O SAS AI Navigator começa a governança pelo inventário. Ligar um caso de uso a uma regra não é compliance

Pergunte a uma grande empresa quantos sistemas de IA ela roda e a resposta honesta costuma ser uma faixa. Agentes de Copilot criados por colaboradores, modelos embutidos em SaaS, modelos de ciência de dados de cinco anos atrás, alguns pilotos que chegaram à produção sem alarde. Todo programa de governança de IA descobre, cedo ou tarde, que não consegue governar o que não contou. A SAS disponibilizou a sua resposta para isso em 5 de outubro.

O que a SAS lançou

O SAS AI Navigator, apresentado no SAS Innovate em abril, agora está disponível como SaaS no Microsoft Marketplace. Segundo o comunicado da SAS:

• ele monta um inventário de casos de uso de IA e dos modelos, agentes e ferramentas por trás deles, feitos em casa ou comprados de terceiros, incluindo LLMs, agentes, modelos open source e soluções da própria SAS;
• permite alinhar os casos de uso a regulações e políticas internas, no ciclo inteiro, da experimentação à aposentadoria;
• consegue governar casos de uso que usam agentes ou modelos como Claude ou Microsoft Copilot;
• pacotes de políticas dos parceiros Protiviti e Asenion trazem perguntas e classificações de risco prontas para aplicar aos casos de uso;
• os clientes têm seis meses de acesso gratuito.

O comunicado não descreve integração técnica com a Microsoft além da distribuição pelo Marketplace e da parceria entre as empresas, então não assuma que o Navigator lê seu ambiente Microsoft 365 ou Azure sozinho. A linguagem da SAS é cuidadosa: o Navigator ajuda a “alinhar” casos de uso às regras. Não promete deixar ninguém em conformidade, e o comprador também não deveria ler assim.

Por que o caso de uso é a unidade certa

A maioria dos registros de agentes conta agentes; a maioria dos registros de modelos conta modelos. A SAS ancora o inventário no caso de uso, o ponto em que a IA encosta numa decisão de negócio. É nesse nível que o risco existe. O mesmo modelo pode escrever texto de marketing e fazer triagem de currículos; só um desses casos é de alto risco. Um registro que só conhece o modelo não distingue os dois.

Isso complementa, e não substitui, os planos de controle por agente que analisamos em planos de controle acima dos fornecedores. São necessárias as duas visões: o que cada agente pode fazer e quais decisões de negócio dependem dele.

O que cada registro do inventário precisa ter

1. Dono de negócio e processo
2. Modelos, agentes e fornecedores por trás
3. Categorias de dados lidas e gravadas
4. Nível de risco e políticas aplicáveis
5. Evidência de que os controles funcionam
6. Status e próxima revisão

Fatos que você coletaJulgamento que você documenta

A entrada é a parte difícil. O inventário só é tão completo quanto o caminho pelo qual os registros chegam. Formulário de autodeclaração perde justamente os casos mais importantes. Alimente o inventário a partir de sistemas que já sabem: contratos de compras com cláusulas de IA, faturamento de nuvem com endpoints de modelos, o Microsoft Entra Agent ID para agentes, e os agentes de Copilot que as pessoas criam sozinhas.

Aproveite o que a LGPD já obriga. O artigo 37 da LGPD exige que controlador e operador mantenham registro das operações de tratamento de dados pessoais. Todo caso de uso de IA que trata dado pessoal já deveria estar nesse registro. Ligar o inventário de IA ao registro de tratamento evita duas listas que nunca batem e dá ao DPO a visão que hoje falta. Com o PL 2338 ainda parado, esse é o pedaço da classificação de risco que já tem base legal no Brasil.

Pacote de políticas é julgamento emprestado. Os pacotes da Protiviti e da Asenion economizam meses de redação de perguntas e níveis de risco. Ainda assim, são a leitura de outra pessoa sobre as regras. Jurídico e riscos precisam adotar cada pacote de forma explícita, ajustar e assumir. A responsabilidade não vem junto com o conteúdo.

Mapear não é evidência. Ligar um caso de uso a um requisito registra que o requisito se aplica. Compliance exige prova de que o controle funciona: testes, registros de revisão, monitoramento. Como defendemos em controles que geram evidência, controle sem evidência é promessa.

O que fazer agora

1. Use o caso de uso como unidade do inventário, ligado aos modelos e agentes por trás.
2. Alimente o inventário por sistemas, não só por formulários: compras, faturamento, identidade.
3. Conecte o inventário ao registro de tratamento da LGPD e envolva o DPO.
4. Adote os pacotes de políticas de forma deliberada, com um dono nomeado em jurídico ou riscos.
5. Exija evidência por controle, não só o mapeamento.
6. Planeje o sétimo mês: decida antes do fim do período gratuito onde o inventário vai morar e como exportá-lo.

Para fechar

O SAS AI Navigator lembra que governança de IA começa com um problema de planilha: saber o que existe. Ancorar o inventário no caso de uso é o desenho certo. Só não esqueça que um requisito mapeado é uma tarefa pendente, não um controle pronto.