Ficha técnica de IA: o que sua empresa deve documentar

Por que toda empresa deveria ter uma ficha técnica de IA

A adoção de IA costuma começar por uma demonstração convincente. A equipe vê uma resposta rápida, um resumo bem escrito ou uma classificação aparentemente correta e decide avançar. O problema aparece depois: ninguém sabe qual versão foi testada, quais dados entraram no processo, se o fornecedor mudou o modelo ou para quais situações o resultado não é confiável.

A ficha técnica de IA reduz essa dependência de memória informal. Ela cria uma base comum para comparar benefício, custo e risco. Compras consegue verificar promessas do fornecedor. Produto registra o uso pretendido. Tecnologia identifica integrações e versões. Segurança avalia acessos e logs. Privacidade entende se há dados pessoais. A área de negócio define onde a revisão humana é necessária.

O próprio processo de documentar costuma revelar lacunas. Se a equipe não consegue explicar a finalidade em uma frase, talvez o caso de uso esteja amplo demais. Se não há métrica ligada ao uso real, a aprovação se apoia apenas em percepção. Se ninguém assume a manutenção, a solução pode continuar ativa depois de perder qualidade ou deixar de ter suporte.

A documentação também preserva a memória da decisão. Se um incidente ocorrer, a empresa consegue reconstruir qual configuração estava ativa, quem aprovou o uso, quais limites eram conhecidos e o que mudou desde a última revisão. Sem esse histórico, cada investigação começa do zero.

O que a minuta do NIST propõe

O NIST apresentou o AI Standards Zero Drafts como um projeto piloto para ampliar a participação e acelerar propostas de padrões voluntários. A primeira minuta pública NIST AI 300-1, publicada em julho de 2026, trata de orientação e modelos para documentação pública de conjuntos de dados e modelos de IA.

O texto está aberto a contribuições consideradas pelo NIST até 16 de setembro de 2026. Depois, poderá ser revisado e encaminhado ao sistema de normalização liderado pelo setor privado, no qual ainda poderá mudar. A própria minuta explica que o uso de termos como requisito indica apenas o que seria necessário para alegar conformidade voluntária com o documento. Não indica regra do governo dos Estados Unidos.

Para empresas no Brasil, isso exige cuidado na comunicação. O NIST AI 300-1 não é lei brasileira, não substitui a LGPD e não impõe a publicação de documentos. É uma minuta voluntária em consulta. Sua utilidade está nas perguntas que organiza e nos modelos que oferece.

O escopo também tem limites. A minuta cobre conjuntos de dados e modelos, inclusive modelos generativos, mas não pretende documentar sistemas completos. Um sistema empresarial pode reunir modelo, base vetorial, prompts, filtros, APIs, regras de negócio e revisão humana. Por isso, uma ficha técnica de IA usada na governança interna deve ir além do modelo e registrar o contexto de aplicação.

Entre os pontos propostos pelo NIST estão documentação contínua, divisão do trabalho entre áreas, adequação ao público, precisão, clareza, atualização, facilidade de localização e manutenção. Os modelos sugeridos abordam uso pretendido, dados de treinamento e avaliação, métricas, limitações de desempenho, riscos, monitoramento, mudanças, incidentes, responsáveis, versionamento e desativação.

Informação interna e informação pública não são iguais

A empresa não precisa escolher entre publicar tudo e não documentar nada. O caminho mais seguro é manter um registro interno completo e preparar versões específicas para cada público.

A versão interna da ficha técnica de IA pode conter arquitetura, fornecedores, fluxos de dados, testes detalhados, decisões de risco, pessoas responsáveis, cláusulas contratuais, incidentes, vulnerabilidades, identificadores de contas, referências ao cofre de segredos e planos de correção. Senhas, tokens e chaves privadas não devem constar da ficha. O acesso deve seguir a necessidade de cada função. Informações sensíveis não devem circular apenas porque fazem parte da governança.

A versão para clientes, parceiros ou reguladores pode trazer o necessário para avaliação de adequação, contrato, auditoria ou fiscalização. Já a versão pública da ficha técnica de IA tende a ser mais curta. Ela pode explicar finalidade, usos não recomendados, limitações relevantes, formas de contato, políticas de atualização e informações agregadas sobre desempenho.

A minuta do NIST reconhece esse equilíbrio. Documentação pública pode apoiar avaliação e confiança, mas também pode expor informações pessoais, propriedade intelectual ou elementos úteis para ataques. A decisão de publicar deve considerar o público, o objetivo e o risco de cada campo.

Uma regra prática ajuda: primeiro documente internamente, depois classifique cada campo como público, compartilhável sob acordo ou restrito. Assim, a ficha técnica de IA não vira nem material publicitário vazio nem arquivo perigoso com detalhes excessivos.

Modelo prático de ficha técnica de IA

O modelo abaixo pode começar em uma planilha, formulário ou ferramenta de governança. O formato importa menos que a manutenção e a possibilidade de localizar evidências.

Identificação: nome da solução, fornecedor ou equipe desenvolvedora, versão do modelo, versão da aplicação, ambiente, data de entrada em operação e identificador do registro.
Finalidade: problema de negócio, usuários, pessoas afetadas, resultado esperado, usos permitidos e usos proibidos.
Dados: categorias de dados de entrada, fontes, qualidade, período coberto, dados pessoais ou sensíveis, retenção, compartilhamento, transferências e controles de acesso.
Funcionamento: componentes principais, integrações, papel do modelo, automações, pontos de revisão humana e ações que o sistema pode executar.
Desempenho: tarefas avaliadas, método de teste, conjunto de avaliação, métricas, resultado, data, versão testada e condições em que a medição é válida.
Limites: situações em que a qualidade cai, idiomas, públicos, dados ausentes, dependência de contexto, resultados que exigem confirmação e usos não avaliados.
Riscos e controles: possíveis danos, pessoas expostas, probabilidade, impacto, medidas adotadas, risco residual e critério para interromper o uso.
Responsáveis: owner de negócio, responsável técnico, privacidade, segurança, contato do fornecedor, aprovador e substitutos.
Incidentes: data, versão, descrição, pessoas ou processos afetados, contenção, causa, correção e comunicação realizada.
Monitoramento: métricas de produção, alertas, amostragem, reclamações, revisão humana, frequência de análise e responsável pelo acompanhamento.
Mudanças: histórico de versões, modelo, dados, prompts, integrações, métricas, controles, motivo da alteração, testes refeitos e aprovação.
Ciclo de vida: data da próxima revisão, condições de suspensão, plano de rollback, retirada, exclusão de dados e comunicação a usuários.
Níveis de divulgação: campos públicos, campos compartilháveis com clientes ou autoridades e campos internos restritos.
Evidências: contratos, relatórios de teste, avaliações de impacto, atas, políticas, manuais, registros de treinamento e links para documentos atualizados.

Em uma ficha técnica de IA, cada campo precisa aceitar uma resposta honesta como “não avaliado”. Ocultar a lacuna com uma frase genérica é pior do que registrá-la. O status pendente permite atribuir responsável e prazo. Também evita que ausência de evidência seja confundida com ausência de risco.

Na ficha técnica de IA, o desempenho merece atenção especial. Uma taxa apresentada pelo fornecedor só tem valor se a empresa souber qual tarefa foi medida, com quais dados e em qual versão. O resultado de um benchmark geral pode não representar documentos em português, cadastro de clientes, atendimento interno ou regras específicas do negócio. A ficha deve ligar cada número ao contexto em que foi obtido.

Decisões para compra de uma solução

Ao comprar uma ferramenta, a ficha técnica de IA deve começar antes da assinatura. Compras pode pedir ao fornecedor documentação do modelo e dos dados, versões disponíveis, política de mudança, subprocessadores, retenção, uso de entradas para treinamento, localização do processamento, suporte a incidentes e evidências de avaliação.

A decisão pode seguir quatro resultados:

Aprovar: a finalidade está definida, as evidências são suficientes e os controles atendem ao risco do uso.
Aprovar com condições: a empresa limita dados, usuários, integrações ou autonomia até receber evidências e concluir testes.
Executar piloto: há potencial, mas desempenho, integração ou impacto ainda precisa ser medido em ambiente controlado.
Não aprovar: o fornecedor não informa dados essenciais, o uso conflita com políticas, o risco residual é alto ou não existe controle proporcional.

O contrato deve refletir a avaliação. Mudança de modelo, alteração de retenção, inclusão de subfornecedor, incidente relevante ou redução de suporte deve gerar aviso e, quando necessário, nova aprovação. A ficha técnica de IA registra a versão contratada e impede que uma mudança silenciosa passe despercebida.

Também vale exigir um canal para dúvidas e incidentes. Um PDF entregue na venda e nunca atualizado não resolve a necessidade de governança. O documento precisa acompanhar o produto.

Decisões para desenvolvimento interno

No desenvolvimento próprio, a empresa tem mais acesso técnico, mas isso não garante documentação melhor. Informações podem ficar divididas entre repositórios, tickets, notebooks, mensagens e conhecimento individual. Um responsável deve consolidar as respostas e manter links para as evidências originais.

Antes do desenvolvimento, registre finalidade, pessoas afetadas, dados necessários, critérios de sucesso e restrições. Antes do piloto, complete arquitetura, acessos, versão, testes e revisão de privacidade e segurança. Antes da produção, defina responsáveis, monitoramento, resposta a incidentes, rollback e critérios de suspensão.

A aprovação deve estar vinculada a uma configuração identificável. Trocar o modelo, adicionar uma fonte de dados, ampliar o público, automatizar uma ação antes manual ou reduzir a supervisão pode alterar o risco. Esses eventos devem reabrir a ficha técnica de IA e os testes relevantes.

Para sistemas com agentes, a documentação deve registrar ferramentas disponíveis, permissões, memória, limites de autonomia e ações reversíveis. O artigo da TOGETHER sobre governança de agentes de IA aprofunda ciclo de vida, testes, fornecedores e evidências para esse tipo de solução.

Como manter a documentação viva

A primeira versão da ficha técnica de IA é apenas o começo. Nomeie um owner, defina periodicidade e crie gatilhos de revisão. Uma rotina trimestral pode funcionar para usos estáveis. Sistemas críticos ou que mudam com frequência podem exigir acompanhamento mais curto.

Alguns gatilhos não devem esperar o calendário: nova versão do modelo, mudança relevante nos dados, queda de desempenho, incidente, reclamações recorrentes, alteração contratual, nova integração, expansão para outro público ou decisão de automatizar uma etapa. O histórico precisa indicar o que mudou, por quê, quais testes foram repetidos e quem aprovou.

A ficha técnica de IA também deve ter controle de qualidade. Uma pessoa próxima do desenvolvimento atualiza o conteúdo, mas outra função verifica se ele corresponde ao sistema em operação. A data da revisão e o nome do aprovador ajudam a evitar documentos corretos no lançamento e obsoletos meses depois.

Para a diretoria, um painel simples pode mostrar soluções ativas, fichas vencidas, incidentes abertos, versões sem revisão, fornecedores pendentes e riscos aceitos. Esse recorte apoia decisões sem expor todo o detalhe técnico.

Relação com LGPD e governança

Quando a IA trata dados pessoais, a documentação ajuda a conectar o caso de uso ao inventário de tratamentos, às bases legais, à segurança, aos contratos e aos direitos dos titulares. Ela também pode apoiar uma avaliação de impacto, mas não a substitui. Cada documento tem finalidade própria.

A LGPD não exige um artefato com esse nome para toda solução. Mesmo assim, registrar finalidade, necessidade dos dados, responsabilidades, riscos e controles ajuda a demonstrar como a empresa tomou decisões. A extensão do registro deve ser proporcional ao contexto, ao tipo de dado e ao efeito sobre as pessoas.

Também é preciso evitar uma conclusão automática: publicar detalhes não significa ser mais responsável em qualquer situação. Transparência útil exige informação correta, compreensível, atualizada e adequada ao destinatário. Dados pessoais, segredos comerciais e detalhes de segurança pedem acesso controlado.

Como a TOGETHER pode apoiar

A TOGETHER oferece consultoria em LGPD para mapear dados, revisar fornecedores, estruturar avaliações de impacto e integrar a documentação de IA aos processos já existentes. Com DPO as a Service, a empresa também pode acompanhar responsáveis, incidentes, solicitações de titulares e revisões periódicas sem deixar o registro isolado da operação.

O primeiro passo pode ser pequeno: selecione uma solução em produção, preencha a ficha técnica de IA, marque as lacunas e leve as decisões pendentes ao responsável correto. O valor aparece quando a documentação muda uma compra, limita um uso, exige um teste ou orienta a correção de um incidente.