Por Pedro Sonda, dooop
Para definir níveis de risco para usos de IA, crie uma régua única com quatro níveis (proibido, alto, moderado e baixo) e três partes: critérios de classificação (impacto em pessoas, sensibilidade dos dados, autonomia do sistema, exposição externa e facilidade de reverter erros), um catálogo de exemplos reais da empresa em cada nível e regras sobre quem classifica e quando reclassificar. Os controles e as alçadas de aprovação passam a decorrer do nível. Assim, um uso novo é enquadrado em minutos, e a governança fica proporcional: leve onde o risco é baixo, rigorosa onde é alto.
Atualizado em outubro de 2026. Normas e projetos de lei citados mudam; confira o status atual antes de decisões jurídicas.
Este conteúdo não substitui orientação jurídica.
A lógica de risco nas referências regulatórias
| Referência | Como classifica | Fonte |
|---|---|---|
| AI Act (União Europeia) | Práticas proibidas, sistemas de alto risco, obrigações de transparência para certos sistemas (como chatbots) e demais usos de risco mínimo | AI Act, resumo |
| PL 2338/2023 (Brasil) | Sistemas de risco excessivo, proibidos, e sistemas de alto risco, com avaliação de impacto algorítmico obrigatória; avaliação preliminar de risco como boa prática | Desinformante, 2024; Câmara |
| NIST AI RMF | Não define níveis fixos; orienta mapear contexto e impactos e gerir riscos de forma proporcional | NIST |
Interpretação: as principais referências convergem para uma abordagem baseada em risco, com proibições no topo e obrigações crescentes conforme o impacto. Uma régua interna alinhada a essa lógica prepara a empresa para a regulação e evita controles iguais para usos muito diferentes.
Framework dooop: a régua de 4 níveis
Parte 1: os níveis
| Nível | Definição | Consequência |
|---|---|---|
| Proibido | Usos que a empresa decidiu não fazer, por princípio ou por lei | Não se aprova; uso identificado é interrompido |
| Alto | Usos que afetam direitos, oportunidades, saúde, dinheiro de clientes ou decisões sobre pessoas, ou que agem com autonomia relevante | Aprovação do comitê; avaliação formal; controles reforçados |
| Moderado | Usos com dados internos sensíveis, exposição a clientes com revisão, ou erros com impacto limitado | Aprovação do responsável pela governança; controles específicos |
| Baixo | Usos internos de produtividade, com dados não sensíveis e revisão humana natural | Liberado dentro da política de uso; registro no inventário |
Parte 2: os critérios
| Critério | Pergunta | Eleva o nível quando... |
|---|---|---|
| Impacto em pessoas | Afeta direitos, oportunidades ou tratamento de alguém? | Contratação, crédito, preço individual, acesso a serviços |
| Dados | Usa dados pessoais, sensíveis ou confidenciais? | Dados de saúde, financeiros, de clientes identificados, segredos comerciais |
| Autonomia | A IA sugere, recomenda ou age sozinha? | Executa ações sem revisão caso a caso |
| Exposição | Interage com clientes ou público? | Resposta direta a clientes; conteúdo publicado |
| Reversibilidade | O erro é fácil de perceber e desfazer? | Erro silencioso, em escala ou irreversível |
Regra prática: o nível é definido pelo critério mais alto, e não pela média. Para avaliar um caso específico antes de desenvolvê-lo, veja Como avaliar risco antes de desenvolver um caso de uso.
Parte 3: o catálogo de exemplos
A régua só funciona se as pessoas reconhecerem seus próprios casos. Exemplos genéricos, que cada empresa deve substituir pelos seus:
| Nível | Exemplos genéricos |
|---|---|
| Proibido | Decidir desligamentos de forma automática; inserir dados de clientes em ferramentas não aprovadas; gerar conteúdo que se passe por pessoa real sem autorização |
| Alto | Triagem de currículos; análise de crédito; agente que executa pagamentos; chatbot que informa condições contratuais a clientes |
| Moderado | Resumo de contratos para revisão do jurídico; rascunho de respostas a clientes revisado por atendente; análise de dados de vendas internos |
| Baixo | Redação de e-mails internos; resumo de reuniões; pesquisa de informações públicas; apoio a apresentações |
Parte 4: quem classifica e quando reclassificar
| Regra | Recomendação |
|---|---|
| Quem classifica | O dono do uso propõe; o responsável pela governança confirma |
| Na dúvida | Classifica-se no nível mais alto até a avaliação |
| Gatilhos de reclassificação | Novos dados, mais autonomia, exposição a clientes, mudança regulatória, incidente |
| Revisão do catálogo | Semestral |
Como a régua se conecta ao resto da governança
| Nível | Alçada de aprovação | Controles | Revisão |
|---|---|---|---|
| Proibido | Nenhuma | Bloqueio; comunicação | Anual (lista) |
| Alto | Comitê de IA | Ver Toda aplicação de IA precisa do mesmo nível de controle? | Trimestral |
| Moderado | Responsável pela governança | Controles específicos | Semestral |
| Baixo | Gestor, dentro da política | Política de uso | Anual |
As alçadas são decisão da liderança; veja Governança de IA: o que deve ser decidido pela liderança?.
O que fazer agora
- Adote a régua de 4 níveis e ajuste os critérios ao seu setor.
- Monte o catálogo com três a cinco exemplos reais por nível.
- Classifique o inventário atual e identifique os usos de alto risco sem controles.
Para construir a classificação de risco e os controles proporcionais, conheça a frente de Governança de IA da dooop.
Perguntas frequentes
Quantos níveis de risco são ideais? Quatro costuma ser o equilíbrio: poucos níveis tornam a classificação simples, e o nível "proibido" deixa os limites claros. Mais níveis tendem a gerar discussão sem mudar os controles.
Setores regulados precisam de uma régua diferente? A estrutura pode ser a mesma, mas os critérios e o catálogo devem refletir as exigências do setor, e mais usos tendem a cair em "alto".
A régua precisa seguir o AI Act? Empresas que atuam na União Europeia precisam observar o AI Act. Para as demais, alinhar a lógica ajuda a se preparar para regras semelhantes, como as previstas no PL 2338/2023.
Leia também
- Como avaliar o risco de uma solução de inteligência artificial
- O que é governança de inteligência artificial?
Sobre a dooop
A dooop é uma consultoria de Caxias do Sul (RS) que prepara lideranças e organizações para transformar inteligência artificial em capacidade de negócio, com estratégia, governança e capacitação.
Conversar com a dooop
Compartilhe seu contexto, suas restrições e a decisão que sua organização precisa avaliar.
Conteúdo de Pedro Sonda. Leve os critérios desta leitura para uma conversa sobre a decisão da sua organização.