas, modelos ou aplicações.
- Não avalia em profundidade sistemas de IA nem fornecedores específicos.
- Depende da exatidão das respostas. Divergências não resolvidas aparecem sinalizadas.
- É uma fotografia de uma data. Mudanças posteriores só aparecem na reavaliação.
- Prioriza os riscos mais críticos para o negócio. Não identifica todos os riscos nem garante que incidentes não aconteçam.
- É de uso interno e não comprova conformidade perante clientes, reguladores ou auditores.
- As recomendações são orientativas. Decidir e implementar cabe à empresa.
- Não inclui documentos, controles ou ferramentas, que ficam na Estruturação da Governança de IA.
- A comparação é com referências como ISO/IEC 42001 e NIST AI RMF, não com outras empresas.
Diagnóstico de Maturidade
Formato, prazo, participantes e o que vem depois.
O que é o Diagnóstico de Maturidade em Governança de IA?
É uma avaliação feita por questionário e entrevistas com os departamentos-chave da empresa, apoiada em referências como ISO/IEC 42001 e NIST AI RMF. Mostra a maturidade da governança de IA, de 1 a 5, em seis dimensões, os riscos de IA mais críticos para o negócio, o que já está controlado e por onde começar.
O Diagnóstico de IA gratuito substitui este diagnóstico?
Não. O Diagnóstico de IA gratuito do site é uma referência inicial, de alto nível: cerca de dez minutos, respondido por uma pessoa, para direcionar onde olhar primeiro. Não tem a profundidade deste. O Diagnóstico de Maturidade em Governança de IA envolve os departamentos-chave da empresa, valida as respostas em entrevistas e entrega relatório e devolutiva, com a maturidade em seis dimensões e os riscos prioritários para o negócio.
Quanto tempo leva e quanto esforço exige da empresa?
Cada departamento gasta de 20 a 40 minutos no questionário, que é online e pode ser salvo e retomado, e participa das entrevistas, que são remotas. O relatório e a devolutiva saem em até 30 dias após a última entrevista, com o questionário completo. Atrasos da empresa deslocam o prazo.
Quem da empresa participa?
Um patrocinador, executivo que garante prioridade ao diagnóstico e participa da devolutiva; um ponto focal, que organiza a agenda, distribui os grupos de perguntas e acompanha os prazos; e os departamentos respondentes, como liderança, segurança e TI, privacidade e jurídico, e dados e produto, definidos com o ponto focal.
O diagnóstico é uma auditoria ou uma certificação?
Não. Não há coleta nem análise de documentos ou evidências, e o resultado é de uso interno: não comprova conformidade perante clientes, reguladores ou auditores. A certificação ISO/IEC 42001 é emitida por organismo acreditado, e a Preparação para Certificação ISO/IEC 42001 é outro serviço da jornada de governança de IA.
Quais referências o diagnóstico usa?
A ISO/IEC 42001, a ISO/IEC 23894, o NIST AI RMF, a LGPD, o PL 2338/2023 e o EU AI Act apoiam o método, sem medir conformidade. A comparação é com essas referências, não com outras empresas.
O que acontece depois do diagnóstico?
O relatório indica prioridades, não qual serviço contratar: os riscos prioritários, o que já está controlado, o que falta e as ações rápidas para os primeiros 90 dias. Quando fizer sentido para a empresa, a IA Segura apresenta uma proposta de Estruturação da Governança de IA.
Comece pelo diagnóstico
O escopo é definido em proposta, conforme a empresa. Escreva para a IA Segura e fale diretamente com um sócio.