Compliance com uma IA que não existe

Com o EU AI Act em vigor, as empresas fizeram o que a regulação exigia: documentaram riscos, mapearam controles, aprovaram casos de uso. A conformidade foi estabelecida na data da implantação.

Desde então, algumas coisas mudaram.

O provedor atualizou o modelo. Não lançou um produto novo com documentação separada; atualizou o mesmo endpoint com parâmetros diferentes, capacidades expandidas e comportamentos ajustados. O documento de compliance não acompanhou.

Os times encontraram novos usos. O que era um chatbot interno virou ferramenta de atendimento ao cliente. O classificador de documentos operacionais passou a apoiar decisões de crédito. A superfície de risco cresceu; o relatório, não.

O audit trail diz que está tudo conforme. E ele está certo em relação ao que foi documentado. O problema é que o que foi documentado já não é o sistema que está rodando.

Esse é o custo de tratar governança de IA como uma entrega com data de conclusão. Sistemas de IA evoluem de forma contínua: os modelos são atualizados, os dados mudam, os casos de uso se expandem. Uma governança estática nesse contexto não está gerenciando risco ativo; está arquivando a memória de um risco que existia.

O resultado prático é conformidade com uma IA que não existe mais. A auditoria passa; o risco permanece. E a distância entre os dois só aparece quando algo dá errado.

Como a sua empresa está tratando a defasagem entre as mudanças no modelo e a atualização da governança? Me conta nos comentários.