Accountability é prestação de contas, transparência e responsabilidade. O que tem tudo a ver com áreas reguladas como saúde e financeira.
Essa semana esbarrei no AI Act, que endereça accountability de sistemas de IA. Mas velho como sou, sei que um marco regulatório de IA usável talvez demore a se consolidar, dada a velocidade das mudanças. As obrigações de alto risco do AI Act já foram empurradas mais de uma vez.
Isso me fez pensar sobre em quais legislações e materiais mais maduros eu poderia me apoiar pra trazer accountability para empresas que atuam em áreas reguladas, usando IA, enquanto essa camada específica de IA ainda se consolida?
ISO 27001 é o padrão certificável que estabelece os requisitos do SGSI, Sistema de Gestão de Segurança da Informação. Aqui se elabora política, avaliação de risco, coleta de evidências e documentação para auditoria. ISO 27002 seria o próximo passo, sendo o guia de controles que apoia a implantação prática do que o 27001 exige. Já o ISO 27701, esse raramente eu vejo, mas é uma extensão da 27001/27002 focada em gestão de privacidade (PIMS). Seria a ponte natural entre segurança da informação e privacidade, e conversa direto com LGPD e GDPR.
Bom até aqui, mas é impossível fazer um bom trabalho em accountability sem olhar ao redor.
Engenheiros, Analistas e Cientistas de Dados são os profissionais com os quais se deve conversar, para entender o trabalho de base que realmente impede problemas. Pra parar na superfície, Prompt Engineering e Guardrails melhoram muito se existe governança de dados, separando fisicamente o que um agente tem ou não acesso. Ou eu faço um bom trabalho de base ou o meu agente será o fasrad na minha casa. Mais alguém ai lê Philip K Dick?
DAMA-DMBOK organiza dados em áreas de conhecimento, como governança, qualidade, modelagem, servindo como um mapa geral de onde encaixar cada disciplina. No meu caso foi o primeiro com o qual tive contato. Data Contracts não é um padrão formal, tipo ISO, mas uma prática de mercado já consolidada, que trata de disponibilidade, SLA, ownership, acesso, mapeamento e tratamento de dados pessoais entre times.
Mas calma! Não vai chegar na empresa segunda dizendo “…a gente precisa ter DMBOK…”. Como em software nada é preto no branco e tem cinza pra todo gosto, aqui noto que também tem. Esses foram os textos que me sugeriram ler. Seu time com certeza vai ter as próprias sugestões. Ouça-os.
LGPD segue sendo quem amarra camadas, define o que é dado pessoal, conceito onipresente. InfoSec/ISO garante dado protegido, governança. DMBOK/Data Contracts garante saber o que se tem, onde está e quem pode acessar. LGPD dá o vocabulário legal comum entre as duas. O AI Act vai por cima disso tudo, específico pra IA, mas sem essa base, ele pode virar só um checklist sem lastro. Mas vale ler, com certeza.
Quem vem da engenharia tem a vantagem de saber os alhos e bugalhos? Certeza que accountability não é só jurídico, porque é uma responsabilidade técnica também.