Um inventário de sistemas de IA é a lista de todos os sistemas de inteligência artificial que uma organização usa ou desenvolve, com a finalidade de cada um, o responsável, os dados tratados, o papel da empresa em cada sistema e o nível de risco segundo o Regulamento de IA. É o ponto de partida de qualquer programa de conformidade com o AI Act ou com a ISO/IEC 42001: sem ele, não dá para saber quais sistemas são de risco elevado nem quais obrigações se aplicam.
O Regulamento não usa a palavra «inventário», mas todas as suas obrigações partem de saber quais sistemas existem. E a parte difícil não é preencher a lista. É encontrar o que ficou de fora dela.
O que conta como sistema de IA
O artigo 3.º, ponto 1, do Regulamento (UE) 2024/1689 define sistema de IA como um sistema baseado em máquina que funciona com algum grau de autonomia e que, a partir da informação que recebe, infere como gerar resultados como previsões, conteúdos, recomendações ou decisões. A palavra que separa a IA do software tradicional é «infere». Uma planilha com fórmulas fixas não é IA; um modelo que aprende com dados para pontuar clientes, sim.
Em fevereiro de 2025, a Comissão publicou diretrizes sobre a definição de sistema de IA, com exemplos do que fica dentro e fora. Na dúvida, nosso critério é incluir o sistema no inventário e registrar por que ele foi descartado. É mais fácil justificar uma exclusão documentada do que explicar por que um sistema não aparecia.
Onde está a IA que ninguém declarou
Se você só pergunta às áreas qual IA elas usam, o mais provável é que apareçam os projetos internos e o assistente de chat que a empresa contratou. O resto fica de fora porque ninguém enxerga aquilo como «um sistema de IA»:
Para encontrá-la, nós combinaríamos três fontes em vez de confiar tudo a um questionário:
- Contratos e compras. Revisar os contratos de software e os gastos com assinaturas em busca de funções de IA. É a fonte mais confiável, porque tudo o que se paga deixa rastro.
- Um questionário curto para cada área. Cinco ou seis perguntas sobre ferramentas usadas para decidir, classificar ou gerar conteúdo, com exemplos concretos. Perguntas abertas («vocês usam IA?») trazem respostas vazias.
- Os registros técnicos. A equipe de TI consegue ver no proxy ou no login único (SSO) quais serviços de IA são acessados a partir da rede da empresa.
Quais dados cada sistema precisa ter
Um inventário útil não é uma lista de nomes. Para cada sistema, no mínimo:
| Dado | Para que serve |
|---|---|
| Nome, finalidade e área | Saber o que ele faz e em qual processo. É a finalidade que define se ele é de risco elevado. |
| Responsável com nome | Uma pessoa responsável, não um departamento. |
| Fornecedor ou desenvolvimento interno | De quem pedir documentação e quem responde pelo quê. |
| Papel da empresa | Prestador, responsável pela implantação, importador ou distribuidor. Cada papel tem obrigações diferentes. |
| Dados que utiliza | Se trata dados pessoais, vincular ao registro das atividades de tratamento do GDPR (RGPD europeu). |
| Pessoas afetadas | Clientes, colaboradores, candidatos, cidadãos. Pesa no risco e na FRIA. |
| Nível de risco e justificativa | Proibido, elevado, limitado ou mínimo, com o artigo ou o ponto do anexo III que o justifica. |
| Status | Piloto, produção ou desativado. Um piloto que ninguém desliga acaba em produção. |
O papel da empresa merece um comentário. Quem compra um sistema costuma ser o responsável pela implantação, com as obrigações do artigo 26.º. Mas, segundo o artigo 25.º, se a empresa coloca a própria marca no sistema, faz uma modificação substancial ou o usa para uma finalidade de risco elevado que o prestador não previa, ela passa a ter as obrigações de prestador. Isso acontece com facilidade sem que ninguém perceba, e o inventário é onde fica visível.
Como nós o manteríamos atualizado
Um inventário feito uma vez só fica desatualizado em poucos meses, porque a cada trimestre surgem funções de IA novas nas ferramentas que já estão em uso. O que nós faríamos:
- Incluir a pergunta «tem IA?» no processo de compra de software e na abertura de projetos, para que os sistemas novos entrem automaticamente.
- Revisar o inventário completo pelo menos uma vez por ano e sempre que a finalidade de um sistema mudar.
- Pedir ao fornecedor de cada sistema a documentação que o Regulamento exige dele, principalmente as instruções de uso, e guardá-la junto com a ficha.
- Vincular cada sistema aos seus riscos, aos seus controles e, se for de risco elevado, à sua avaliação de impacto sobre os direitos fundamentais.
No GlobalSuite® AI Governance, o inventário já vem com os níveis de risco do AI Act, e cada sistema passa por um questionário de classificação. A partir da ficha você vincula os riscos, os requisitos e os incidentes do sistema, então o inventário deixa de ser uma lista à parte e passa a ser a base de todo o resto.
Os prazos para ter tudo isso pronto estão no calendário do AI Act após o Omnibus Digital.
