Bridging AI Risk Frameworks: Reconciling ISO/IEC 42001, the NIST AI Risk Management Framework, and the EU AI Act into a Uni ed Governance Taxonomy

O Emaranhado dos Grandes Manuais de Regras de IA

Imagine que você está tentando construir um robô que possa ajudar médicos a diagnosticar doenças ou decidir quem recebe um empréstimo. Você quer garantir que esse robô seja seguro, justo e não machuque ninguém acidentalmente. Mas aqui está o problema: o mundo não possui apenas um manual de regras para construir robôs. Em vez disso, ele tem três bibliotecários diferentes e barulhentos gritando instruções de três cantos diferentes da sala. Um bibliotecário é um juiz rigoroso da Europa que diz: "Se o seu robô fizer este trabalho específico, você deve seguir estas 100 páginas de regras, ou terá problemas". Outro é um treinador prestativo dos Estados Unidos que diz: "Aqui está um guia flexível para ajudar você a pensar sobre riscos, mas você não tem que usá-lo, a menos que queira parecer bom". O terceiro é uma agência de certificação global que diz: "Se você quiser uma estrela de ouro brilhante para provar que sua empresa é organizada, você precisa seguir este checklist específico".

Este artigo vive no mundo da Governança de Inteligência Artificial (IA). Em termos simples, este é o estudo de como garantir que os sistemas de IA sejam construídos e usados de forma responsável. Os três conceitos principais que o artigo mistura são: ISO/IEC 42001 (um padrão para obter um certificado para provar que sua empresa é bem organizada), o NIST AI Risk Management Framework (um guia voluntário para ajudar equipes a gerenciar riscos) e o EU AI Act (uma lei real que proíbe IAs perigosas e estabelece regras estritas para IA de alto risco). Todos se preocupam com isso porque a IA está em toda parte agora. Se as empresas tentarem seguir os três manuais ao mesmo tempo, acabarão escrevendo as mesmas regras três vezes, confundindo-se e desperdiçando muito dinheiro. A grande questão é: podemos fazer com que esses três manuais diferentes trabalhem juntos sem perder o rigor da lei ou a flexibilidade do guia?

A Grande Ideia do Artigo: Um Mapa, Três Destinos

Este artigo, escrito por Vinod Dhiman, argumenta que tentar amassar esses três manuais em uma única lista gigante e plana é uma má ideia. É como tentar fundir um mapa de uma cidade, uma lista de leis de trânsito e um manual do motorista em uma única folha de papel. Se você fizer isso, pode deixar passar o fato de que uma regra é uma lei que você deve obedecer, enquanto outra é apenas uma sugestão. O autor sugere que, em vez de achatá-los, devemos construir uma Taxonomia Unificada de Governança de IA (UAGT). Pense nisso como um "super-organizador" ou um manual de instruções de LEGO que possui cinco camadas diferentes.

Aqui está como o artigo divide isso:

1. As Cinco Camadas do "Super-Organizador"
O artigo diz que precisamos olhar para a governança de IA através de cinco lentes, empilhadas umas sobre as outras:

• A Camada do "Porquê" (Propósito Normativo): Qual é o objetivo? (ex: "Não seja racista", "Seja seguro").
• A Camada do "Quem" (Sujeito de Governança): Quem é o responsável? (ex: A empresa inteira, o robô específico ou a pessoa que usa o robô).
• A Camada do "Risco" (Lógica de Risco): Como medimos o perigo? (ex: É perigoso porque está em uma "lista ruim", ou porque realmente causou dano em uma situação específica?).
• A Camada do "Como" (Arquitetura de Controle): Quais regras específicas seguimos?
• A Camada da "Prova" (Evidência): Que papelada mostramos para provar que fizemos o trabalho?

O artigo observa que esses três manuais (ISO, NIST e UE) concordam na maior parte do "Porquê" e do "Como", mas discordam na camada do "Quem" e do "Risco". Por exemplo, a lei da UE diz que um robô é de "Alto Risco" apenas por ser usado para contratação de pessoas (uma regra baseada em lista). Mas o guia dos EUA pode dizer: "Bem, vamos medir quanto dano este robô específico realmente causou". O artigo argumenta que não devemos forçar que sejam iguais. Em vez disso, a UAGT mantém ambos os resultados lado a lado. É como ter uma mochila com dois bolsos: um para o rótulo de "Alto Risco Legal" e outro para o rótulo de "Risco Baixo Medido". Você carrega ambos, para não ter problemas com a lei, mas também sabe a situação real.

2. Os Oito "Baldes Estáveis"
Para fazer isso funcionar no mundo real, o artigo organiza todas as regras em oito baldes estáveis (chamados de domínios de governança). Estes são como oito gavetas diferentes em um arquivo que não mudarão mesmo que as leis sejam atualizadas. Os baldes são:

1. Responsabilidade (Accountability): Quem está no comando?
2. Avaliação de Risco: Verificando perigos.
3. Governança de Dados: Garantindo que os dados estejam limpos e justos.
4. Transparência: Sendo aberto sobre como a IA funciona.
5. Supervisão Humana: Garantindo que um humano esteja observando a IA.
6. Robustez e Segurança: Garantindo que a IA não trave ou seja hackeada.
7. Monitoramento: Observando a IA após o seu lançamento.
8. Terceiros e Modelos de IA: Gerenciando ferramentas externas e grandes modelos de IA.

O artigo sugere que as empresas podem colocar suas regras nessas oito gavetas. Dentro de cada gaveta, elas podem ter uma "biblioteca de controles" que satisfaça os três manuais ao mesmo tempo. Por exemplo, na gaveta de "Supervisão Humana", uma empresa escreve uma regra que diz: "Um humano deve verificar a decisão". Esta única regra pode ser mostrada ao auditor da ISO (para obter o certificado), à equipe do NIST (para mostrar que estão gerenciando riscos) e ao regulador da UE (para provar que estão seguindo a lei).

3. Exemplos do Mundo Real
O artigo testa essa ideia com dois exemplos: uma IA médica que ajuda médicos a ler Raios-X e uma IA de pontuação de crédito que decide quem recebe um empréstimo.

• No caso médico, a IA é de "Alto Risco" pela lei da UE porque é um dispositivo médico. O artigo mostra como a empresa pode usar a UAGT para criar um conjunto de documentos que prova que a IA é segura para o médico (NIST), segura para o sistema de gestão do hospital (ISO) e legal para a UE.
• No caso do crédito, a IA é de "Alto Risco" porque está na "lista ruim" da UE para decisões financeiras. O artigo mostra que, mesmo que os testes internos da empresa digam que a IA é muito segura, eles ainda precisam seguir as regras estritas da UE. A UAGT ajuda a manter a versão de "Lei Estrita" e a versão de "Teste Interno" separadas, porém organizadas na mesma pasta.

4. O Que o Artigo Diz que NÃO É Possível
O artigo é muito cuidadoso ao dizer o que este sistema não pode fazer. Ele descarta explicitamente a ideia de que obter um certificado ISO significa automaticamente que você está seguendo a lei da UE. É como dizer que ter uma carteira de habilitação (ISO) não significa que você pode dirigir um caminhão (Lei da UE) sem uma permissão especial. O artigo afirma que você não pode "eliminar as diferenças através do mapeamento". Se a UE diz que um sistema é de Alto Risco, ele continua sendo de Alto Risco, mesmo que seus testes internos digam que é de baixo risco. O artigo também observa que este sistema é um "esboço" ou um "mapa", não um produto finalizado e comprovado. Ainda não foi testado em um experimento gigante no mundo real; é uma estrutura proposta baseada na análise dos documentos.

5. O "Efeito Bruxelas" e Mudanças Futuras
O artigo menciona que, como a lei da UE é tão rigorosa, as empresas de todo o mundo muitas vezes apenas seguem as regras da UE para estarem seguras (isso é chamado de "Efeito Bruxelas"). A UAGT ajuda as empresas a fazerem isso de forma eficiente. No entanto, o artigo alerta que as regras ainda estão mudando. A UE acabou de aprovar uma atualização de "Digital Omnibus" em 2026 que alterou alguns prazos, e os EUA estão atualizando seus guias. O artigo sugere que, embora os oito baldes permaneçam os mesmos, as regras específicas dentro deles podem precisar ser atualizadas conforme as leis mudam.

Em Resumo
O artigo conclui que não devemos tentar forçar os três manuais a serem idênticos. Em vez disso, devemos usar esta "Taxonomia Unificada" para construir um sistema de arquivamento inteligente. Este sistema permite que as empresas usem um conjunto de regras e uma evidência para satisfazer a lei estrita da UE, o guia flexível dos EUA e o padrão de certificação global ao mesmo tempo. Isso economiza tempo e dinheiro, mas mantém as regras legais estritas seguras e separadas das regras internas da empresa. É uma forma de deter o caos de ter três manuais diferentes sem fingir que todos são a mesma coisa.