Por Pedro Sonda, dooop
Para auditar o uso de IA, organize a auditoria em quatro frentes: uso não autorizado (que IA está sendo usada fora das ferramentas e regras aprovadas), conformidade com a política (as regras de uso e de dados estão sendo seguidas), sistemas em operação (os controles de cada sistema, como revisão humana e acessos, funcionam) e governança como um todo (papéis, inventário, classificação de risco e indicadores existem e são usados). Cada ciclo segue seis passos: escopo, critérios, coleta de evidências, análise, relatório e acompanhamento. Usos de alto risco são auditados com mais frequência.
Atualizado em outubro de 2026.
Por que auditar
| Dado | Fonte |
|---|---|
| Só 34% das organizações fazem auditorias regulares de uso de IA não autorizado; uma em cada cinco relatou violação de dados ligada a shadow AI | IBM, 2025 |
| 57% dos funcionários escondem o uso de IA, e quase metade admite usar IA de formas que contrariam as regras da empresa | KPMG e Universidade de Melbourne, 2025 |
| A ISO/IEC 42001, norma de sistema de gestão de IA, prevê avaliação de desempenho e auditoria interna do sistema de gestão | ISO |
| O NIST AI RMF inclui a função de medir, voltada a avaliar e acompanhar riscos de IA ao longo do tempo | NIST |
Interpretação: boa parte do uso real de IA é invisível e uma parcela relevante contraria as regras. Sem auditoria, a empresa não sabe se a governança funciona.
Framework dooop: as 4 frentes
| Frente | Pergunta | Evidências típicas |
|---|---|---|
| 1. Uso não autorizado | Que IA está sendo usada fora das regras? | Pesquisa anônima; relatórios de rede e de despesas com assinaturas; conversas com equipes |
| 2. Conformidade com a política | As regras de uso e de dados são seguidas? | Amostra de entregas; verificação de dados inseridos em ferramentas; registros de treinamento |
| 3. Sistemas em operação | Os controles de cada sistema funcionam? | Registros de revisão humana; controles de acesso; testes de desempenho; incidentes registrados |
| 4. Governança como um todo | A estrutura existe e é usada? | Inventário atualizado; classificações de risco; atas do fórum de IA; indicadores; revisão da política |
Framework dooop: o ciclo em 6 passos
| Passo | O que fazer |
|---|---|
| 1. Escopo | Escolher frentes, áreas e sistemas a auditar, priorizando os de maior risco |
| 2. Critérios | Definir contra o que se audita: política, classificação de risco, controles definidos, contratos |
| 3. Evidências | Coletar documentos, registros, amostras e entrevistas |
| 4. Análise | Comparar evidências com critérios; classificar achados por gravidade |
| 5. Relatório | Achados, causas, riscos e recomendações, com responsáveis e prazos |
| 6. Acompanhamento | Verificar se as ações foram feitas no prazo |
Frequência por nível de risco
| Nível do uso | Frequência sugerida |
|---|---|
| Alto | Semestral, com testes de controles |
| Moderado | Anual |
| Baixo | Por amostragem, dentro da auditoria de conformidade |
| Uso não autorizado (frente 1) | Ao menos anual, para toda a empresa |
Os achados mais comuns
| Achado | Recomendação típica |
|---|---|
| Ferramentas em uso fora do catálogo | Avaliar e aprovar ou oferecer alternativa; veja Como governar ferramentas de IA generativa usadas pelos funcionários |
| Inventário desatualizado | Rotina trimestral de atualização com as áreas |
| Revisão humana prevista, mas não registrada | Registro simples da revisão; amostragem periódica |
| Sistemas sem dono | Nomear responsável ou desativar; veja Como criar responsabilidades claras para sistemas de IA |
| Política desconhecida pelos funcionários | Treinamento curto e comunicação pelos gestores |
Uma regra de cultura
A auditoria do uso não autorizado funciona melhor quando o objetivo declarado é trazer o uso para dentro das regras, e não punir. Se declarar o uso gerar punição, o uso continua, só que mais escondido.
O que fazer agora
- Defina o escopo do primeiro ciclo: a frente 1 para toda a empresa e a frente 3 para os sistemas de alto risco.
- Escreva os critérios com base na política e na classificação de risco.
- Inclua os achados nos indicadores de governança; veja Como criar métricas de governança de IA.
Para estruturar auditorias de IA e a governança que elas verificam, conheça a frente de Governança de IA da dooop.
Perguntas frequentes
Quem deve auditar o uso de IA? Idealmente, a auditoria interna ou alguém independente de quem opera os sistemas. Em empresas sem auditoria interna, o responsável pela governança pode conduzir com apoio externo, mantendo a separação em relação aos donos dos sistemas.
Auditoria de IA é o mesmo que auditoria de TI? Há sobreposição em acessos e segurança, mas a auditoria de IA também verifica uso, revisão humana, vieses, decisões e conformidade com a política de IA.
Precisamos de certificação ISO/IEC 42001? Não é obrigatória. Pode fazer sentido para empresas que precisam demonstrar governança a clientes ou parceiros. A norma também é útil como referência, mesmo sem certificação.
Leia também
- O checklist executivo para avaliar a governança de IA
- Como criar uma política corporativa para uso de IA
Sobre a dooop
A dooop é uma consultoria de Caxias do Sul (RS) que prepara lideranças e organizações para transformar inteligência artificial em capacidade de negócio, com estratégia, governança e capacitação.
Conversar com a dooop
Compartilhe seu contexto, suas restrições e a decisão que sua organização precisa avaliar.
Conteúdo de Pedro Sonda. Leve os critérios desta leitura para uma conversa sobre a decisão da sua organização.