A primeira pergunta de qualquer fiscalização sobre inteligência artificial é simples. Quais sistemas de IA a sua empresa usa, para quê, e com que dado. A maioria das empresas de 10 a 500 funcionários não responde isso em menos de uma semana. Algumas não respondem de jeito nenhum.
Não é descuido. É que a IA entrou na empresa por vários caminhos ao mesmo tempo. Quase nenhum deles passou por contratação formal. Uma ferramenta veio no plano do CRM, outra alguém assinou com o cartão da área, e boa parte é uso individual que ninguém registrou.
Este guia mostra como montar o inventário. Ao final você vai ter uma tabela com todos os sistemas de IA em uso, o risco de cada um e o nome de quem responde por ele. Leva cerca de duas horas de trabalho concentrado, mais o tempo de resposta das áreas.
O que você precisa antes de começar é acesso ao extrato do cartão corporativo, à lista de assinaturas de software e cinco minutos de conversa com cada líder de área.
O que precisa entrar no inventário?
Entra todo sistema que usa IA e toca dado da empresa, independente de quem contratou e de quanto custa. Isso inclui três categorias que costumam ficar de fora.
A primeira é a IA embutida em ferramenta que você já usava. O CRM que passou a ter resumo automático, o e-mail que sugere resposta, o sistema de suporte que classifica chamado. Ninguém contratou IA, ela apareceu numa atualização.
A segunda é ferramenta gratuita usada por conta própria. Alguém que cola texto de contrato num assistente para resumir está tratando dado da empresa num sistema que a empresa não conhece.
A terceira é modelo usado dentro de algo que a empresa mandou construir. Se um fornecedor entregou um sistema com IA por dentro, ele entra no inventário como sistema seu, porque quem responde pelo tratamento é você.
As sete colunas
| Coluna | O que registrar | Por que importa |
|---|---|---|
| Sistema | Nome e fornecedor | Identificação básica |
| Finalidade | Para que ele é usado, em uma frase | É a pergunta que a autoridade faz primeiro |
| Quem usa | Área e número aproximado de pessoas | Mede o alcance de um eventual problema |
| Dado tratado | Que tipo de dado passa por ele | Separa dado pessoal de dado operacional |
| Decide sobre pessoa | Sim ou não | Define se existe direito de revisão |
| Onde o dado fica | Servidor do fornecedor, nuvem própria, exterior | Muda a exigência contratual |
| Responsável | Nome de uma pessoa | Sistema sem dono não é corrigido |
Sete colunas parecem pouco e são suficientes. Inventário com vinte colunas não é preenchido, e inventário não preenchido não serve para nada.
Como encontrar o que ninguém declarou
Perguntar às áreas quais sistemas de IA elas usam devolve uma lista curta e incompleta. Não é má vontade. É que ninguém pensa na ferramenta do dia a dia como sistema de IA. Quatro caminhos rendem muito mais.
O extrato do cartão corporativo. Olhe os últimos seis meses procurando assinatura mensal de valor baixo. É onde aparecem as ferramentas que uma área assinou sem passar por compras.
A lista de aplicativos conectados ao e-mail corporativo. No painel de administração do Google Workspace ou do Microsoft 365 existe a relação de aplicativos de terceiros com acesso autorizado. Essa lista costuma surpreender.
As notas de versão dos sistemas que você já paga. Pergunte a cada fornecedor o que ele ativou de IA nos últimos doze meses e se aquilo está ligado na sua conta.
A pergunta certa para as áreas. Em vez de perguntar se usam IA, pergunte se usam alguma ferramenta que escreve texto, resume documento, transcreve reunião, classifica algo ou sugere resposta. A taxa de resposta muda completamente.
Vale reservar uma conversa separada com quem cuida de tecnologia. Muitas vezes existe registro de acesso a domínios que mostra quais serviços de IA foram acessados da rede da empresa. Não é para vigiar ninguém. É para saber o tamanho do que não estava declarado.
Como classificar o risco
- Comece perguntando se o sistema toca dado de pessoa identificável.
- Se não toca, o risco é baixo e o registro no inventário já basta.
- Se apenas organiza, resume ou transcreve, o risco é médio e a atenção vai para onde o dado fica guardado.
- Se sugere algo que uma pessoa decide, o risco é médio e precisa estar claro que a decisão é humana.
- Se decide, ordena ou recusa sozinho, o risco é alto e precisa existir caminho de revisão por uma pessoa.
A linha que separa sugerir de decidir é mais fina do que parece. Um sistema ordena candidatos e a pessoa sempre entrevista os cinco primeiros. Na prática quem decidiu foi o sistema, mesmo que no papel a decisão seja humana. Vale ser honesto aqui. O inventário existe para você enxergar risco, não para parecer bem.
O contexto de por que isso ficou urgente agora está em o que a ANPD colocou na mira para 2026 e 2027.
Uma nota sobre onde o dado fica
Essa coluna costuma ser deixada em branco e ela é a que mais gera trabalho depois. Três perguntas mudam a exigência contratual. Se o dado sai do país, se ele treina o modelo do fornecedor e por quanto tempo fica guardado. Em ferramenta gratuita a resposta padrão costuma ser a pior possível em todas as três perguntas.
Se você não sabe responder para algum sistema, escreva que não sabe. Coluna com a palavra desconhecido é informação útil. Coluna em branco parece que ninguém olhou.
Erros comuns
- Deixar de fora a ferramenta gratuita. É justamente onde mora o risco maior, porque não existe contrato, não existe controle de acesso e ninguém sabe onde o dado foi parar.
- Registrar o departamento como responsável. Departamento não responde, pessoa responde. Sem nome próprio na coluna, o inventário envelhece e ninguém percebe.
- Classificar risco pela importância do sistema. Um sistema pequeno que decide sobre candidato é risco alto. Um sistema caro que só resume reunião interna é risco baixo. O critério é o efeito sobre pessoas, não o valor do contrato.
- Fazer o inventário e guardar na gaveta. Ele precisa de data de revisão. A cada trimestre, alguém confere o que entrou de novo, porque entra sempre.
- Confundir inventário com política de uso. O inventário diz o que existe. A política diz o que pode. Um não substitui o outro, e o inventário vem primeiro, porque não dá para escrever regra sobre o que você não sabe que tem.
- Contratar consultoria antes de ter a lista. Qualquer diagnóstico externo começa levantando isso, e ele vai cobrar por uma tarefa que a sua equipe faz melhor e mais rápido.
Quando revisar
Marque revisão trimestral e coloque na agenda de alguém. Entre uma revisão e outra sempre entra ferramenta nova, quase sempre pela mesma porta, que é a atualização de um sistema que a empresa já paga.
Uma revisão bem feita leva vinte minutos, porque só olha o que mudou. O que consome tempo é a primeira montagem, e ela você faz uma vez só.
O que fazer com o resultado
Separe a lista em três pilhas. A primeira é o que está em ordem, com dono, finalidade clara e risco baixo. Não faça nada além de registrar.
A segunda é o que tem risco alto e não tem caminho de revisão. Essa pilha vira trabalho imediato. O trabalho costuma ser pequeno, porque quase sempre já existe uma pessoa envolvida no processo. O que falta é deixar escrito que ela pode reverter, e como.
A terceira é o que ninguém deveria estar usando. Ferramenta gratuita recebendo dado de cliente é o caso típico. Proibir raramente resolve, porque a pessoa usava por um motivo real. O caminho é oferecer alternativa contratada que faça a mesma coisa com controle.
Se algum sistema da segunda pilha depende de base que você nunca conferiu, o passo anterior está em como preparar os dados da empresa antes de usar IA.
Perguntas frequentes
Isso é obrigatório por lei hoje?
O inventário em si não é uma obrigação nomeada na LGPD. Mas ele é o que permite responder às obrigações que existem. Informar finalidade, garantir revisão de decisão automatizada e demonstrar governança. Sem inventário você não consegue provar nenhuma delas.
Quantos sistemas uma empresa média costuma encontrar?
Bem mais do que a lista inicial sugere. A conta cresce ao incluir IA embutida em ferramenta antiga e uso individual de ferramenta gratuita. São as duas categorias que ninguém lembra na primeira pergunta.
Preciso de ferramenta para manter esse inventário?
Não. Planilha compartilhada com dono definido e revisão trimestral resolve para a maioria das empresas desse porte. Ferramenta faz sentido quando a lista passa de algumas dezenas de sistemas.
Vale incluir sistema que está só em teste?
Vale, e marque como teste. Piloto que trata dado real de cliente tem o mesmo risco de um sistema em produção. A diferença entre os dois é só o nome que a empresa deu.
E o uso pessoal do funcionário no computador dele?
Se ele usa para assunto da empresa, é assunto da empresa. A saída prática não é vigiar, é oferecer uma ferramenta contratada e explicar por que a versão gratuita cria risco. Proibir sem alternativa apenas empurra o uso para fora da vista.
Próximo passo
Bloqueie duas horas nesta semana e faça só as duas primeiras fontes, o extrato do cartão e a lista de aplicativos conectados ao e-mail corporativo. Você vai terminar com uma lista maior do que esperava, e ela sozinha já muda a conversa na próxima reunião de diretoria.
Se quiser discutir o que fazer com a segunda pilha, fale com a gente no WhatsApp, ou veja como isso entra no diagnóstico da metodologia CORE.
2 comentários