13-03-02 — NIST AI Risk Management Framework
Por que NIST RMF Importa para Empresas Brasileiras
Mesmo sem obrigação legal direta no Brasil, o NIST AI RMF importa porque:
- Clientes multinacionais (Vale, Michelin, TIM) seguem frameworks globais
- Contratação com empresas americanas frequentemente exige compliance
- LGPD regulamentações complementares tendem a referenciar frameworks internacionais
- É o framework mais maduro e bem documentado disponível gratuitamente
As Quatro Funções do AI RMF
GOVERN — A Base
Estabelece a cultura, políticas e processos para gestão de risco em IA na organização.
- Políticas de IA documentadas e aprovadas pela liderança
- Roles e responsabilidades definidas (quem é accountable por cada sistema?)
- Capacitação da equipe em riscos de IA
- Processos de feedback e melhoria contínua
- Engajamento de stakeholders externos (clientes, reguladores)
MAP — Contexto e Riscos
Identifica o contexto de cada sistema de IA e categoriza os riscos.
- Documentar propósito, usuários, contexto de uso
- Identificar stakeholders afetados (incluindo grupos vulneráveis)
- Catalogar riscos por categoria: técnicos, éticos, legais, operacionais
- Priorizar riscos por probabilidade e impacto
MEASURE — Quantificar
Mede e avalia os riscos identificados.
- Métricas de desempenho e equidade (bias, acurácia por grupo)
- Testes adversariais (red teaming)
- Avaliação de explicabilidade e interpretabilidade
- Benchmarks de segurança e robustez
MANAGE — Responder e Melhorar
Trata os riscos identificados e medidos.
- Planos de mitigação para cada risco priorizado
- Processos de incidente e resposta
- Monitoramento contínuo em produção
- Desativação responsável quando necessário
💡 AI RMF Playbook: O NIST publicou um playbook detalhado com ações concretas para cada subcategoria do framework. É gratuito e disponível online. Para cada empresa que implementar, o playbook reduz 60% do trabalho de criação de políticas do zero.
AI RMF para Sistemas Generativos (GenAI Profile)
Em 2024, o NIST publicou o "Generative AI Profile" — extensão do RMF especificamente para LLMs e sistemas generativos. Adiciona riscos específicos:
- CBRN risks (Chemical, Biological, Radiological, Nuclear) — capacidade de instruções perigosas
- Data privacy (memorização de dados de treinamento)
- Homogenization — convergência de perspectivas pelo uso massivo do mesmo modelo
- Human-AI configuration (usuários que confiam demais)
- Information integrity (desinformação em escala)
Alinhamento NIST ↔ Microsoft Responsible AI
| NIST RMF | Princípio Microsoft |
|---|---|
| GOVERN | Accountability |
| MAP (stakeholders) | Inclusiveness, Fairness |
| MEASURE (bias) | Fairness |
| MEASURE (safety) | Reliability & Safety |
| MANAGE | Accountability, Transparency |
🔗 Implementação prática: Para uma empresa de 200+ colaboradores, implementar GOVERN + MAP (as duas primeiras funções) já é um diferencial competitivo. MEASURE e MANAGE podem ser adicionados progressivamente por sistema crítico. Timeline realista: 6-12 meses para as primeiras duas funções.