O catálogo de controles de IA
Os 66 controles em quatro blocos, as normas que os ancoram e o que foi deixado de fora de propósito.
De 22 para 66
O bloco nasceu com 22 controles derivados do NIST AI RMF 1.0, todos de governança: política, papéis, inventário, conformidade. Auditado contra a CSA AICM e a ISO/IEC 42001, apareceram duas lacunas de naturezas diferentes.
Faltava superfície técnica. Não havia nenhum controle sobre separação entre instrução e dado, guardrails, isolamento de execução de ferramenta, fronteira de agente, integridade de artefato de modelo ou envenenamento de dado — que é onde mora o risco explorável ao avaliar um fornecedor de IA.
E faltava o sistema de gestão. As cláusulas 4 a 10 da ISO 42001 exigem um sistema de gestão de IA — contexto, liderança, objetivos, auditoria interna, análise crítica. O catálogo tinha os controles de risco e não tinha o sistema que os sustenta.
Bloco | Controles | Âncora |
|---|---|---|
ARC01–22 | 22 | NIST AI RMF 1.0 |
ARC23–38 | 16 | CSA AICM — superfície técnica |
ARC39–47 | 9 | ISO/IEC 42001 Anexo A |
ARC48–66 | 19 | ISO/IEC 42001 cláusulas 4–10 |
A cobertura final da ISO 42001 é de 23 das 23 cláusulas e 36 dos 38 controles do Anexo A.
Duas exclusões deliberadas
Dois controles do Anexo A ficam de fora quando a direção é avaliar um fornecedor: especificação de requisitos do sistema de IA e preparação de dados. São internos ao fornecedor e produzem evidência fraca quando pedidos de fora.
Eles estão registrados como lacuna com justificativa explícita, não como buraco silencioso. E voltam quando a direção é autoavaliação — uma Declaração de Aplicabilidade tem que endereçar os 38.
Por que nenhuma norma sozinha bastaria
Quatro controles têm âncora no AI RMF e nenhuma na ISO 42001: conformidade regulatória de IA, cenário adversarial, explicabilidade e desativação rápida de modelo. Na direção oposta, o AI RMF 1.0 não tem subcategoria para ameaça adversarial — foi a AICM que preencheu essa lacuna.
É o argumento concreto contra adotar um framework só: escolher um framework é escolher qual parte do risco não enxergar.
Uma limitação conhecida
Com 66 controles o bloco deixou de ser homogêneo: 19 são de sistema de gestão, 16 de superfície técnica e o resto se divide entre transparência, dados de treinamento e cadeia. Perguntar os 66 a qualquer fornecedor não é viável, e os 19 de sistema de gestão só fazem sentido para quem se propõe a ter um programa formal de IA — não para um SaaS que consome API de terceiro.
Falta um eixo de escopo por papel na cadeia de IA — consumidor de API, operador de modelo, provedor de modelo — que é ortogonal ao perfil de criticidade. Está registrado como pendência de metodologia.