Por Pedro Sonda, dooop
Para avaliar o risco de uma solução de IA, comprada ou desenvolvida, reúna evidências em sete dimensões: desempenho na tarefa real (com dados da empresa), robustez (comportamento em casos difíceis e entradas inesperadas), vieses (resultados desiguais entre grupos), segurança (resistência a manipulação e ao uso indevido), privacidade (tratamento dos dados), transparência (capacidade de explicar e registrar o que a solução faz) e dependência do fornecedor (continuidade, custo e saída). Cada dimensão pode ser testada antes da implantação. O resultado é uma ficha que sustenta a decisão de aprovar, aprovar com condições ou recusar.
Atualizado em outubro de 2026.
Por que avaliar a solução, e não só o caso de uso
| Fato | Fonte |
|---|---|
| A Amazon abandonou uma ferramenta experimental de recrutamento depois de descobrir que ela penalizava currículos de mulheres; o problema estava no comportamento da solução, aprendido com dados históricos | CNBC, 2018 |
| A Air Canada foi responsabilizada por informação errada dada pelo chatbot do seu site | ABA Business Law Today, 2024 |
| O desempenho da IA é irregular: ganha em algumas tarefas e erra mais em outras, aparentemente semelhantes | Dell'Acqua et al., 2023 |
| A OWASP lista riscos específicos de aplicações com modelos de linguagem, como injeção de prompt, divulgação de informação sensível, desinformação e agência excessiva | OWASP, 2025 |
Interpretação: um caso de uso de risco moderado pode se tornar problemático se a solução escolhida for frágil. A avaliação de risco do caso (veja Como avaliar risco antes de desenvolver um caso de uso) precisa ser complementada pela avaliação da solução.
Framework dooop: as 7 dimensões
As dimensões se inspiram nas características de IA confiável descritas no NIST AI Risk Management Framework, adaptadas para a decisão de aprovar uma solução.
| Dimensão | Pergunta | Teste ou evidência |
|---|---|---|
| 1. Desempenho | A solução acerta o suficiente nas nossas tarefas? | Teste com 50 a 200 casos reais, com resposta conhecida; taxa de acerto e tipos de erro |
| 2. Robustez | Como se comporta em casos difíceis, incompletos ou fora do padrão? | Conjunto de casos difíceis; perguntas fora do escopo; verificar se reconhece o que não sabe |
| 3. Vieses | Os resultados variam de forma injusta entre grupos? | Comparar resultados por grupo relevante (região, gênero, faixa etária), quando aplicável |
| 4. Segurança | Resiste a manipulação e uso indevido? | Testes de injeção de prompt; tentativas de extrair informação; limites de ação |
| 5. Privacidade | Os dados são tratados de forma adequada? | Condições de retenção e uso para treinamento; controles de acesso; LGPD |
| 6. Transparência | Conseguimos explicar e registrar o que a solução faz? | Registros de entradas e saídas; explicação das recomendações; documentação do fornecedor |
| 7. Dependência | O que acontece se o fornecedor mudar preço, modelo ou deixar de existir? | Termos contratuais; portabilidade dos dados; plano de saída; previsibilidade de custo |
Quanto testar
A profundidade depende do nível de risco do uso; veja Como definir níveis de risco para diferentes usos de IA.
| Nível do uso | Dimensões obrigatórias |
|---|---|
| Baixo | Privacidade (5) e dependência (7), de forma simplificada |
| Moderado | Desempenho (1), robustez (2), privacidade (5), dependência (7) |
| Alto | As sete, com testes documentados |
A ficha de avaliação
| Campo | Conteúdo |
|---|---|
| Solução e versão | Nome, fornecedor, versão do modelo quando conhecida |
| Uso e nível de risco | O que fará e em que nível foi classificado |
| Resultado por dimensão | Adequado, adequado com condições ou inadequado, com a evidência |
| Condições de aprovação | Por exemplo: revisão humana obrigatória; uso limitado a dados internos |
| Decisão | Aprovar, aprovar com condições ou recusar; quem decidiu |
| Data de reavaliação | Especialmente após mudança de versão do modelo |
Atenção às mudanças de versão
Soluções baseadas em modelos de linguagem mudam quando o fornecedor atualiza o modelo. Um conjunto de testes salvo permite repetir a avaliação a cada mudança relevante, em vez de recomeçar do zero.
O que fazer agora
- Monte um conjunto de casos reais para a próxima solução em avaliação, incluindo casos difíceis.
- Use a ficha para registrar a avaliação e as condições.
- Defina quando reavaliar: mudança de versão, de uso ou incidente.
Para estruturar a avaliação de soluções de IA, conheça a frente de Governança de IA da dooop.
Perguntas frequentes
Soluções de grandes fornecedores precisam ser avaliadas? Sim. O fornecedor avalia o modelo em geral; só a empresa pode avaliar o desempenho nas suas tarefas, com seus dados e no seu contexto.
Quem deve fazer a avaliação? TI e segurança conduzem os testes técnicos; o dono do uso define os casos e o que é um bom resultado; riscos e jurídico avaliam privacidade, vieses e contratos.
E se não houver dados para testar vieses? Registre a limitação e compense com revisão humana e monitoramento após a implantação, especialmente em usos que afetam pessoas.
Leia também
- Como governar fornecedores de inteligência artificial
- Como um diretor deve avaliar uma proposta de IA
Sobre a dooop
A dooop é uma consultoria de Caxias do Sul (RS) que prepara lideranças e organizações para transformar inteligência artificial em capacidade de negócio, com estratégia, governança e capacitação.
Conversar com a dooop
Compartilhe seu contexto, suas restrições e a decisão que sua organização precisa avaliar.
Conteúdo de Pedro Sonda. Leve os critérios desta leitura para uma conversa sobre a decisão da sua organização.