O risco de IA deixou de ser hipótese
O AI Index 2026, da Universidade de Stanford, registrou 362 incidentes envolvendo inteligência artificial em 2025, um recorde. É uma alta de 55% em relação ao ano anterior, eram 233 em 2024, e o número só considera casos que vieram a público. Vazamento de dados, decisão automatizada que discrimina, resposta errada de um chatbot que vira processo, conteúdo falso gerado em nome da empresa. O risco de IA saiu do campo da ficção e entrou na rotina das organizações.
E aqui está o ponto que quase ninguém comenta: na maioria das empresas, a IA já está rodando sem que ninguém tenha parado para perguntar o que pode dar errado. Entrou pela porta dos fundos, dentro de uma ferramenta de atendimento, de um recrutamento, de uma planilha com assistente. Ninguém decidiu correr o risco. O risco simplesmente apareceu.
Por que “a ferramenta é confiável” não é resposta
Quando se pergunta sobre risco de IA, a resposta mais comum é que o fornecedor é grande e a ferramenta é segura. O problema é que confiança no fornecedor não é o mesmo que controle sobre o uso. A mesma ferramenta confiável pode processar dado sensível que não deveria, pode automatizar uma decisão que afeta a vida de alguém, pode errar de um jeito que a empresa só vai descobrir quando o cliente reclamar.
Risco de IA não mora na tecnologia isolada. Mora no encontro entre a tecnologia e o jeito como a sua empresa a usa, com quais dados, para decidir o quê, afetando quem. É por isso que ninguém de fora consegue mapear esse risco por você.
O que a ISO 42001 pede (cláusula 6, em linguagem de gente)
A ISO/IEC 42001 é a norma internacional de gestão de IA, e a cláusula 6 trata justamente de planejamento. Sem reproduzir o texto da norma, a ideia central é simples e organizada em quatro movimentos.
Primeiro, saber onde a IA está. Não dá para avaliar o risco de algo que você nem sabe que existe, e é por isso que o inventário de sistemas de IA vem antes de tudo.
Segundo, avaliar o risco olhando além da TI. A norma pede que a empresa considere não só o risco para o negócio, mas o impacto sobre as pessoas afetadas pela decisão da IA. Isso tem um nome, avaliação de impacto de IA, e é o que separa a ISO 42001 de um checklist comum de tecnologia.
Terceiro, planejar o tratamento. Para cada risco relevante, uma decisão consciente: eliminar, reduzir, monitorar ou aceitar com os olhos abertos. O que não pode é a empresa aceitar risco por distração.
Quarto, enxergar a oportunidade. Planejamento em IA não é só travar. É também decidir, com critério, onde vale a pena avançar, porque a empresa que entende seus riscos é a que consegue usar IA com mais ousadia, não menos.
A leitura da Quality Lean
A pergunta que fazemos quando entramos em uma empresa não é se ela usa IA. Hoje todas usam. A pergunta é se alguém ali já escreveu, em algum lugar, quais riscos essa IA traz e o que foi decidido sobre cada um. Na quase totalidade dos casos, a resposta é não.
Isso não é sinal de empresa descuidada. É sinal de uma tecnologia que chegou mais rápido do que a gestão conseguiu acompanhar. A boa notícia é que colocar ordem nisso não exige frear a inovação, exige dar a ela um mapa. E um mapa de risco bem feito costuma revelar que a empresa estava exposta em lugares que nem imaginava, e tranquila em outros onde se preocupava à toa.
Por onde começar
Na ordem que funciona, sem mistério:
- Inventário dos usos de IA, inclusive os que entraram por dentro de outras ferramentas.
- Avaliação de risco e de impacto de cada uso relevante, considerando dados, decisões e pessoas afetadas.
- Plano de tratamento, com um responsável para cada risco que importa.
- Monitoramento, porque risco de IA muda quando a ferramenta é atualizada.
- Revisão periódica, para que o mapa não vire mais um documento parado.
Como a Quality Lean faz diferente
Implantar norma é o nosso trabalho todos os dias, e é aqui que a Quality Lean se separa de quem só explica o que é a ISO 42001:
- Método LPE 360 (Levantar, Planejar, Executar), com foco no aprimoramento das lideranças, que são quem decide, no fim, qual risco a empresa aceita correr.
- Software próprio de apoio à implementação, o ISO Implementer. Ele organiza os requisitos, acompanha a implantação e usa IA para gerar sugestões de melhoria e um plano de ação personalizado, o que tira o mapeamento de risco do campo do improviso.
- Aplicativo próprio de auditoria. Quando a Quality Lean conduz a auditoria, nossos auditores usam um app próprio nas auditorias de manutenção, trazendo agilidade, padronização e rastreabilidade.
- Equipe experiente na implantação de requisitos internacionais, em segmentos variados.
Fechamento
A IA já está dentro da sua empresa. A única escolha que ainda está na sua mão é se o risco dela vai ser gerenciado ou descoberto no susto. A ISO 42001 existe para que seja a primeira opção. Se você quer enxergar, de verdade, onde a sua empresa está exposta, a Quality Lean pode te ajudar a desenhar esse mapa. Fala com a gente.
