A pergunta sobre se uma aplicação de IA dentro da sua organização é considerada de alto risco não é uma pergunta que se responde uma vez e depois se assinala como concluída. É um resultado de vários fatores que, em conjunto, determinam o peso de uma aplicação. Se um desses fatores mudar, a classificação também pode mudar. Isso faz com que a classificação de risco seja menos uma questão de preenchimento e mais uma questão de acompanhamento contínuo.
Esta página descreve o mecanismo subjacente a essa classificação: de que depende e o que acontece quando a situação se altera. As definições e limiares legais atuais encontram-se noutro local; aqui trata-se do que a sua organização precisa de conseguir ver e demonstrar.
Vários fatores desempenham um papel estrutural na questão de saber se uma aplicação tem um peso significativo.
O primeiro é o domínio em que a aplicação é utilizada. Alguns domínios — pense em decisões sobre pessoas, as suas oportunidades ou os seus direitos — pesam mais do que aplicações que são exclusivamente internas e de apoio. O que a aplicação faz exatamente dentro desse domínio também faz diferença: um sistema que aconselha pesa de forma diferente de um sistema que decide automaticamente.
O segundo fator é o papel que a sua organização desempenha em relação ao sistema. Constrói-o você mesmo, compra-o, ou utiliza um serviço em que a IA está integrada sem que a tenha adquirido como tal? O papel que desempenha — fornecedor ou utilizador — determina em parte que obrigações lhe cabem e que parte da responsabilidade permanece no fornecedor.
O terceiro fator é o que acontece ao modelo depois da primeira implementação. Um sistema que é utilizado sem alterações, tal como foi fornecido, é uma situação diferente de um sistema que ajusta, reconfigura ou treina com dados próprios. O que muda quando ajusta um modelo você mesmo é, por isso, uma pergunta que deve ser respondida separadamente — a adaptação pode fazer um sistema mudar de categoria.
O quarto fator é o alcance: quantas pessoas são afetadas, com que frequência, e quão reversível é um erro. Uma aplicação utilizada ocasionalmente por uma pequena equipa pesa de forma diferente de uma aplicação que influencia diariamente decisões para milhares de clientes.
Estes fatores não são estáticos. Uma aplicação que hoje é considerada de risco limitado pode deixar de o ser amanhã — não porque as regras mudaram, mas porque a própria aplicação mudou. Um projeto-piloto que se expande para toda a organização, uma ferramenta interna que passa a afetar um processo de clientes, um modelo que é reajustado com novos dados: cada um destes passos pode fazer a classificação inclinar-se para outro lado.
Isso significa que a classificação não é um exercício único. É uma pergunta que deve ser feita repetidamente sempre que algo muda no que um sistema faz, em quem afeta, ou em quem o gere. Uma estrutura de governança que não acompanha isso fica atrás da prática.
Nem todas as aplicações de IA precisam de passar por todo este percurso. Parte do que funciona dentro de uma organização fica fora do âmbito da classificação de risco — por exemplo, porque não afeta decisões sobre pessoas ou porque tem exclusivamente uma função de apoio, não determinante. Onde exatamente se situa essa fronteira e quais aplicações ficam fora do âmbito depende dos mesmos fatores descritos acima: domínio, papel, adaptação e alcance. Não se trata, portanto, de uma lista separada, mas do outro lado da mesma avaliação.
Uma classificação em si não muda nada. Determina apenas quais os próximos passos aplicáveis e com que urgência. Algumas ações são necessárias de imediato, outras podem ser planeadas — e o que precisa de acontecer agora e o que pode ser planeado está, por sua vez, relacionado com o peso da aplicação e com quantas pessoas afeta.
Para tornar esses passos visíveis e rastreáveis, as decisões sobre classificação e ações subsequentes precisam de ser registadas em algum lugar — não como notas isoladas, mas como parte de uma lista de decisões de supervisão que mostra quem decidiu o quê e com base em que informação. Sem esse registo, uma classificação é um momento fixo no tempo que já ninguém pode reconstituir.
Esta questão de classificação só pode ser respondida corretamente se se souber o que realmente está em funcionamento. Uma lista de TI com ferramentas aprovadas não é suficiente para isso: uma grande parte da utilização surge fora dessa lista, em equipas que começaram a utilizar uma ferramenta sem o comunicar em lado algum. Quem quiser mapear essa utilização tem de perguntar — e fazê-lo apenas sem que isso implique qualquer tipo de responsabilização, caso contrário a resposta não surge.
Quando estiver claro quais aplicações existem e qual o seu peso, surge uma pergunta seguinte que já não é sobre risco, mas sobre trabalho: que parte de uma tarefa pode um sistema de IA assumir, e que parte continua a ser trabalho humano. Essa pergunta é respondida pelo scan de trabalho da FTE TO AI, que calcula por tarefa que parte do trabalho pode ser assumida — uma perspetiva diferente da classificação de risco, mas que se baseia no mesmo inventário.
Esta página descreve o mecanismo subjacente à classificação. A Responsible AI Scan em si está em desenvolvimento; quem quiser utilizar os resultados assim que estiverem disponíveis pode inscrever-se na lista de espera.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.