Glossário de IA Corporativa

Sistemas de IA que executam tarefas com autonomia.

Agentes autônomos que tomam decisões, acessam ferramentas, consomem APIs e executam ações encadeadas com supervisão humana variável. Exigem governança proporcional à autonomia, com controles de autorização, blast radius e auditoria.

Conformidade aplicada à IA.

Adequação a normas, regulações e contratos sobre uso de IA, ISO/IEC 42001, EU AI Act, PL 2338, LGPD aplicada à IA, regulações setoriais e cláusulas contratuais B2B sobre IA.

Estrutura corporativa para uso governado de IA.

Conjunto de políticas, papéis, responsabilidades, controles, riscos, evidências e melhoria contínua que permite à empresa usar IA de forma segura, rastreável e alinhada ao negócio. Base normativa principal: ISO/IEC 42001. Em português é chamada indistintamente de Governança de IA ou Governança Algorítmica.

Gestão de riscos próprios de IA.

Identificação, avaliação, tratamento, monitoramento e revisão de riscos específicos de sistemas de IA, viés, desempenho, segurança, privacidade, dependência de fornecedor, deriva de modelo. Referenciais: NIST AI RMF e ISO/IEC 23894.

Segurança aplicada a sistemas de IA.

Disciplina que trata de ameaças próprias de IA, prompt injection, data poisoning, model extraction, jailbreak, vazamento via LLM, abuso de agente autônomo, integrada à cibersegurança corporativa.

Proliferação descontrolada de ferramentas de IA.

Multiplicação de ferramentas, contas e integrações de IA sem inventário, aprovação ou padrão técnico. Diferente de Shadow AI (uso oculto), o AI Sprawl pode ser até formalmente conhecido, mas é fragmentado: várias áreas contratando soluções sobrepostas, sem dono, sem controle de dados e sem descomissionamento.

Confiança, risco e segurança de IA como disciplina.

AI Trust, Risk and Security Management: categoria de mercado que agrupa explicabilidade, ModelOps, privacidade e segurança de aplicações de IA. Útil como vocabulário de mercado, mas não é norma auditável — quem precisa de evidência formal usa ISO/IEC 42001 e NIST AI RMF.

O sistema de gestão exigido pela ISO/IEC 42001.

AIMS (Artificial Intelligence Management System) é o sistema de gestão de IA definido pela ISO/IEC 42001: contexto, liderança, política de IA, objetivos, papéis, avaliação de riscos e impactos, controles do Anexo A, competência, documentação, auditoria interna, análise pela direção e melhoria contínua. Implantar a ISO 42001 significa, em termos práticos, implantar e operar um AIMS.

Identificação e tratamento dos riscos que ameaçam ativos.

Processo de identificar ativos, ameaças, vulnerabilidades e impactos; avaliar probabilidade e consequência; e decidir tratamento (mitigar, transferir, aceitar, evitar) com critérios definidos e aprovados. É requisito central da ISO/IEC 27001 e insumo direto da avaliação de risco de IA.

Processo irreversível que retira a identificabilidade do dado.

Dado anonimizado não permite identificar o titular por meios razoáveis e, por isso, sai do escopo da LGPD. O critério é técnico e contextual: se a reidentificação é possível com esforço razoável, o dado continua pessoal. Distingue-se da pseudonimização, que é reversível.

Autoridade Nacional de Proteção de Dados.

Órgão responsável por fiscalizar a LGPD no Brasil, com atuação crescente em temas de IA — decisões automatizadas, uso de dados pessoais para treino de modelos e transparência. No desenho do Marco Legal da IA, a ANPD figura como peça central da futura arquitetura de supervisão.

Requisito 9.2 da ISO/IEC 42001.

Auditoria conduzida pela própria organização (ou por terceiro independente em seu nome) para verificar se o AIMS está implementado e eficaz. É requisito explícito da ISO/IEC 42001 e pré-condição para a auditoria de certificação. Deve ter programa, critérios, escopo, evidências e tratamento de não conformidades.

Fundamento jurídico que autoriza cada tratamento de dados.

A LGPD lista dez hipóteses para dados pessoais (art. 7) e oito para dados sensíveis (art. 11), entre elas consentimento, execução de contrato, obrigação legal, legítimo interesse e exercício regular de direitos. Cada operação de tratamento precisa de uma base legal declarada, documentada no ROPA e coerente com a finalidade informada ao titular.

Tendência sistemática de modelos.

Distorção sistemática em treino, dado, métrica ou aplicação que gera resultado desproporcional para subgrupos. Não existe modelo sem viés, existe modelo com viés conhecido, documentado, monitorado e mitigado.

Atestado emitido por organismo certificador independente.

A certificação recai sobre o sistema de gestão de IA (SGIA/AIMS) dentro de um escopo declarado e é decidida exclusivamente por um organismo certificador independente, cuja competência pode ser confirmada por um organismo de acreditação. A ISO publica a norma e não certifica organizações. Consultorias — incluindo a VGrid — estruturam o SGIA, preparam evidências e conduzem auditoria interna e readiness, mas não emitem nem garantem certificado.

Instância que decide sobre casos de uso e risco.

Fórum multidisciplinar (negócio, jurídico, privacidade, segurança, tecnologia) responsável por aprovar casos de uso de IA, classificar risco, definir exceções e acompanhar indicadores. A ISO/IEC 42001 não exige o nome 'comitê', mas exige papéis, autoridade e responsabilidade definidos — o comitê é a forma usual de materializar isso.

Programa contínuo de capacitação de pessoas.

Treinamento recorrente sobre phishing, uso de dados, senhas, engenharia social e, cada vez mais, uso responsável de IA generativa. A AI Literacy é requisito explícito do EU AI Act (art. 4) e controle prático contra Shadow AI, pois substitui proibição genérica por critério claro de uso.

Papéis que definem quem responde por cada tratamento.

Controlador é quem toma as decisões sobre finalidade e meios do tratamento; operador trata dados em nome do controlador. A definição correta do papel determina responsabilidade legal, obrigações contratuais e quem responde perante o titular e a ANPD. Em cadeias com SaaS e IA de terceiros, o papel precisa estar escrito em contrato.

Gestão de rastreadores e da escolha do usuário.

Cookies e tecnologias similares tratam dados pessoais e exigem transparência, granularidade e possibilidade real de recusa. Boas práticas: banner sem consentimento pré-marcado, categorização (necessários, desempenho, marketing), registro da escolha e política de cookies acessível.

Categoria de dado com proteção reforçada pela LGPD.

Dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa, filosófica ou política, dado referente à saúde ou à vida sexual, dado genético ou biométrico. Exige base legal específica do art. 11 e controles de segurança proporcionais ao risco.

Manipulação de dados de treino.

Ataque que insere ou altera dados de treinamento ou fine-tuning para distorcer o comportamento do modelo. Pode causar resultado errado em situação específica, viés intencional ou backdoor lógica.

Decisão tomada sem intervenção humana significativa.

Decisão que afeta o titular e é tomada por sistema automatizado. A LGPD garante direito a revisão; o EU AI Act e o PL 2338 acrescentam deveres de explicação, contestação e supervisão. Governar decisão automatizada exige registrar critérios, versão do modelo, dados usados e canal real de revisão humana.

Documento que justifica cada controle aplicado ou excluído.

Statement of Applicability: relaciona os 93 controles do Anexo A da ISO/IEC 27001:2022, indica quais se aplicam, por quê, o status de implementação e a justificativa de exclusão. É um dos primeiros documentos solicitados na auditoria de certificação.

Direitos que a empresa precisa atender em prazo definido.

Confirmação de existência de tratamento, acesso, correção, anonimização, bloqueio, eliminação, portabilidade, informação sobre compartilhamento, revogação de consentimento e revisão de decisão automatizada. Exigem canal de atendimento, fluxo interno de resposta, registro da solicitação e prazo controlado.

Controles que impedem saída indevida de informação.

Data Loss Prevention: políticas e tecnologia que detectam e bloqueiam envio de dados sensíveis por e-mail, upload, nuvem, dispositivo removível ou colagem em ferramentas externas. Tornou-se controle central contra Shadow AI, ao interceptar dado corporativo colado em LLMs públicos.

Contrato que disciplina o tratamento de dados por terceiros.

Instrumento que define finalidade, escopo, instruções, medidas de segurança, subcontratação, prazo de retenção, obrigações em incidentes e auditoria no relacionamento entre controlador e operador. É a evidência contratual esperada em due diligence, e cada vez mais inclui cláusulas específicas sobre uso de IA e treinamento de modelos.

Avaliação de impacto à proteção de dados.

Documento exigido pela LGPD para tratamentos de alto risco. Em IA, DPIA é frequentemente obrigatório, descreve dados, finalidade, base legal, riscos, salvaguardas e responsáveis.

Responsável pela comunicação entre empresa, titulares e ANPD.

O Encarregado de Proteção de Dados (Data Protection Officer) é exigido pelo art. 41 da LGPD. Recebe reclamações e comunicações de titulares, presta esclarecimentos à ANPD, orienta colaboradores e conduz o programa de privacidade. Pode ser interno ou contratado como serviço, desde que tenha autonomia, acesso à liderança e capacidade técnica comprovada.

Verificação de governança de IA em M&A e contratos.

Exame das práticas de IA de uma empresa em processos de investimento, aquisição, contratação ou renovação: inventário, política, base legal dos dados de treino, propriedade intelectual, dependência de fornecedores, incidentes, viés e capacidade de auditoria. Cada vez mais presente em questionários de clientes corporativos.

Lei europeia de IA.

Regulação da União Europeia que classifica sistemas de IA por risco (proibido, alto risco, risco limitado, mínimo) e impõe obrigações proporcionais. Afeta empresas brasileiras com operação, cliente ou exportação para a UE.

Registro que prova que o controle funciona.

Registro verificável de que um controle foi executado: ata de comitê, log de aprovação de caso de uso, resultado de teste de viés, treinamento realizado, revisão de política, tratamento de incidente. Auditoria não avalia intenção nem documento bonito — avalia evidência datada, rastreável e consistente com o escopo.

Capacidade de justificar a saída do modelo.

Conjunto de técnicas e práticas que permitem explicar por que um modelo produziu determinada saída, em linguagem compreensível para quem precisa decidir ou contestar. Exigida indiretamente pela LGPD (revisão de decisão) e diretamente pelas regras de transparência do EU AI Act e do PL 2338.

Ausência de disparidade injustificada entre grupos.

Propriedade de um sistema cujas decisões não produzem disparidade injustificada entre grupos protegidos. Mede-se com métricas como paridade demográfica, igualdade de oportunidade e taxas de erro por grupo — que podem ser matematicamente incompatíveis entre si, o que torna a escolha da métrica uma decisão de governança, não apenas técnica.

Fairness, Accountability, Transparency, Ethics.

Framework de IA responsável que organiza ética em quatro dimensões operáveis: justiça, responsabilização, transparência e princípios éticos aplicados como controle.

Avaliação exigida pelo EU AI Act para alto risco.

Fundamental Rights Impact Assessment: avaliação prevista no EU AI Act para determinados sistemas de alto risco, focada em efeitos sobre direitos fundamentais das pessoas afetadas — não apenas sobre dados pessoais. Complementa, e não substitui, o DPIA/RIPD da LGPD e do GDPR.

Diagnóstico da distância entre o estado atual e o requisito.

Análise que compara as práticas atuais de IA da organização com os requisitos da ISO/IEC 42001, do NIST AI RMF e da regulação aplicável, produzindo lista de lacunas, criticidade, esforço e plano de ação priorizado. É o primeiro entregável de qualquer implantação séria e também a base do orçamento do projeto.

Controle de quem acessa o quê, com qual privilégio.

Conjunto de controles de identidade e acesso: menor privilégio, segregação de funções, revisão periódica de permissões, gestão de contas privilegiadas e desprovisionamento no desligamento. Em ambientes com IA e agentes autônomos, precisa cobrir também identidades não humanas e chaves de API.

Ciclo de identificar, priorizar e corrigir falhas.

Processo contínuo de varredura, classificação por criticidade e exposição, correção com prazo definido e verificação. Difere do pentest: a gestão de vulnerabilidades é rotina automatizada; o pentest é exercício pontual e adversarial.

Sinônimo corporativo de Governança de IA.

Termo equivalente a Governança de IA (AI Governance), com ênfase na dimensão algorítmica das decisões automatizadas: modelos preditivos, sistemas de recomendação, IA generativa e agentes autônomos. A VGrid trata os dois termos como sinônimos em escopo corporativo, ancorados na ISO/IEC 42001, no NIST AI RMF e no FATE Framework.

Modelo de uso amplo, com obrigações próprias.

General-Purpose AI: modelos treinados em larga escala e aplicáveis a muitas finalidades (as famílias de LLMs comerciais são o exemplo típico). O EU AI Act cria obrigações específicas de documentação técnica, política de direito autoral e transparência, com deveres adicionais para modelos com risco sistêmico.

Barreiras técnicas de comportamento do modelo.

Controles aplicados na entrada e na saída de sistemas de IA para restringir conteúdo, dados e ações permitidas: filtros, listas de bloqueio, validação de saída, limites de escopo, autorização de ferramentas em agentes. Complementam a política de uso — não a substituem.

Resposta inventada por LLM.

Resposta gerada por LLM que parece plausível mas é factualmente incorreta, citações inventadas, jurisprudência inexistente, dados errados. Risco material em uso jurídico, clínico, financeiro e técnico.

Evento que afeta segurança de dados pessoais e pode exigir notificação.

Acesso não autorizado, vazamento, alteração, perda ou destruição de dados pessoais. Quando há risco relevante aos titulares, a LGPD exige comunicação à ANPD e aos afetados em prazo razoável — a Resolução CD/ANPD 15/2024 estabelece três dias úteis. Requer plano de resposta, registro de evidências e avaliação de risco documentada.

Risco originado por quem já tem acesso legítimo.

Ameaça conduzida por colaborador, terceiro ou prestador com acesso autorizado, de forma intencional ou negligente. Tratado com segregação de funções, monitoramento com governança, DLP, trilha de auditoria e processo disciplinar previsto em política — sempre com base legal e proporcionalidade.

Registro de todos os usos de IA da empresa.

Levantamento estruturado de sistemas, modelos, ferramentas e agentes de IA usados pela organização — próprios, de fornecedores e adotados informalmente pelas áreas. Registra finalidade, dono, dados tratados, criticidade, risco e controles. Sem inventário não existe governança: é impossível avaliar risco de algo que não se sabe que existe.

Norma de gestão de risco em IA.

Norma internacional de orientação para gestão de risco aplicada a IA, complementar à ISO 31000 e à ISO/IEC 42001.

Norma de gestão de segurança da informação.

Norma que define o sistema de gestão de segurança da informação (SGSI). É a base sobre a qual a ISO/IEC 42001 se apoia: quem já tem 27001 reaproveita política, gestão de risco, gestão de fornecedores, auditoria interna e análise pela direção, reduzindo de forma significativa o esforço de implantar o AIMS.

Guia de implementação dos controles de segurança.

Norma que descreve, em detalhe, os controles referenciados no Anexo A da ISO/IEC 27001, organizados em quatro temas: organizacional, pessoas, físico e tecnológico. Não é certificável; funciona como referência de como implementar cada controle.

Extensão de privacidade sobre a ISO 27001.

Norma que estende o SGSI para gestão de privacidade (PIMS), com controles para controlador e operador. Serve de ponte entre LGPD, segurança da informação e governança de IA, especialmente quando modelos tratam dados pessoais.

Norma de Sistema de Gestão de IA.

Primeira norma internacional certificável de Sistema de Gestão de IA (AIMS). Define requisitos de governança, política, papéis, riscos, controles, evidências e melhoria contínua. Pode ser certificada por organismo acreditado independente.

Guia de avaliação de impacto de sistemas de IA.

Norma de apoio ao AIMS que orienta como conduzir avaliação de impacto de sistemas de IA: escopo, partes afetadas, benefícios, danos potenciais, severidade, medidas de mitigação e documentação. Complementa a ISO/IEC 42001 (requisitos) e a ISO/IEC 23894 (gestão de risco).

Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018).

Lei brasileira que regula o tratamento de dados pessoais por pessoas físicas e jurídicas, de direito público ou privado. Define bases legais, direitos do titular, obrigações de segurança, transparência e responsabilização, além do papel da ANPD como autoridade fiscalizadora e sancionadora. Aplica-se a qualquer tratamento realizado no Brasil ou que ofereça bens e serviços a titulares no país.

LGPD no contexto de sistemas de IA.

Aplicação concreta da LGPD a tratamento de dados pessoais por IA, base legal, finalidade, minimização, retenção, direito de revisão de decisão automatizada, DPIA específica e tratamento de dado sensível.

Documento que justifica o uso da base legal de legítimo interesse.

A LIA (Legitimate Interest Assessment) demonstra, por escrito, que o tratamento apoiado em legítimo interesse tem finalidade legítima, é necessário e proporcional, e que os direitos do titular foram considerados. Estrutura usual em três testes: finalidade, necessidade e balanceamento. Sem LIA documentada, o legítimo interesse é frágil diante da ANPD.

Large Language Model.

Modelo de linguagem de grande escala treinado em vastos volumes de texto. Base de produtos como ChatGPT, Claude, Gemini, Copilot. Consumido via plataforma pública, API corporativa ou modelo próprio.

Documentação técnica de um modelo.

Documento que descreve propósito, dados de treino, métricas, limitações, casos de uso aceitáveis e contraindicações de um modelo. Sustenta auditoria, due diligence e exigência regulatória.

Degradação do modelo ao longo do tempo.

Perda de desempenho de um modelo porque a realidade mudou em relação aos dados de treino (data drift) ou porque a relação entre entrada e resultado mudou (concept drift). É risco de governança: sem monitoramento e gatilho de reavaliação, um sistema aprovado continua operando fora da faixa em que foi validado.

Framework americano de risco de IA.

Framework do National Institute of Standards and Technology (EUA) para gestão de risco em IA, com funções Govern, Map, Measure, Manage. Referencial técnico amplamente adotado.

Lista de riscos de segurança de aplicações com LLM.

Referência da OWASP que consolida os principais riscos de aplicações baseadas em modelos de linguagem: prompt injection, vazamento de dados sensíveis, envenenamento de dados e de modelos, saída insegura, consumo excessivo de recursos, dependências vulneráveis, agência excessiva de agentes, entre outros.

Exercício controlado que explora falhas reais.

Teste autorizado em que especialistas simulam um atacante para explorar vulnerabilidades em aplicações, infraestrutura, nuvem ou pessoas, com escopo, regras de engajamento e relatório de evidências. Suporta requisitos de ISO 27001, exigências contratuais e, em IA, complementa o red teaming de modelos.

Informação que identifica ou torna identificável uma pessoa.

PII (Personally Identifiable Information) é o termo internacional para dado pessoal. Inclui identificadores diretos (nome, CPF, e-mail) e indiretos (IP, cookie, geolocalização, identificador de dispositivo) capazes de identificar alguém isoladamente ou em combinação. Em sistemas de IA, inferências geradas pelo modelo também podem constituir dado pessoal novo.

O sistema de gestão definido pela ISO/IEC 27701.

Privacy Information Management System: extensão do SGSI da ISO/IEC 27001 com controles e responsabilidades específicos de privacidade, distribuídos entre papéis de controlador e operador. Permite demonstrar governança de privacidade de forma auditável e é o caminho natural para empresas que já mantêm ISO 27001.

Projeto brasileiro de regulação de IA.

Projeto de lei em tramitação no Congresso Nacional que estabelece princípios, classificação por risco, direitos e obrigações sobre o uso de IA no Brasil. A VGrid trabalha com adequação preventiva.

Como a operação segue durante uma interrupção.

Documento que define processos críticos, tempo tolerável de indisponibilidade (RTO), perda aceitável de dados (RPO), alternativas operacionais, papéis e testes periódicos. Complementa o plano de resposta a incidentes e é controle esperado em auditoria e due diligence de clientes.

Documento que define o que é permitido, restrito e proibido.

Norma interna que estabelece finalidades permitidas, ferramentas aprovadas, dados que não podem ser inseridos em modelos públicos, exigência de revisão humana, critérios de aprovação de novos casos de uso e consequências do descumprimento. É o controle mais barato e mais rápido de implantar — e o mais cobrado em due diligence.

Privacidade incorporada desde a concepção do produto.

Abordagem em que requisitos de privacidade entram no desenho da solução, não como correção posterior: minimização, finalidade definida, retenção limitada, segurança por padrão e transparência ao titular. Na LGPD aparece como princípio de prevenção e, em IA, como gate de aprovação de casos de uso.

Manipulação de instrução em LLM.

Ataque que insere instruções maliciosas em entradas de LLM (direta ou indiretamente via documento, e-mail, página) para alterar comportamento, vazar dado ou executar ação não autorizada.

Substituição de identificadores por chaves reversíveis.

Técnica que substitui identificadores diretos por códigos, mantendo em separado a chave de reidentificação. Reduz risco, mas o dado permanece pessoal e sujeito à LGPD. É controle recomendado em ambientes de teste, analytics e treinamento de modelos.

Retrieval-Augmented Generation.

Arquitetura que combina LLM com recuperação de informação de base própria, permitindo respostas ancoradas em conteúdo corporativo controlado. Reduz alucinação e exige governança específica de dado e acesso.

Teste de prontidão antes da auditoria de certificação.

Simulação de auditoria conduzida antes da auditoria oficial do organismo certificador. Verifica se documentação, controles e evidências sustentam o escopo declarado e aponta não conformidades enquanto ainda há tempo de corrigir. É complementar à implantação, nunca substituto dela.

Teste adversarial de sistemas de IA.

Exercício estruturado em que uma equipe tenta induzir o sistema a falhar: vazar dados, burlar guardrails, produzir conteúdo proibido, executar ações indevidas via agentes. Gera evidência técnica de robustez — item cada vez mais cobrado em due diligence e nos requisitos de alto risco.

Processo estruturado para detectar, conter e aprender.

Ciclo de preparação, detecção, contenção, erradicação, recuperação e lições aprendidas, com papéis definidos, comunicação interna e externa e preservação de evidências. Quando o incidente envolve dados pessoais, aciona também o fluxo de notificação da LGPD.

Prazo de guarda e eliminação segura do dado.

Política que define por quanto tempo cada categoria de dado é mantida, com base legal ou obrigação regulatória, e como é eliminada ao fim do ciclo. Retenção indefinida é um dos achados mais comuns em auditoria de privacidade e amplia superfície de risco em incidentes.

Risco herdado de modelos e SaaS de terceiros.

A maior parte da IA usada nas empresas é de terceiros. Governar esse risco exige cláusulas contratuais (uso de dados para treino, localização, subprocessadores, auditabilidade), avaliação técnica antes da contratação e reavaliação periódica — requisito tratado tanto na ISO/IEC 42001 quanto na ISO/IEC 27001.

Registro das operações de tratamento de dados.

ROPA (Records of Processing Activities) é o registro das operações de tratamento de dados pessoais; o RIPD é o relatório de impacto exigido pela LGPD em tratamentos de maior risco. Quando há IA envolvida, ambos precisam refletir finalidade, base legal, decisão automatizada, fluxo para modelos e transferências internacionais.

Software como Dispositivo Médico.

Software autônomo classificado como dispositivo médico. Sistemas de IA com função clínica frequentemente entram nesse regime, com exigências da ANVISA sobre risco, ciclo de vida e atualização contínua.

O sistema de gestão exigido pela ISO/IEC 27001.

Conjunto de política, escopo, análise de riscos, controles, indicadores, auditoria interna e revisão pela direção que sustenta a segurança da informação como processo contínuo e certificável. É a estrutura que a ISO/IEC 27001 audita — e a base sobre a qual se apoiam a ISO 27701 (privacidade) e a ISO 42001 (IA).

Uso de IA fora do controle corporativo.

Adoção de ferramentas de IA por colaboradores ou áreas sem avaliação formal de TI, segurança, privacidade ou compliance, copilotos, LLMs públicos, plugins, agentes externos.

Categoria regulatória com obrigações reforçadas.

Classificação usada pelo EU AI Act e pelo PL 2338 para sistemas cujo uso afeta significativamente direitos, segurança ou acesso a serviços essenciais — crédito, emprego, saúde, educação, biometria, justiça, infraestrutura crítica. Implica gestão de risco documentada, qualidade de dados, registro, transparência, supervisão humana e robustez.

Controle humano sobre decisão de IA.

Capacidade real de um humano qualificado revisar, contestar, pausar ou substituir a decisão de um sistema de IA. Para ser real, exige autoridade, critério, tempo e canal, não apenas presença formal.

Envio de dados pessoais para fora do Brasil.

Permitida em hipóteses do art. 33 da LGPD, com destaque para países com nível adequado de proteção e cláusulas-padrão contratuais aprovadas pela ANPD (Resolução CD/ANPD 19/2024). Uso de nuvem, SaaS e APIs de LLM estrangeiras normalmente configura transferência internacional e exige instrumento formal.

IA confiável.

Termo guarda-chuva que reúne os atributos esperados de IA responsável: lícita, ética, robusta, segura, transparente, explicável, auditável e supervisionada. Operacionalizado por frameworks como FATE, NIST AI RMF e ISO/IEC 42001.