Para ler e citar com clareza.

Cláusula da ISO/IEC 17021-1 vinculada à imparcialidade e aos conflitos de interesses em organismos de certificação de sistemas de gestão. A separação entre consultoria, implementação e auditoria de certificação deve ser gerenciada rigorosamente, incluindo restrições temporais quando aplicáveis.

• Relatório Cláusula §5.2 · separação auditor/implementador

Ação destinada a eliminar a causa de uma não conformidade e evitar que se repita. Corrigir o efeito imediato não basta quando a causa permanece dentro do sistema.

Sistema documentado de processos, recursos e responsabilidades para que uma organização gerencie a inteligência artificial que desenvolve, fornece ou usa. Sua estrutura é definida pela ISO/IEC 42001:2023.

Limite claro de um texto: o que cobre e o que deixa de fora. Sem esse limite, o leitor não sabe até onde pode usar o texto.

Toda peça séria precisa declarar seu escopo. Não é um aviso legal decorativo: é uma forma honesta de dizer o que foi examinado, para que serve e onde começa outra discussão.

• Relatório Confiança técnica · evidência, escopo e responsabilidade

Lista normativa de controles que acompanha a ISO/IEC 27001. A versão 2022 contém 93 controles agrupados em quatro categorias. A organização deve justificar a inclusão ou exclusão de cada controle em sua declaração de aplicabilidade (SoA).

Profissional competente para auditar um sistema de gestão de IA dentro de um escopo definido. A experiência em outros sistemas de gestão contribui com método, mas não demonstra, por si só, competência em IA, dados ou impactos algorítmicos.

Processo independente e documentado para obter evidência e compará-la com critérios definidos. A sério: método, critério e independência.

• Critério A auditoria contínua

Auditoria que acompanha o ritmo do sistema, não apenas o calendário. Não significa auditar mais por hábito: significa observar quando o sistema muda.

Uma revisão anual pode ser insuficiente para sistemas que mudam a cada poucas semanas. A auditoria contínua não substitui tudo: acrescenta sinais, revisões por mudança e evidências que permitem examinar em tempo hábil.

• Critério A auditoria contínua
• Relatório A auditoria anual como modelo obsoleto para sistemas de IA

Causa que explica por que o sistema permitiu uma não conformidade, além de sua manifestação imediata. Pode haver várias causas concorrentes; a análise deve sustentá-las com evidência.

Os cinco porquês podem iniciar a busca, mas não substituem a prova. A análise termina quando a organização consegue relacionar uma causa verificável à falha observada e elaborar uma ação capaz de modificar essa condição.

Exemplo Agir sobre a causa aparente (o operador) prediz recorrência; agir sobre a causa do sistema a previne.

• Critério O responsável identificável

Confiança que não depende apenas da reputação. Apoia-se em provas, limites claros e alguém que responde pelo que afirma.

Serve para examinar o que há por trás de uma declaração importante. Não substitui uma certificação, uma auditoria nem uma norma: ajuda a perguntar que prova existe, quem assina e até onde vai o que foi dito.

• Relatório Confiança técnica · evidência, escopo e responsabilidade
• Relatório Confiança Técnica · genealogia de uma categoria operacional
• Critério O que se afirma se demonstra, ou não se afirma

Período de restrição entre um serviço de consultoria ou implementação e uma auditoria de certificação sobre o mesmo sistema. Protege a imparcialidade do processo quando existe risco de revisar o próprio trabalho ou interesse prévio.

Investimento produtivo privado que deixa de ocorrer em jurisdições percebidas como corruptas. A magnitude varia conforme o país e o método; as estimativas com fonte estão reunidas no relatório sobre corrupção e custo econômico.

Texto breve assinado por Fernando Arrieta. Serve para organizar uma discussão difícil sobre auditoria, evidência, governança ou instituições.

• Critério A IA avança mais rápido que a governança

Avaliação prévia do impacto que uma operação de tratamento pode produzir sobre a proteção de dados pessoais. O artigo 35 do RGPD a exige quando o tratamento provavelmente implicar um alto risco para os direitos e liberdades das pessoas.

Princípio útil para auditar: o documento representa a operação, mas não a esgota. Auditar é observar a distância entre o que está escrito e o que acontece.

A documentação de um sistema de gestão é o mapa. A operação real é o território. O trabalho do auditor é examinar essa distância e dizer onde o sistema escrito deixou de se parecer com o sistema vivido.

Exemplo Uma política de segurança da informação pode declarar revisão trimestral de acessos. O registro técnico real pode mostrar que as revisões ocorrem a cada nove meses. A política é o mapa. O registro técnico é o território.

Critério explícito e documentado com o qual se mede o desempenho de uma organização. Se muda ou surge depois de observar os resultados, a comparação deixa de ser reproduzível.

Regulamento europeu que estabelece proibições, obrigações para determinados sistemas de alto risco e deveres de transparência. Sua aplicação é escalonada; o alcance concreto depende do sistema, do uso e do papel que cada organização ocupa.

Informação cuja veracidade pode ser demonstrada por observação, medição, registros ou outros meios. O auditor avalia sua pertinência, suficiência e relação com o critério aplicável.

Prova que nasce da operação real, não de papéis preparados para uma auditoria. Uma entrega datada pode ser evidência; um procedimento sem uso, não.

A evidência operacional existe antes da auditoria. É o rastro que a organização deixa quando trabalha. Um sistema maduro a produz naturalmente; um sistema enlatado a fabrica tarde e em bloco.

• Relatório Confiança técnica · evidência, escopo e responsabilidade
• Critério O auditor precede o método

Ato de colocar o próprio nome por trás de uma afirmação técnica. Quem assina não apenas aparece: responde pelo que disse.

Exemplo "Quem assina sustenta. Quem sustenta assina." A responsabilidade técnica não é decorativa.

• Critério O que se afirma se demonstra, ou não se afirma

Ideia curta e citável que resume o centro de um texto sem torná-lo frio.

Exemplo "Quando um sistema existe apenas para sustentar um certificado, não é um sistema. É decoração."

Organização internacional de acreditação que, desde 1 de janeiro de 2026, integra as funções anteriormente desenvolvidas por IAF e ILAC. Seu nome oficial é Global Accreditation Cooperation Incorporated e sua sigla oficial é Global ACI; a denominação de trabalho GLOBAC, usada durante a transição, foi substituída pela marca oficial em abril de 2026. Seu MRA (Multilateral Recognition Arrangement) busca manter o reconhecimento internacional de resultados acreditados de avaliação da conformidade.

Conjunto de práticas, controles, responsabilidades e mecanismos de verificação com que uma organização governa os sistemas algorítmicos que desenvolve, fornece ou usa. Seu desenho deve acompanhar o ritmo real de mudança do sistema.

• Relatório O estado da governança algorítmica na América Latina
• Critério A IA avança mais rápido que a governança

Resultado de comparar evidência com um critério. Uma constatação diz qual requisito se aplica, o que foi encontrado e qual é a lacuna. Não precisa de adjetivos.

• Relatório Cláusula §5.2 · separação auditor/implementador

Desenho em que uma pessoa intervém dentro do fluxo de decisão de um sistema de IA. A supervisão é efetiva quando existe autoridade real para agir, informação suficiente e rastreabilidade da intervenção.

A presença de uma assinatura ou de uma tela de aprovação não demonstra supervisão. É preciso observar se a pessoa pode interromper ou modificar o resultado, quais casos revisa, com quais informações e que registro deixa. A adequação do controle depende do risco e do uso.

Exemplo Em um sistema de avaliação de crédito, a revisão humana é nominal se ninguém pode modificar o resultado ou se a amostra carece de critério. É efetiva quando o papel, a capacidade de intervenção e o registro podem ser demonstrados.

• Relatório IA e scoring de crédito · quando o algoritmo decide quem tem acesso ao crédito

Acordo multilateral histórico do International Accreditation Forum. Desde 1 de janeiro de 2026, deve ser lido como referência de transição integrada à arquitetura Global ACI / MRA, que unifica as funções antes desenvolvidas por IAF e ILAC.

É transparência mais gestão ativa do conflito de interesses. Um auditor declara seus vínculos e os gerencia explicitamente. A ISO/IEC 17021-1 organiza essa exigência para organismos que auditam e certificam sistemas de gestão.

• Relatório Cláusula §5.2 · separação auditor/implementador

Capacidade de uma organização pública ou privada de manter consistência entre o que declara, o que decide e o que executa. É observada na evidência disponível, na rastreabilidade e na prestação de contas.

• Relatório Estado verificável e integridade pública
• Relatório Integridade municipal · blindagem digital

Norma internacional de diretrizes para auditar sistemas de gestão. A edição vigente é a ISO 19011:2026 (4.ª edição, publicada em maio de 2026). Mantém e reforça a abordagem baseada em riscos que já figurava entre os princípios da edição 2018, e atualiza as orientações para contextos como auditorias remotas e locais virtuais. É um guia; não impõe, por si só, obrigações de certificação.

Norma internacional para sistemas de gestão antissuborno. A edição vigente ISO 37001:2025 aplica-se a organizações públicas, privadas e sem fins lucrativos. Sua efetividade depende da qualidade da implementação, não da existência do certificado.

• Relatório Corrupção e custo econômico na América Latina

Norma internacional para sistemas de gestão da qualidade. Define os requisitos para que uma organização possa demonstrar sua capacidade de fornecer produtos e serviços que satisfaçam os requisitos do cliente e os aplicáveis.

• Relatório A lacuna de certificação · LATAM sete vezes menos

Norma que contém princípios e requisitos para a competência, consistência e imparcialidade de organismos que auditam e certificam sistemas de gestão. É a base para avaliar como um organismo gerencia independência, conflitos de interesses e rigor de certificação.

Norma internacional de requisitos para sistemas de gestão da segurança da informação (SGSI). A edição 2022 contém 93 controles de referência em seu Anexo A, agrupados em temas organizacionais, de pessoas, físicos e tecnológicos.

• Relatório Cibersegurança como continuidade do negócio

Norma de sistema de gestão de informações de privacidade (PIMS). Em sua edição ISO/IEC 27701:2025, é autônoma e certificável por si só: já não é descrita como uma extensão da ISO/IEC 27001, embora se integre bem a um SGSI existente. Os certificados emitidos sob a edição 2019 passam por transição para a 2025.

Primeira norma internacional para sistemas de gestão de inteligência artificial (AI Management System, AIMS), publicada em dezembro de 2023. Permite certificar um sistema de gestão de IA dentro de um escopo definido; não certifica a maturidade geral da IA nem a responsabilidade de cada modelo individual.

• Relatório O estado da governança algorítmica na América Latina

Análise assinada de um tema técnico. Diz o que foi examinado, com quais fontes e o que fica de fora. Não é sentença: ajuda a decidir melhor.

Exemplo Um relatório revisa uma afirmação pública e mostra que a prova invocada não é suficiente. Isso é uma leitura técnica: assinada, delimitada e citável.

Parte em que um texto diz o que não cobre. Não é uma formalidade legal: é uma forma de não afirmar mais do que se pode sustentar.

Exemplo "Este relatório é uma análise técnica sobre evidências públicas disponíveis no momento de sua elaboração. Não constitui auditoria regulatória nem decisão oficial." Isso é um limite declarado.

Princípio central do site: uma afirmação séria precisa de ator, data, critério, escopo e vigência. Quando esses elementos faltam, a declaração perde rastreabilidade.

Rege todo o corpus. Em auditoria, uma afirmação técnica precisa desses componentes. Em sistemas de gestão, um certificado diz que um sistema foi avaliado em um determinado momento e sob critérios concretos. Em IA, dizer "nosso sistema é responsável" não basta se não for explicado quem responde, com qual critério e até quando.

• Critério O que se afirma se demonstra, ou não se afirma

Referencial de leitura sobre maturidade documental, declarativa, parcial, operacional e sistêmica. Mede a distância entre o que está certificado e o que está realmente operacional.

Capacidade de um sistema de IA de mudar seu comportamento ou sua evidência relevante após uma avaliação. Pode surgir de atualizações do modelo, ajustes de configuração, novos dados ou deriva na população usuária.

A mutabilidade não é necessariamente um defeito. Ela exige registrar versões, definir gatilhos de reavaliação e detectar quando o sistema em operação deixou de corresponder ao sistema que foi examinado.

• Relatório Auditoria anual sobre a operação de IA · alerta de obsolescência
• Critério A IA avança mais rápido que a governança

Referencial voluntário do National Institute of Standards and Technology dos Estados Unidos para gerenciar riscos de IA. Organiza o trabalho em quatro funções: governar, mapear, medir e gerenciar.

Classificação operacional para uma não conformidade que compromete a capacidade do sistema de alcançar seus resultados pretendidos. O critério exato e seu efeito sobre uma certificação dependem da norma, do esquema e das regras aplicáveis.

Classificação operacional para uma não conformidade delimitada que não compromete, por si só, a capacidade global do sistema. Também exige tratamento; seus prazos e efeitos dependem do esquema aplicável.

Prática de explicar decisões, responsáveis, critérios e resultados por meio de evidência documentada. Permite revisar o que foi decidido e com qual fundamento.

• Relatório Estado verificável e integridade pública
• Relatório O Estado argentino lido como sistema

Pessoa concreta, com nome e função, que pode explicar uma afirmação, uma decisão ou um sistema. O contrário de esconder tudo atrás de "a organização".

• Relatório Confiança técnica · evidência, escopo e responsabilidade
• Critério O responsável identificável

Possibilidade de que um modelo produza resultados inadequados e gere consequências relevantes. Sua avaliação considera dados, desempenho, contexto de uso, mudanças em produção e capacidade humana de intervenção.

Registro das atividades de tratamento de dados pessoais sob a responsabilidade de um controlador ou operador. O artigo 30 do RGPD define seu conteúdo e prevê exceções que devem ser avaliadas em cada caso.

Sistema de gestão feito para manter um certificado, não para ajudar a trabalhar melhor. Pode parecer organizado e falhar quando a operação o põe à prova.

O problema não é só o modelo. É a intenção. A direção quer o certificado, mas não o sistema. O sintoma costuma se repetir: documentos completos, operação diferente e responsáveis que não usam os procedimentos.

• Relatório O certificado-teatro e o risco do sistema decorativo

Sistema cuja saída é determinada pela entrada e pelas regras configuradas: sob as mesmas condições, produz o mesmo resultado. Muitos sistemas generativos são estocásticos e exigem outra abordagem de avaliação.

A distinção muda a auditoria. Uma regra determinística pode ser testada com casos esperados; um sistema estocástico exige amostras, métricas e análise de distribuição. Em ambos os casos, devem ser controlados versão, configuração e contexto.

Exemplo Uma calculadora é determinística sob uma configuração fixa. Um modelo generativo pode responder de maneira diferente à mesma instrução; sua avaliação não pode se apoiar em uma única saída.

Sistema montado com modelos ou documentos copiados de outra organização. Pode passar em uma auditoria inicial, mas falha quando surge um problema real.

Surge porque parece mais rápido e mais barato. O problema vem depois: o procedimento descreve como outra organização trabalha, não como trabalha a organização certificada.

Exemplo É reconhecido porque a documentação descreve como outra organização opera, não a própria; a distância em relação à operação real aparece no primeiro incidente.

• Relatório Traje sob medida vs sistema enlatado · sobre a implementação honesta

Diferença injustificada entre o preço pago em uma contratação pública e uma referência comparável de mercado. Para sustentá-la, devem ser comparadas especificações, quantidades, condições, data e custos associados.

• Relatório Corrupção e custo econômico na América Latina

Lacuna entre o nível de serviço público prometido e o efetivamente entregue. Pode ter causas orçamentárias, operacionais ou de integridade; atribuí-la exige evidência específica, não apenas percepção.

Registros que o sistema gera enquanto funciona e que um auditor pode analisar sem esperar a visita anual.

Sistema de gestão montado a partir da forma real de trabalhar de uma organização. A documentação organiza o que já acontece ou o que deve acontecer ali, não em uma empresa imaginária.

Costuma dar mais trabalho no início, mas depois é mais bem utilizado. A equipe pode seguir os procedimentos porque eles coincidem com sua prática real.

• Relatório Traje sob medida vs sistema enlatado · sobre a implementação honesta

Publicação estruturada e rastreável de dados de execução orçamentária. Sua qualidade depende da atualidade, granularidade, integridade e possibilidade de relacionar cada dado a uma decisão ou transação.

Prática profissional que verifica uma afirmação por meio de fontes independentes, como registros, observação e entrevistas. A quantidade e a combinação necessárias dependem do risco e do objeto auditado.

Quando as fontes coincidem, a conclusão ganha sustentação. Quando divergem, a discrepância também é evidência: exige ampliar a amostra, revisar o critério ou reformular a pergunta antes de concluir um achado.

Exemplo Um achado se sustenta quando a mesma afirmação é confirmada por fontes independentes entre si; quando divergem, a discrepância é, por si só, informação.

Verificação que é acionada quando algo importante muda: modelo, dados, fornecedor ou regra de uso. Troca a lógica de calendário pela lógica de evento.

Comprovação documentada de que uma ação corretiva produziu o resultado esperado e reduziu a possibilidade de recorrência. Encerrar uma tarefa não demonstra, por si só, que o sistema mudou.

Pessoa que continua sendo responsável mesmo quando usa uma máquina como auxílio. O modelo auxilia; o humano revisa, decide e assina.

• Critério O responsável identificável