A inteligência artificial abre novas possibilidades para a gestão de riscos, auditoria e compliance. Ao reduzir o tempo dedicado à coleta de evidências, à consolidação de informações e a outras atividades manuais, ela permite que os profissionais concentrem seus esforços na análise crítica — etapa em que a experiência e o conhecimento humano efetivamente geram valor.
No entanto, a busca por eficiência trouxe uma questão igualmente importante para o centro da discussão: como garantir a governança dos dados processados pela IA?
Em GRC, essa preocupação ganha uma dimensão ainda maior. Relatórios de auditoria, matrizes de risco, planos de ação, evidências e denúncias podem conter informações estratégicas, pessoais ou altamente confidenciais. Por isso, antes de avaliar apenas o que uma ferramenta de IA é capaz de entregar, as organizações precisam responder a algumas perguntas:
- Onde os dados são processados?
- Quem pode acessá-los?
- Quais informações podem ser enviadas ao modelo?
- O que fica registrado para fins de rastreabilidade e auditoria?
- Em qual país os dados permanecem armazenados e processados?
Sem respostas claras, a adoção de IA pode introduzir riscos que comprometem os próprios benefícios esperados da tecnologia. A segurança, portanto, não deve ser incorporada como uma camada posterior. Ela precisa fazer parte da arquitetura desde o início.
Na Perinity, essa abordagem está estruturada em três pilares: governança, classificação e soberania de dados.
1. Governança: a IA também precisa ser auditável
A governança da inteligência artificial começa pela definição de regras claras para seu uso. Isso inclui determinar quem pode acessar cada funcionalidade, quais informações podem ser consultadas e como essas interações serão registradas.
Nas iniciativas de IA da Perinity, são aplicados controles de acesso baseados em papéis e responsabilidades. Cada usuário acessa apenas as informações e funcionalidades compatíveis com suas atribuições.
As consultas e interações também são registradas, criando uma trilha de auditoria sobre o uso da própria IA. Dessa forma, torna-se possível verificar quem realizou uma consulta, quando ela ocorreu e quais recursos foram utilizados.
É a aplicação, à inteligência artificial, da mesma disciplina de controle e rastreabilidade já exigida dos processos de riscos, auditoria e compliance.
2. Classificação: nem todo dado pode seguir o mesmo caminho
A proteção das informações depende de uma premissa fundamental: dados com diferentes níveis de sensibilidade não devem receber o mesmo tratamento.
Antes de serem disponibilizadas para processamento por recursos de IA, as informações precisam ser classificadas de acordo com seu grau de confidencialidade: de conteúdos públicos a dados extremamente restritos.
Essa classificação determina quais fluxos são permitidos, quais controles devem ser aplicados e qual nível de processamento pode ser realizado. Uma informação pública, por exemplo, não exige necessariamente o mesmo tratamento de uma denúncia, de um relatório confidencial de auditoria ou de um plano estratégico.
Ao definir essas regras previamente, a organização evita que o tratamento dos dados aconteça de maneira automática ou sem critérios claramente estabelecidos.
A pergunta deixa de ser apenas “a IA consegue processar esta informação?” e passa a ser: “a IA está autorizada a processá-la, neste contexto e sob estas condições?”
3. Soberania: o local de processamento também importa
Governar os dados significa também saber onde eles estão armazenados e processados.
Nas iniciativas de IA da Perinity, a infraestrutura utiliza a Oracle Cloud na região de São Paulo. Aplicação, dados e recursos de IA permanecem no mesmo ambiente tecnológico, sob políticas comuns de segurança, acesso e monitoramento.
Essa arquitetura permite manter o processamento em território nacional e tornar a residência dos dados verificável. Também reduz a necessidade de movimentar informações sensíveis entre diferentes ambientes e fornecedores, simplificando o perímetro que as equipes de segurança, tecnologia e auditoria precisam avaliar.
Manter aplicação e processamento de IA em uma infraestrutura integrada não elimina todos os riscos, nenhuma arquitetura pode fazer essa promessa. Mas reduz pontos de exposição, facilita a aplicação de controles consistentes e amplia a capacidade de rastreamento.
Para as organizações, isso significa mais clareza sobre o ciclo percorrido pela informação: onde entra, como é processada, quem pode acessá-la e quais registros permanecem disponíveis.
Governar a IA começa antes da escolha do modelo
Boa parte das discussões sobre inteligência artificial ainda se concentra na capacidade dos modelos, na velocidade das respostas ou no potencial de automação. Esses aspectos são importantes, mas representam apenas uma parte da decisão.
Em processos críticos, a arquitetura de governança deve vir antes da escolha da tecnologia. É preciso estabelecer previamente:
- quais informações podem ser processadas;
- quais dados devem permanecer restritos;
- quem terá acesso aos recursos;
- onde o processamento ocorrerá;
- como cada interação será registrada;
- e quais evidências estarão disponíveis para auditoria.
A adoção responsável de IA não significa reduzir o ritmo da inovação. Significa criar condições para que ela avance de maneira sustentável, sem colocar em risco a confidencialidade das informações, a conformidade da organização ou a confiança de clientes e demais partes interessadas.
A mesma disciplina aplicada ao GRC deve orientar a IA
Organizações que já administram processos críticos de riscos, auditoria e compliance conhecem a importância de controles, responsabilidades e evidências. O desafio agora é estender essa mesma disciplina às ferramentas de inteligência artificial.
É esse princípio que orienta o desenvolvimento das iniciativas de IA da Perinity. O primeiro assistente analítico está em fase de homologação, apoiado por uma estrutura que combina governança, classificação e soberania de dados. As próximas iniciativas deverão utilizar essa mesma base, permitindo ampliar as aplicações da tecnologia sem abandonar os controles exigidos pelo contexto de GRC.
Antes de perguntar apenas o que a IA pode fazer, é necessário saber o que ela faz com os dados utilizados para chegar à resposta.
Se a sua organização está avaliando o uso de inteligência artificial em riscos, auditoria ou compliance, converse com nossos especialistas sobre os critérios de segurança e governança que devem fazer parte dessa decisão.
