A metade que faltava na governança de IA

O curso de nível Sênior "Sistema de gestão de IA: ISO 42001" terminou com uma confissão. Sete lições construíram um inventário, uma política, uma avaliação de impacto, uma trilha de evidências, um portão de release e um ciclo de auditoria. Juntos, eles formam uma máquina para chegar a uma decisão defensável sobre um sistema de IA, de novo e de novo, enquanto as pessoas passam pelo time. Depois, a última lição disse com todas as letras que nunca te contou quais leis essa máquina precisa cumprir. Ela ensinou a provar que uma decisão foi tomada com cuidado. Não ensinou o que a decisão precisa acertar.

Essa lacuna não é um descuido. É outra disciplina, e este curso dá um nome a ela: conformidade regulatória. Um sistema de gestão é processo; uma regulação é lei. Você pode rodar um processo impecável e ainda violar uma lei que nunca conferiu. O processo te disse como decidir, e a lei diz o que a decisão pode ser. Um time de engenharia que construiu o portão de release da ISO 42001 e parou ali tem um jeito bem documentado de entregar algo que faz a empresa ser multada.

Por que "estamos em conformidade?" é mais de uma pergunta

Pergunte a uma sala de pessoas de engenharia "estamos em conformidade com a GDPR?" e depois "estamos em conformidade com o SOC 2?", e a maioria vai responder as duas do mesmo jeito: um sim ou não, um checklist, um selo no site. São perguntas de tipos diferentes.

A primeira pergunta se você obedece a uma lei que te obriga goste você ou não, com um regulador que pode te multar se não obedecer. A segunda pergunta se um auditor que passou semanas observando os seus controles rodarem assinaria um relatório dizendo que eles funcionaram. Você mostra esse relatório a um cliente, e nenhum governo está envolvido. Confundir as duas é o erro mais comum de uma pessoa sênior aqui, e é por isso que este curso vem antes de qualquer curso aprofundado.

Seis regimes, seis tipos diferentes de coisa

Este curso não é um resumo de seis regulações. Seis cursos aprofundados vêm depois dele, e cada um vai ensinar o seu regime melhor do que qualquer capítulo de panorama conseguiria. O que só este curso te dá é o mapa. Para cada nome que uma pessoa de engenharia Rails ouve numa conversa sobre conformidade, ele diz que tipo de instrumento é, porque o tipo decide o que "estar em conformidade" significa.

A GDPR e a LGPD são leis com um poder legislativo por trás. Um regulador pode abrir uma investigação e te multar, tenha você pedido a opinião dele ou não.

A HIPAA também é uma lei, mas só te alcança se você estiver dentro de uma população específica e definida: você lida com uma categoria definida de dados de saúde em nome de um tipo definido de entidade.

O AI Act europeu tem, de novo, um formato mais novo. Ele não protege uma categoria de dados; ele classifica um sistema pelo risco e atribui obrigações a quem cumpre cada papel na construção ou no uso dele. No espírito, está mais perto da regulação de segurança de produtos do que de uma lei de privacidade.

A ISO 27001 e a ISO 42001 são normas pelas quais você escolhe ser medido. Ninguém te multa por ignorá-las, mas um certificado, ou a falta dele, vira um fato que um cliente ou um tribunal pode citar.

O SOC 2 Tipo II não é lei nem certificado. É a opinião escrita de um auditor independente sobre se os seus controles funcionaram ao longo de alguns meses, e o único público dela é quem recebe o relatório das suas mãos.

A pergunta que este curso responde

Cada uma dessas cinco categorias acaba fazendo a mesma pergunta de fundo, com palavras diferentes: este sistema, estes dados, esta empresa estão dentro do meu escopo? É um problema de roteamento. Dados os fatos sobre o que uma aplicação Rails faz, quais regimes ela precisa cumprir, em que papel, e que evidência cada um vai exigir? As lições 2 a 6 pegam um regime cada e respondem isso para ele. O desafio da lição 6 põe essa lógica de roteamento em código.

O que você vai estudar

• Lição 2: GDPR e LGPD. O que as aciona, quem conta como controlador ou operador, e por que "não temos sede na UE" ou "não somos uma empresa brasileira" não é a defesa que as pessoas acham que é.
• Lição 3: HIPAA. Entidades cobertas, associados de negócio, o contrato de associado de negócio e o que conta como informação de saúde protegida.
• Lição 4: o AI Act europeu. Níveis de risco, os papéis (fornecedor e implantador) e por que as obrigações dele chegam num calendário escalonado.
• Lição 5: ISO 27001 e ISO 42001 como normas de gestão certificáveis. O que um certificado afirma, o que um auditor confere e como a 42001 se apoia no formato de controles da 27001.
• Lição 6: SOC 2 Tipo II. Os Trust Services Criteria, Tipo I contra Tipo II, e por que um relatório não é um certificado.
• Lição 7: onde esses seis regimes se sobrepõem nas evidências que exigem, o que essa sobreposição significa para um código Rails e qual curso cobre cada regime em profundidade.

Uma coisa para levar para a lição 2

Nenhum dos cursos aprofundados que vêm depois vai perguntar "estes dados estão protegidos?". Cada um vai fazer uma pergunta mais estreita e mais fácil de responder: dados de quem, guardados por quem, em que papel, oferecidos a que mercado? Essa mudança de enquadramento, de "estamos em conformidade?" para "que perguntas específicas nos obrigam, e em que papel?", é a habilidade que este curso ensina. A lição 2 começa pelos dois regimes que as pessoas procuram primeiro, e por um gatilho que não é o que a maioria imagina.