Inventário de sistemas de IA: por onde começar

O inventário de sistemas de IA é a lista do que a equipe usa de verdade, não do que foi comprado com nota fiscal. A segunda costuma ser bem menor que a primeira. Ele registra o sistema, o dono, o propósito, os dados que toca e o fornecedor. É o primeiro requisito prático da ISO 42001 e da estrutura de risco do NIST: sem saber o que existe, nenhuma avaliação de risco tem onde se apoiar.

Eu vejo empresa pular direto para a política de uso de IA generativa sem esse levantamento pronto, e a política nasce furada: cobre o ChatGPT que todo mundo já conhece e ignora o modelo de score que roda dentro do sistema de crédito há anos. Antes de escrever qualquer regra vale medir onde a empresa está hoje, e o Gap Analysis gratuito faz esse corte em menos de uma hora, mostrando se o inventário é mesmo o primeiro buraco a fechar antes de qualquer outra etapa.

Por que o inventário vem antes de qualquer outra etapa de governança

A ISO 42001 cobra, dentro do Anexo A, controle sobre os recursos que cada sistema de IA consome: dado, pessoal, ferramenta, poder computacional¹. Isso só existe na prática se alguém souber quais sistemas há para controlar. O NIST organiza o mesmo raciocínio dentro da função que chama de mapear, apoiada num resultado do pilar de governança que manda manter inventário atualizado, com um responsável nomeado para isso².

As duas referências convergem no mesmo ponto. Avaliação de impacto, política de uso e auditoria interna de IA dependem de uma lista que já exista. Tentar qualquer uma dessas três coisas sem inventário é desenhar controle para um sistema que ninguém provou que existe, e é exatamente o tipo de lacuna que aparece primeiro num gap analysis ISO 42001: item fundacional, não ajuste de detalhe.

O custo de pular essa etapa não aparece no dia em que a política é publicada. Aparece meses depois, quando um cliente grande manda um questionário de due diligence de fornecedor de IA perguntando quantos sistemas a empresa opera, com que dado e sob qual risco, e a resposta precisa ser montada às pressas, sistema por sistema, porque nunca existiu de forma consolidada. Eu vi esse mesmo atraso em auditoria de sistema crítico fora do contexto de IA: quem audita primeiro pergunta o que existe, não o que está documentado em política. Um sistema sem dono nem registro é, para efeito de auditoria, um sistema que a empresa não controla, mesmo que funcione perfeitamente bem no dia a dia.

Quem é o dono do inventário de IA?

Na maioria das empresas que eu vejo, a resposta certa no primeiro dia é ninguém, e é exatamente esse vazio que o inventário deveria fechar. TI sabe o que foi comprado com orçamento de TI. Compliance sabe o que passou por contrato. Nenhuma das duas áreas, sozinha, vê o que a equipe de marketing instalou como extensão de navegador ou o que o RH liga dentro da ferramenta de recrutamento.

Um comitê inteiro pode supervisionar a governança de IA, mas o inventário precisa de um nome, uma pessoa que recebe a pergunta “esse sistema está na lista?” e sabe responder sem convocar reunião. Sem esse dono nomeado, o inventário vira documento que alguém atualizou uma vez, no mês em que o projeto começou, e nunca mais tocou.

Esse dono não precisa ser o cargo mais graduado disponível. Precisa ser alguém com acesso às três fontes que importam: o contrato assinado, o orçamento de TI e a conversa direta com quem usa a ferramenta todo dia. Em empresa pequena isso cai naturalmente em uma pessoa de TI ou compliance que já acumula outras funções. Em empresa maior, vale formalizar como parte do papel de alguém dentro do comitê de governança de IA, com tempo reservado de agenda para isso, não como tarefa extra que compete com prioridade de projeto.

Como montar um inventário de sistemas de IA em quatro passos

Não é um projeto de TI com orçamento próprio: é levantamento, e começa com o que a empresa já tem à mão. Uma planilha simples e uma rodada de conversas com quem usa cada sistema no dia a dia já destravam o essencial.

1. Liste o que foi contratado. O ponto de partida óbvio: contratos, notas fiscais, licenças de software com algum módulo de IA declarado.
2. Pergunte para cada área o que ela usa de fato. Quatro perguntas bastam: qual ferramenta, para qual tarefa, com que frequência, se a conta é da empresa ou pessoal.
3. Olhe dentro dos sistemas que a empresa já tem. ERP que classifica lançamento sozinho, CRM que sugere resposta, ferramenta de recrutamento que ordena currículo: a IA embutida em produto que já foi comprado por outro motivo é a parte que mais escapa de um levantamento feito só por e-mail.
4. Registre em campos fixos, não em texto livre. Um parágrafo descritivo por sistema não sobrevive a uma auditoria; uma tabela com os mesmos campos para cada linha, sim.

Os campos do inventário de sistemas de IA que valem a pena fixar são sempre os mesmos, independentemente do setor da empresa ou do tamanho do sistema:

Shadow AI: o que aparece quando você pergunta direito

A lista oficial, feita só a partir de contrato e nota fiscal, costuma ficar pequena demais porque ignora o que cada pessoa instalou sozinha para resolver um problema do próprio trabalho. Esse uso não declarado tem nome, shadow AI, e ele não desaparece porque a empresa não perguntou sobre ele.

Depois que a lista aparece, descobrir os sistemas raramente é o que atrasa: o que atrasa é documentar cada um no formato que resiste a uma pergunta de auditor, com dono, propósito e dado escritos de um jeito testável. Os modelos de política e inventário de sistemas de IA encurtam essa parte: a estrutura de campos já vem pronta, falta preencher com a realidade de cada sistema da sua empresa.

O que o inventário de IA tem a ver com a LGPD

Boa parte dos sistemas de IA que aparecem num levantamento desses processa dado pessoal: currículo, histórico de crédito, prontuário, conversa de atendimento. A LGPD já exige que controlador e operador mantenham registro das operações de tratamento de dados pessoais que realizam³. Essa sobreposição entre inventário de IA e LGPD não é coincidência de nomenclatura: quem já mantém o registro de tratamento tem metade dos campos prontos, porque dado que entra e dado que sai são colunas que os dois documentos compartilham.

Vale olhar também o mapa de controles do Anexo A da ISO 42001 lado a lado com o inventário pronto: boa parte dos controles de dado e de fornecedor só se avalia depois que a lista de sistemas existe para servir de base.

Erros comuns ao montar o inventário de sistemas de IA

O primeiro erro é confundir inventário de IA com inventário de software. Uma licença de ferramenta de produtividade com um botão de “resumir com IA” entra na lista de ativos de TI há anos; só vira item do inventário de IA quando alguém registra o que aquele botão decide ou recomenda, com que dado e para quem. Contar licença não é o mesmo que entender função.

O segundo erro é tratar o levantamento como auditoria pontual, feito uma vez para satisfazer um questionário de cliente ou uma certificação, e arquivado depois. Um sistema que troca de fornecedor de modelo no meio do contrato, ou que passa a processar um dado novo depois de uma atualização, muda de risco sem avisar ninguém, e o inventário parado não capta essa mudança.

O terceiro erro é concentrar o levantamento só em sistema voltado para fora, o chatbot de atendimento, a ferramenta de recomendação visível ao cliente, e esquecer o que roda por dentro: triagem de currículo, priorização de chamado, detecção de fraude. Esses sistemas internos tomam decisão sobre pessoa com a mesma força que um sistema voltado para o cliente final, e costumam ser os que menos têm dono claro.

Com que frequência atualizar o inventário

Eu prefiro revisão trimestral, com gatilho extra sempre que entra contrato novo de software ou sai um projeto interno do papel. Essa frequência é premissa minha, baseada no ritmo em que uma empresa de porte médio costuma contratar e trocar ferramenta; ajuste para o seu caso se a sua empresa muda de fornecedor com outra velocidade.

O que não funciona, em nenhum ritmo, é tratar o inventário como projeto de uma vez só. A lista que não é revisada vira, em poucos meses, tão incompleta quanto a lista oficial que ela deveria substituir, e o motivo é sempre o mesmo: gente muda de ferramenta mais rápido do que qualquer calendário formal de revisão. Vincular a atualização a um evento que já acontece de qualquer forma, entrada de contrato novo, saída de um projeto do papel, revisão orçamentária, custa menos do que criar um processo paralelo que compete por atenção com o resto do trabalho da equipe.

Antes de aprovar qualquer política de uso de IA generativa ou qualquer avaliação de impacto, pergunte quem é o dono do inventário da sua empresa hoje. Se a resposta demorar mais que cinco segundos, comece por aí.

Veja também