AI Act vs. RGPD vs. ISO 42001 vs. NIST AI RMF vs. ALTAI vs. ISO 23894
Existem vários frameworks e regulamentos que se aplicam à inteligência artificial. Compreenda como se relacionam, complementam e sobrepõem para construir uma estratégia de conformidade integrada.
| Framework | Âmbito | Obrigatório? | Abordagem ao risco | Requisitos-chave | Sobreposição com AI Act |
|---|---|---|---|---|---|
| AI Act Reg. (UE) 2024/1689 |
Sistemas de IA no mercado da UE | Sim | 4 níveis: proibido, alto, limitado, mínimo + GPAI | Gestão de riscos, transparência, supervisão humana, documentação técnica, conformidade | — |
| RGPD Reg. (UE) 2016/679 |
Dados pessoais na UE | Sim | Baseada em risco; AIPD para alto risco | Base legal, consentimento, direitos dos titulares, DPO, AIPD, notificação de violações | Alta. Dados de treino, profiling, decisões automatizadas (Art. 22 RGPD), transparência |
| ISO 42001 AIMS |
Sistema de gestão de IA | Voluntário | Gestão de riscos integrada; ciclo PDCA | Política de IA, avaliação de riscos, objetivos, competência, monitorização, melhoria contínua | Muito alta. Pode servir como base para demonstrar conformidade com requisitos de gestão de qualidade (Art. 17) |
| NIST AI RMF AI 100-1 |
Gestão de riscos de IA (EUA) | Voluntário | 4 funções: Govern, Map, Measure, Manage | Governança, mapeamento de contexto, medição de riscos, gestão e mitigação | Média-alta. Complementar para gestão de riscos (Art. 9); útil para empresas com operações nos EUA |
| ALTAI Assessment List |
Autoavaliação ética de IA (UE) | Voluntário | 7 requisitos éticos; checklist de autoavaliação | Supervisão humana, robustez, privacidade, transparência, diversidade, bem-estar social, responsabilização | Alta. O AI Act foi inspirado nestes princípios éticos; ALTAI é útil como ferramenta de autoavaliação complementar |
| ISO 23894 AI Risk Mgmt |
Gestão de riscos específica para IA | Voluntário | Extensão da ISO 31000 para riscos de IA | Identificação, análise, avaliação e tratamento de riscos de IA; monitorização contínua | Alta. Diretamente alinhada com os requisitos de gestão de riscos do Art. 9 |
São ambos obrigatórios e complementares. O RGPD regula os dados pessoais utilizados nos sistemas de IA, enquanto o AI Act regula o sistema em si.
A ISO 42001 fornece um sistema de gestão estruturado que pode facilitar a demonstração de conformidade com o AI Act.
O NIST AI RMF é especialmente útil para empresas com operações transatlânticas, oferecendo uma abordagem de gestão de riscos reconhecida nos EUA.
O ALTAI oferece uma checklist de autoavaliação ética que complementa os requisitos legais do AI Act com considerações éticas mais amplas.
A ISO 23894 fornece orientação detalhada para gestão de riscos de IA, diretamente alinhada com as exigências do Art. 9 do AI Act.
A abordagem mais eficaz é uma estratégia integrada que combine os frameworks obrigatórios com os voluntários:
Esta combinação cobre os requisitos legais, operacionais e éticos da governança de IA.