NIST AI RMF: o que a plataforma cobre

O NIST AI RMF é um framework de gestão de risco de inteligência artificial publicado pelo instituto de normas dos Estados Unidos. Como o NIST CSF, ele é voluntário e não certificável: serve para organizar e medir, não para receber um selo.

Para quem serve

Para empresas que usam ou desenvolvem IA e precisam demonstrar que pensam nos riscos disso, sem necessariamente buscar certificação.

Os casos:

• Clientes começaram a perguntar como a empresa governa IA, e você quer uma resposta estruturada.
• A empresa adotou IA rapidamente e precisa organizar o assunto internamente.
• A empresa quer se preparar antes de partir para uma certificação, como a ISO 42001.
• A conversa com a diretoria sobre IA precisa de uma estrutura compreensível.

A relação com a ISO 42001

As duas tratam de governança de IA, e a diferença é a mesma que existe entre o NIST CSF e a ISO 27001:

Habilitar os dois é comum e faz sentido: o AI RMF ajuda a montar o programa, a ISO 42001 o certifica. E como as exigências se sobrepõem bastante, a plataforma mostra o percentual já coberto ao habilitar o segundo.

As quatro funções

O framework organiza o trabalho em quatro funções, e essa estrutura é o principal valor dele:

A função Mapear é onde a maioria das empresas descobre o tamanho real do assunto. O inventário quase sempre revela mais uso de IA do que a liderança imaginava, porque áreas adotam ferramentas sem passar pela tecnologia.

🖼️ Imagem: NIST AI RMF na plataforma, com as quatro funções.

Riscos que este framework tira do abstrato

O valor prático dele está em nomear preocupações que costumam ficar vagas:

• Viés, quando o sistema trata grupos de forma desigual.
• Confiabilidade, quando ele erra de formas que ninguém previu.
• Transparência, quando não é possível explicar por que uma decisão foi tomada.
• Supervisão, quando não há humano capaz de revisar e reverter.
• Uso de dados, especialmente dados pessoais, no treinamento e na operação.

Cada um desses temas vira controle na plataforma, o que os transforma de conversa em item de trabalho com responsável.

O que é comprovado automaticamente e o que não é

Vale ser direto: quase nada aqui é automatizável. Não existe integração que confira governança de IA.

O que a plataforma faz aqui é organizar, cobrar e guardar. O trabalho é humano.

Por onde começar

1. Faça o inventário. Pergunte a cada área quais ferramentas de IA ela usa. Esta etapa costuma ser reveladora.
2. Classifique por impacto sobre pessoas. Separe o que afeta decisões sobre clientes e candidatos do que é conveniência interna.
3. Publique a política de uso de IA. O que é permitido, o que exige aprovação, o que é vedado.
4. Registre os riscos no módulo de Riscos, com tratamento apontando para o controle correspondente.
5. Defina supervisão humana onde ela é necessária, e registre como funciona na prática.
6. Reavalie a distribuição entre as funções periodicamente. É o uso natural deste framework.

O que costuma dar problema

• Inventário incompleto. Ferramentas adotadas por marketing, RH ou atendimento sem registro central.
• Ficar só em Governar. Publicar a política e parar ali. Mapear e Medir são onde o risco real aparece.
• Supervisão humana declarada e inexistente. É o achado mais grave, porque é uma afirmação falsa.
• Confundir com uma norma certificável. Não existe certificado de AI RMF. Se o cliente quer prova formal, o caminho é a ISO 42001.

⚠️ Esta página descreve o propósito e a estrutura geral do framework em linguagem própria, para orientar o uso da plataforma. As publicações do instituto responsável são de acesso público e são a referência oficial.