Como auditar o uso de IA na sua empresa em 5 passos

Por que auditar o uso de IA?

A maioria das empresas não sabe o que está acontecendo com IA internamente. Ferramentas são adotadas por iniciativa individual de colaboradores, sem aprovação de TI, sem avaliação de segurança, sem contratos adequados e sem que a liderança saiba.

Uma auditoria de uso de IA é o ponto de partida obrigatório para qualquer programa de governança. Sem ela, qualquer política ou processo que você criar terá lacunas — porque você não sabe o que está tentando controlar.

---

Passo 1: Inventário de ferramentas — saiba o que existe

O objetivo é simples: descobrir todas as ferramentas de IA ativas na empresa, incluindo as não autorizadas.

Como fazer o inventário

Via financeiro:

• Extraia todos os pagamentos com palavras-chave: "AI", "GPT", "Copilot", "Claude", "Gemini", "IA", "inteligência artificial", "machine learning" nos extratos dos últimos 12 meses
• Inclua cartões corporativos individuais — Shadow AI frequentemente aparece nesses extratos com valores "pequenos" por usuário

Via TI:

• Analise logs de DNS e acesso à rede para domínios de IA conhecidos
• Verifique extensões de navegador instaladas nos dispositivos gerenciados
• Revise os aplicativos instalados em dispositivos corporativos

Via pesquisa direta:

• Envie um formulário de auto-declaração para todos os colaboradores: "Quais ferramentas de IA você usa no trabalho, pagas ou gratuitas?"
• Garanta anonimato parcial — as pessoas são significativamente mais honestas quando não temem punição imediata

Resultado esperado: Uma lista de todas as ferramentas com: nome, usuários estimados, frequência de uso, tipo de dados compartilhados, e se existe contrato formal.

---

Passo 2: Cruzamento com contratos e pagamentos

Para cada ferramenta identificada, verifique:

• Existe contrato formal com o fornecedor?
• Existe DPA (Data Processing Agreement)?
• Quem autorizou a compra e tem alçada para isso?
• O contrato está vigente ou é uso pessoal sendo expensado?
• Qual é o custo real total (incluindo planos individuais somados de múltiplos usuários)?

Resultado: Uma tabela com o status de cada ferramenta: aprovada com contrato, em uso sem contrato, uso pessoal expensado, ou desconhecida.

---

Passo 3: Descoberta de Shadow AI por entrevistas

Dados de sistemas e financeiros capturam ferramentas que deixam rastro. Shadow AI frequentemente não deixa.

Protocolo de entrevistas

• Entreviste pelo menos um representante de cada área (5–15 minutos por pessoa)
• Perguntas-chave:
  • "Você usa alguma ferramenta de IA no trabalho que não foi comprada pela empresa?"
  • "Você já copiou dados de clientes, contratos ou documentos internos para uma ferramenta de IA?"
  • "Que tipo de tarefa você faz com IA que mais economiza tempo?"
• Mantenha tom neutro e curioso — você está aprendendo, não investigando ou punindo

Resultado: Identificação de ferramentas invisíveis nos sistemas e comportamentos de risco que precisam ser endereçados com processo, não com punição.

---

Passo 4: Avaliação de risco por ferramenta

Para cada ferramenta descoberta, classifique o risco:

Critério	Baixo Risco	Alto Risco
Tipo de dado	Públicos ou internos genéricos	Dados pessoais, financeiros, sensíveis
DPA	Existe e está assinado	Não existe
Política de treinamento	Dados não usados para treinar modelos	Política indefinida ou dados usados
Residência dos dados	Definida contratualmente	Desconhecida
Controle de acesso	Gerenciado centralmente	Individual sem trilha de auditoria

Resultado: Um mapa de risco por ferramenta, que orienta a priorização das ações de remediação.

---

Passo 5: Documentação e plano de ação

A auditoria só tem valor se gerar mudança. Com os dados em mãos:

Documente formalmente

• O AI-BOM (inventário completo com metadados de risco por ferramenta)
• Os contratos existentes e suas datas de renovação
• Os gaps de compliance identificados e sua severidade

Priorize as ações em três horizontes

1. Imediato (0–30 dias): Bloquear ferramentas de alto risco sem contrato; assinar DPAs pendentes; comunicar aos usuários sem tom punitivo
2. Curto prazo (30–90 dias): Criar política formal de uso aceitável; implementar processo de aprovação de novas ferramentas; cancelar licenças inativas
3. Médio prazo (90–180 dias): Treinar colaboradores; estabelecer revisão semestral de licenças; criar comitê ou responsável formal por IA

Apresente à liderança

O relatório de auditoria é o documento que justifica investimento em governança. Inclua:

• Número de ferramentas descobertas (total vs. aprovadas)
• Custo total consolidado vs. custo monitorado
• Riscos identificados com estimativa de impacto financeiro e regulatório
• Recomendações priorizadas por urgência e esforço

---

Erros comuns em auditorias de IA

Erro 1: Focar só em tecnologia
Auditoria de IA não é só revisar sistemas. As entrevistas com colaboradores são tão importantes quanto os logs de TI — e frequentemente revelam riscos que nenhum sistema captura.

Erro 2: Tom investigativo
Comunicar a auditoria como "investigação de uso indevido" faz as pessoas esconderem informação. Comunique como "iniciativa para melhorar como usamos IA na empresa".

Erro 3: Falta de patrocínio executivo
Auditoria sem respaldo da liderança não gera mudança real. Garanta que pelo menos um C-level está formalmente envolvido e comprometido com as ações resultantes.

Erro 4: Tratar como evento único
Novas ferramentas surgem toda semana. Uma auditoria anual não é suficiente — você precisa de um processo contínuo de monitoramento com revisões periódicas.

---

Perguntas frequentes

Quanto tempo leva uma auditoria de IA?
Para empresas de 50–200 funcionários: 2–4 semanas com uma pessoa dedicada. Para empresas maiores: 6–8 semanas com uma equipe pequena de 2–3 pessoas.

Preciso de consultoria externa para fazer isso?
Não necessariamente. Mas uma perspectiva externa ajuda a garantir que você não está normalizando riscos que seriam evidentes para alguém sem viés cultural interno.

E se eu descobrir uso muito disseminado de ferramentas não aprovadas?
Não tente banir tudo de uma vez — isso cria resistência massiva e aumenta o Shadow AI. Entenda por que as pessoas usam essas ferramentas, e ofereça alternativas aprovadas que atendam às mesmas necessidades com menos risco.

---

Leitura complementar

• AI-BOM: o inventário de Shadow AI que sua empresa precisa antes de governar IA
• Como criar um Comitê de IA em 90 dias
• Os custos ocultos das licenças de IA que ninguém está monitorando