AI Risk Manager.

AI Risk Manager é a função operacional e a credencial emergente para quem conduz no dia a dia o programa de risco de IA de uma organização. Onde a ISO 42001 estabelece o sistema de gestão e o EU AI Act define o piso legal, o AI Risk Manager é a pessoa que transforma esses referenciais num registo operacional: identificar onde um modelo pode falhar, decidir que controlos colocar à sua volta e reportar o risco residual à liderança. É o primo específico de IA do responsável de risco de segurança da informação e toma a maior parte do seu método da gestão de risco clássica, acrescentando os modos de falha próprios da aprendizagem automática.

O que a função realmente abrange

O risco de TI tradicional pergunta se um sistema está disponível, é confidencial e tem integridade. O risco de IA mantém tudo isso e acrescenta uma camada de perguntas que os controlos convencionais nunca tiveram de responder. Um AI Risk Manager atua ao longo de todo o ciclo de vida do modelo e normalmente assume as seguintes famílias de risco.

• Risco de modelo: o modelo erra de formas difíceis de detetar, tem bom desempenho em testes mas mau desempenho com entradas reais, ou falha silenciosamente em casos extremos.
• Viés e equidade: o modelo produz resultados sistematicamente piores para alguns grupos, muitas vezes herdados dos dados de treino.
• Deriva: os dados de entrada ou o mundo real mudam após a implementação, pelo que a precisão se degrada ao longo do tempo e o modelo necessita de monitorização e de gatilhos de re-treino.
• Transparência e explicabilidade: as partes interessadas, os auditores ou os reguladores precisam de compreender como uma decisão foi tomada, especialmente em casos de uso de elevado impacto.
• Risco de modelos de terceiros e da cadeia de fornecimento: modelos fundacionais, APIs e conjuntos de dados que não construiu mas pelos quais é responsável.

Onde se situa em relação à ISO 42001 e ao AI Act

A forma mais clara de situar a função é por camadas. O AI Act é a camada regulatória que indica que obrigações se aplicam a cada nível de risco. A ISO 42001 é a camada do sistema de gestão que fornece a estrutura de governação, a responsabilização e o ciclo de melhoria contínua para cumprir essas obrigações. O AI Risk Manager é a camada operacional subjacente a ambas, realizando o trabalho recorrente de avaliação que alimenta evidências ao AIMS e demonstra que as obrigações de alto risco estão a ser cumpridas na prática. É por isso que a função é normalmente um complemento, e não um substituto, de um CISO ou de um Lead AI Auditor.

O panorama das credenciais

O título ainda está a consolidar-se. A PECB e a ISACA são os dois organismos mais associados à formalização da competência em risco de IA, e o mercado de certificação é mais recente do que o de disciplinas estabelecidas como o CISA ou o ISO 27001 Lead Implementer. Na prática, os empregadores preocupam-se menos com o crachá que possui e mais com a sua capacidade de conduzir uma avaliação de risco de IA defensável, justificar um conjunto de controlos e mapear o seu trabalho nas cláusulas da ISO 42001 e nos níveis do AI Act. Encare a credencial como prova de método, não como o trabalho em si.