Consultoria de Governança de IA
A VGrid é uma consultoria especializada em Governança Corporativa de IA. Estruturamos políticas, papéis, avaliação de risco, controles, supervisão humana e evidências sobre o uso de inteligência artificial, com a norma ISO/IEC 42001, o framework voluntário NIST AI RMF, o framework FATE e a regulação aplicável a cada operação.
- Consultoria de Governança de IA é o trabalho de definir responsabilidades, políticas, avaliação de risco, controles, supervisão humana e evidências sobre o uso de IA na organização.
- A referência normativa é a ISO/IEC 42001:2023 (sistema de gestão de IA). O NIST AI RMF é framework voluntário e o Regulamento (UE) 2024/1689 é regulamento legal com escopo próprio.
- O escopo pode ir da análise de lacunas à operação continuada, incluindo FATE (equidade, responsabilização, transparência e ética) e AI Security.
- Escopo, cronograma e investimento são definidos após a avaliação inicial. Não publicamos faixa de preço nem prazo padrão.
- A certificação ISO é emitida por organismo certificador acreditado. A VGrid implementa, audita internamente e prepara a organização.
O que costuma estar exposto quando a IA avança sem governança
A adoção de IA generativa e de agentes autônomos avançou mais rápido que a estrutura de controle. Clientes, auditores, conselhos e reguladores começaram a pedir evidências.
ISO/IEC 42001 cobrada em RFPs e due diligence
A norma de sistema de gestão de IA já aparece em processos de compra, auditoria de fornecedores e diligência de investidores, sem que exista AIMS implementado para responder.
Exposição regulatória não mapeada
O Regulamento (UE) 2024/1689 tem escopo próprio e aplicação escalonada, e o PL 2338/2023 segue em tramitação. Sem leitura do papel exercido, a organização não sabe o que se aplica a ela.
Uso de IA sem inventário nem política
Ferramentas de IA generativa em uso sem aprovação, sem registro, sem critério de dado permitido e sem responsável designado.
Decisões automatizadas sem rastreabilidade
Ausência de documentação de modelo e de dados, sem critérios de equidade declarados e sem trilha que permita reconstituir uma decisão.
Nenhuma área responde formalmente pela IA
TI, jurídico, segurança e negócio dividem o tema sem RACI. O conselho pede reporte e não há estrutura que o produza.
Documento sem operação
Política aprovada e treinamento pontual não sustentam auditoria. Sem controle, evidência, indicador e rito de comitê, o programa não se demonstra.
Frentes possíveis da consultoria
O programa é modular. A combinação de frentes é definida na avaliação inicial, conforme inventário de sistemas de IA, criticidade dos usos e maturidade de gestão já existente.
Avaliação inicial e análise de lacunas
Leitura do ambiente, inventário dos sistemas de IA em uso (próprios, contratados e embarcados) e comparação com os requisitos da ISO/IEC 42001:2023 e do NIST AI RMF.
Implementação do sistema de gestão de IA (AIMS)
Política de uso de IA, contexto e escopo, papéis e responsabilidades, avaliação de impacto (AIIA), gestão de riscos e controles do Anexo A, conforme cláusulas 4 a 10 da norma.
Adequação preventiva à regulação aplicável
Leitura do Regulamento (UE) 2024/1689 conforme o papel exercido pela organização, acompanhamento do PL 2338/2023 (em tramitação) e mapeamento de requisitos setoriais.
Auditoria interna e preparação para certificação
Auditoria interna conduzida por profissional com credencial Lead Auditor ISO/IEC 42001, plano de tratamento de não conformidades e preparação da organização para a auditoria externa.
Operação continuada da governança
Ritos do comitê, atualização de evidências, revisão periódica de risco e indicadores, mantendo o programa vivo entre ciclos de auditoria.
Capacitação por público
Trilhas distintas para alta direção, comitê, times técnicos e usuários finais, com foco em uso ético, consciente e seguro de IA.
Framework FATE aplicado à operação
FATE (Fairness, Accountability, Transparency, Ethics) organiza a camada de risco e ética do programa, incluindo a avaliação de vieses e riscos de discriminação em sistemas que afetam pessoas, e se conecta ao processo de avaliação de impacto do sistema de gestão de IA.
Fairness (equidade): avaliação de vieses e riscos de discriminação
Avaliação de vieses e riscos de discriminação por caso de uso: definição de critérios de equidade, medição de disparidade entre grupos afetados, exame das bases de dados e do desenho do modelo, documentação das métricas escolhidas e registro das decisões de trade-off. Quando há decisão automatizada sobre pessoas, o resultado alimenta a avaliação de impacto do sistema de gestão de IA e o ponto de supervisão humana.
Accountability (responsabilização)
Cada sistema de IA tem responsável identificado, escopo de decisão autorizado, ponto de supervisão humana e trilha de evidências para revisão posterior.
Transparency (transparência)
Documentação de modelo e de dados, informação a pessoas afetadas quando aplicável e rastreabilidade suficiente para reconstituir como uma decisão foi produzida.
Ethics (ética aplicada)
Usos vedados declarados, análise de impacto sobre pessoas e canal formal de contestação, ligados ao processo de avaliação de impacto do AIMS.
Segurança aplicada a sistemas de IA
Governança sem controle técnico não se sustenta. Aqui, monitoramento significa acompanhamento de sistemas de IA, riscos, incidentes e indicadores — nunca vigilância de pessoas.
Uso não governado de IA (Shadow AI)
Descoberta e inventário de ferramentas de IA generativa em uso sem aprovação, definição de usos permitidos e controles de prevenção de perda de dados aplicáveis ao contexto.
Riscos específicos de sistemas de IA
Tratamento de prompt injection, extração de dados de treino, envenenamento de dados, uso indevido de modelos e exposição de credenciais em integrações.
Guardrails técnicos e operacionais
Definição de guardrails de entrada e de saída (filtros de conteúdo, limites de contexto, mascaramento de dados pessoais, listas de usos vedados) com registro de eventos e revisão humana nos pontos de decisão sensível. Os guardrails são tratados como controle documentado do AIMS, com dono, evidência e critério de teste.
Agentes autônomos e integrações
Limitação de escopo, autenticação, registro de ações e revisão humana em agentes com permissão de execução sobre sistemas corporativos.
Conexão com segurança e privacidade
ISO/IEC 27001, ISO/IEC 27701 e LGPD funcionam como camadas de sustentação do programa de IA, reaproveitando controles já implantados em vez de duplicá-los.
Entregáveis da consultoria
Cada frente produz artefato verificável. O conjunto exato de entregáveis é definido no escopo acordado após a avaliação inicial.
Relatório de análise de lacunas
Inventário de sistemas de IA e comparação com os requisitos da ISO/IEC 42001 e do NIST AI RMF, com lacunas priorizadas por risco.
Política corporativa de uso de IA
Política aprovada pela alta direção, com usos permitidos, usos vedados, critérios de dado e regras de supervisão humana.
Documentação do AIMS
Contexto, escopo, processos do ciclo de vida, registro de riscos, avaliação de impacto (AIIA) e declaração de aplicabilidade dos controles do Anexo A.
Estrutura de governança e RACI
Comitê de IA com ritos formais, papéis por sistema (responsável pelo modelo, responsável pelo risco) e fluxo de decisão documentado.
Controles de AI Security e Shadow AI
Inventário de ferramentas, critérios de uso permitido, requisitos de prevenção de perda de dados e tratamento de riscos específicos de IA.
Avaliação de vieses e auditoria interna
Relatório de avaliação de vieses e riscos de discriminação nos casos de uso priorizados, relatório de auditoria interna, plano de tratamento de não conformidades e painel de indicadores para revisão periódica pelo comitê.
Referências normativas utilizadas
Cada instrumento tem natureza e efeito distintos. Tratá-los como equivalentes é uma das principais fontes de erro em programas de IA.
ISO/IEC 42001:2023
Norma internacional de sistema de gestão de IA (AIMS), com requisitos auditáveis. A certificação é emitida por organismo certificador acreditado e independente.
ISO/IEC 23894:2023
Norma de orientação (guidance) para gestão de risco de IA. Não é certificável e não substitui a ISO/IEC 42001: fornece o vocabulário e o processo de risco que alimentam o AIMS, alinhados à ISO 31000.
NIST AI RMF 1.0
Framework voluntário de gestão de risco de IA, organizado nas funções Govern, Map, Measure e Manage. Não é certificável.
Regulamento (UE) 2024/1689 (EU AI Act)
Regulamento legal europeu, com escopo definido no art. 2 e aplicação escalonada. O alcance depende do papel exercido, do sistema e do uso do resultado.
PL 2338/2023
Projeto de lei brasileiro sobre inteligência artificial, ainda em tramitação. O tratamento adequado hoje é adequação preventiva, não conformidade declarada.
Como a consultoria é conduzida
Ler
Avaliação inicial com as áreas envolvidas: contexto, sistemas de IA em uso, exposição regulatória conforme o papel exercido e maturidade de gestão.
Priorizar
Análise de lacunas frente à ISO/IEC 42001 e ao NIST AI RMF, definição de escopo do AIMS e sequenciamento das frentes por risco e por dependência interna.
Implantar
Construção da política, dos processos, da avaliação de impacto, da gestão de risco, do FATE aplicado e dos controles do Anexo A, com evidência gerada em ambiente real.
Governar
Comitê em operação, papéis atribuídos, indicadores em uso, auditoria interna por profissional com credencial Lead Auditor e plano de tratamento das não conformidades.
Evoluir
Ciclo periódico de revisão de risco, atualização de evidências, acompanhamento regulatório e suporte durante a auditoria externa do organismo certificador.
O que esta consultoria não promete
Transparência sobre limites é parte do método. Nenhum desses pontos é negociável em proposta.
A VGrid não emite certificação
A certificação ISO é emitida exclusivamente por organismo certificador acreditado. A VGrid atua na implementação, na auditoria interna e no readiness, e não emite certificação.
Conformidade não é declarada por consultoria
Conformidade regulatória é verificada pela autoridade competente. O trabalho da VGrid produz adequação preventiva, aderência documentada e prontidão para auditoria.
Escopo, prazo e investimento vêm depois da avaliação
Não publicamos faixa de preço nem prazo padrão. Escopo, cronograma e investimento são definidos após a avaliação inicial, conforme inventário de sistemas, criticidade e maturidade.
Independência tecnológica
Não revendemos licença de software. Quando alguma plataforma é recomendada, o critério é aderência ao método e ao contexto da organização.
Quem conduz o trabalho
Rafael Lotfi Marrocos Leite (Founder & CEO · VGrid) responde tecnicamente pelos programas. As credenciais abaixo são individuais e verificáveis, e não são atribuídas à empresa.
- ISO/IEC 42001 Lead Implementer
- ISO/IEC 42001 Lead Auditor
- ISO/IEC 27001 Lead Implementer
- ISO/IEC 27001 Lead Auditor
- ISO/IEC 27701 Lead Implementer
- ISO/IEC 27701 Lead Auditor
As certificações acima são emitidas pela PECB e pertencem pessoalmente a Rafael Lotfi; não são certificações da VGrid nem atestam conformidade de clientes. A credencial Lead Auditor é o que permite conduzir auditoria interna válida sob a cláusula 9.2 da ISO/IEC 42001. Perfil completo em página do autor e no institucional da VGrid.
Para entender o tema antes de contratar, veja o hub de Governança de IA e o Método VGrid. Para projetos voltados à norma, vá para ISO/IEC 42001 ou Consultoria ISO 42001. Para execução do programa, Implementação de Governança de IA. Para operação continuada, AI Governance as a Service. Para critérios de escolha de fornecedor, como escolher uma consultoria. Entre as frentes regulatórias específicas atendidas em setores regulados está a adequação à Resolução CFM para instituições médicas e healthtechs.
Perguntas frequentes
Organizações atendidas
Depoimentos
Relatos de organizações atendidas.
Depoimentos reais publicados de forma anônima, por decisão editorial e por respeito aos acordos de confidencialidade. Identificação apenas por área e setor.
“A estruturação nos deu inventário de sistemas de IA, política de uso e uma matriz de riscos que a diretoria consegue ler e discutir.”
Diretoria de Tecnologia · Hotelaria
“O ponto mais útil foi separar o que era exigência normativa do que era decisão interna. Isso reduziu discussão e acelerou aprovação.”
Jurídico e Compliance · Educação corporativa
“Passamos a ter registro de quem aprova cada uso de IA, com evidência para auditoria interna e para clientes que pedem essa comprovação.”
Gerência de Segurança da Informação · Serviços de tecnologia
“A avaliação apontou usos de IA que não estavam mapeados e definiu critérios claros para autorizar ou bloquear cada ferramenta.”
Diretoria Executiva · Indústria e distribuição
Não existe correspondência entre os logos exibidos e os relatos publicados. Logos e depoimentos são apresentados de forma independente.
Vamos estruturar a Governança de IA da sua empresa
Solicite a avaliação inicial. Mapeamos contexto, sistemas de IA em uso, exposição regulatória e maturidade, e apresentamos escopo preliminar com a modalidade recomendada.
Vamos estruturar a Governança de IA da sua empresa
Solicite a avaliação inicial. Mapeamos contexto, sistemas de IA em uso, exposição regulatória e maturidade, e apresentamos escopo preliminar com a modalidade recomendada.
Retornamos o contato após análise inicial do contexto.