01
Shadow AI
Você não sabe quais ferramentas de IA seu time usa nem com quais dados.
CONFORMIDADE · PROTEÇÃO · CONSCIENTIZAÇÃO
Governança de IA
A IA já está dentro da sua empresa. O risco também.
Programa modular em 3 fases. Começa pela porta certa para o seu momento, evolui no seu tempo. Cada fase entrega valor isolado e prepara base para a próxima.
78%
dos profissionais brasileiros usam IA generativa no trabalho - a maioria sem política formal
1 em 3
colaboradores admite ter colado dado confidencial em ferramentas de IA pública
+11×
crescimento de incidentes envolvendo IA generativa no último ano em ambientes corporativos
O QUE TIRA O SONO DO SEU NEGÓCIO HOJE
Esqueça por um momento PL 2338 e AI Act.
O risco real está acontecendo agora.
02
Vazamento por prompt
Contrato, código-fonte e dado de cliente colados em LLM público.
03
Decisão sem rastro
IA tomando ou apoiando decisão sobre cliente/colaborador sem trilha de auditoria.
04
Política inexistente
Auditor ou cliente Enterprise pediu sua AUP de IA - e você não tem.
05
Conscientização zero
Colaborador não diferencia uso seguro de uso arriscado.
06
Risco reputacional
Imagem com direito autoral, deepfake de executivo, hallucination publicada.
07
Bloqueio reativo
TI bloqueia ChatGPT, time acha caminho por fora - a situação piora.
08
Pressão da cadeia
Cliente grande exige prova de governança de IA para renovar contrato.
Não fazer nada já é uma decisão.
REGULATÓRIO
Até 2%
do faturamento em multa LGPD (ANPD) por uso indevido de dado pessoal em IA. PL 2338/2023 e AI Act exigem inventário, AIIA e mitigação de risco.
REPUTACIONAL
Mídia
exposição pública por deepfake, hallucination ou output com direito autoral. Casos recentes: Air Canada perdeu na justiça por chatbot, Samsung baniu LLMs públicos após vazamento.
COMERCIAL
Perda
de contratos por não comprovar governança de IA na due diligence. Grandes contratos B2B já incluem cláusula de uso responsável de IA. Sem prova, contratos não renovam.
Programa em 3 fases - modular e cumulativo
Você pode começar pela porta certa para o seu momento e evoluir no seu tempo. Cada fase entrega valor isolado - e prepara a base para a próxima.
FASE 01 · IA SEGURA · QUICK START
Tire sua empresa do Shadow AI em 60 dias.
- Prazo:
- 60 dias
- Público:
- porta de entrada - empresas de qualquer porte com Shadow AI e sem política
FASE 02 · GOVERNANÇA ALGORÍTMICA · PROGRAMA COMPLETO
Do inventário ao Comitê de IA, ponta a ponta.
- Prazo:
- 90 dias
- Público:
- Grandes e Enterprise reguladas - Saúde, Financeiro, Indústria, Energia
FASE 03 · IA-AS-A-SERVICE · CONSULTORIA CONTÍNUA
Governança não é projeto. É consultoria contínua.
- Prazo:
- Recorrente mensal
- Público:
- quem concluiu Fase 1 ou 2 e precisa sustentar a maturidade
Entregáveis
01
Shadow AI Discovery
Entrevistas dirigidas + leitura de logs/SaaS para mapear ferramentas de IA em uso, áreas críticas e dados expostos.
02
Política de Uso Aceitável de IA (AUP-AI)
Documento pronto para assinar, com regras claras de uso permitido, restrito e proibido por tipo de dado e ferramenta.
03
Trilha de Conscientização (1 ciclo)
Treinamento prático para colaboradores com casos reais: prompt seguro, dado sensível, deepfake, direito autoral, alucinação.
04
Inventário Inicial de Casos de Uso
Lista priorizada dos casos de uso de IA existentes ou planejados, com classificação preliminar de risco.
05
Roadmap Técnico
Recomendações priorizadas de controle técnico (DLP-AI, AI Gateway, Zero Trust, logging, bloqueios) com custo estimado.
06
Workshop Executivo de Fechamento
Apresentação para C-level com resultado do diagnóstico, riscos materializados e plano dos próximos 90 dias.
Entregáveis
01
Diagnóstico de Maturidade
AS-IS vs. frameworks (ISO 42.001, NIST AI RMF).
02
Inventário de Algoritmos e Casos de Uso
Catálogo classificado por risco, dado e impacto.
03
AIIA - Avaliação de Impacto Algorítmico
Análise de risco ético, jurídico, técnico, social.
04
Política de Desenvolvimento e Uso de IA
Regras, papéis, ciclo de vida, segregação.
05
Comitê de IA + Regimento
Estrutura, papéis, frequência, fluxos de decisão.
06
Plano de Adequação Regulatória
Roadmap PL 2338, AI Act, ISO 42.001.
07
Relatório Diagnóstico Executivo
Apresentação para C-level com plano de ação.
08
Acompanhamento 12 meses
2 horas/mês de mentoria pós-entrega.
Entregáveis
01
Software-AI Best Practices
Análise contínua dos softwares e plataformas que usam ou expõem IA no cliente, com recomendações de configuração segura e indicação de soluções de proteção e governança quando há gap.
02
Comitê de IA Facilitado
Reunião mensal conduzida pela Tripla, com pauta, evidências, decisões registradas e plano de ação acompanhado.
03
Atualização Contínua da Política
Revisão trimestral da AUP-AI conforme evolução regulatória (PL 2338, AI Act) e novos casos de uso adotados.
04
Revisão de Novos Casos de Uso
Análise de risco e parecer técnico-jurídico para cada novo caso de uso de IA antes da implementação - go / no-go consultivo.
05
Trilhas Recorrentes (Awareness)
Ciclos gamificados via KnowBe4 / PhishX com novos cenários a cada ciclo. Medição de redução de risco humano.
06
Dashboard Autoritas - KPIs
Painel executivo com indicadores de uso, conformidade, maturidade e ações pendentes. Relatório mensal pronto para C-level.
Modular, cumulativo, no ritmo do cliente
Cada fase entrega valor isolado. As três combinadas formam um programa de maturidade contínua e sustentável.
MÊS 1-2
Fase 1
IA Segura
Política + Conscientização + Diagnóstico técnico
MÊS 1–4
Fase 2
Gov. Algorítmica
Inventário + AIIA + Comitê + Camada técnica
MÊS 5+
Fase 3
IA-as-a-Service
Best Practices + Comitê + Política viva + KPIs
CONTÍNUO
Maturidade
Sustentada
ROI mensurado, risco reduzido, conformidade viva
Plataforma proprietária
Plataforma vCAIO no Autoritas - onde o programa vive
Cada uma das 3 fases tem dashboard, controles e dados próprios no módulo vCAIO. CISOs, DPOs e o time da Tripla operam o programa direto na plataforma - auditável, exportável e pronto para regulador e cliente Enterprise.
01
IA Segura - Dashboard de Visibilidade
Visão Geral · Risk Galaxy IA · Inventário
Painel executivo que mostra o estado do programa em tempo real: sistemas de IA inventariados, classificação AI ACT (Inaceitável, Alto, Limitado, Mínimo), AIIAs em aberto, incidentes críticos, maturidade do programa e .
Em 60 dias, o cliente sai do “não sei o que tenho” para um inventário ao vivo com classificação de risco regulatório.
O que você enxerga no painel
- Sistemas1 ativo
- AI ACT0 Inaceitável · 0 Alto · 1 Limitado · 0 Mínimo
- AIIAs em aberto0 vencendo em 30d
- Incidentes0 críticos
- Maturidade IAAS-IS vs ISO 42001 + NIST AI RMF
-
02
Governança Algorítmica - Operação Contínua
AIIA · Comitê de IA · Shadow AI · Políticas e Procedimentos
Camada operacional onde o programa de governança roda diariamente. Inventário detalhado por sistema, caso de uso e Shadow AI descoberto. AIIAs estruturadas com workflow de aprovação. Comitê de IA com pauta, ata e plano de ação. Biblioteca documental viva com fluxo de revisão e criação de políticas.
Em 90 dias, o cliente tem Comitê de IA formal, AIIAs aprovadas e biblioteca documental sustentando auditoria interna e externa.
O que você enxerga no painel
- Casos de Usoem produção, classificados por risco
- Shadow AIdescobertas via entrevistas + logs
- Comitê de IAreuniões últimos 90 dias
- AIIAavaliações de impacto algorítmico
- Risk Galaxy IAvisualização de risco por sistema
- Políticas (vCAIO)biblioteca + revisão + criação
03
IA-as-a-Service - Consultoria Contínua
Solicitações Consultivas · Best Practices · Dashboards C-level
Camada de orquestração contínua. Solicitações Consultivas para Tripla revisar cada novo caso de uso de IA antes de subir em produção (go/no-go consultivo). Best Practices revisadas mensalmente. KPIs executivos prontos para C-level. Billing por uso, monitoramento contínuo e integração de entregas com a Tripla pelo mesmo painel.
A partir do mês 5, governança vira ritmo: Tripla sustenta o programa, comitê roda, política atualiza, e maturidade sobe mês a mês.
O que você enxerga no painel
- Solicitações Triplaconsultoria sob demanda
- Best Practicesrevisão mensal de softwares-AI
- Dashboards executivosKPIs prontos para C-level
- Distribuição por finalidadevisão de portfólio de IA
- Sistemas por origeminterno · SaaS · embedded
- Política vivarevisão trimestral pela Tripla
Recursos transversais do módulo vCAIO
Classificação AI ACT automática
Cada sistema cadastrado é classificado como Inaceitável, Alto, Limitado ou Mínimo conforme o AI Act europeu - pronto para auditoria multinacional.
AIIA estruturada
Workflow proprietário Tripla baseado em ISO 42.001, NIST AI RMF e PL 2338/2023 - risco ético, jurídico, técnico e social num único documento aprovável.
Risk Galaxy IA
Mapa visual interativo do portfólio de IA por risco, dado e impacto. Diretoria entende o panorama em uma tela.
Shadow AI Detection
Entrevistas estruturadas + análise de logs SaaS para descobrir ferramentas de IA fora do inventário oficial.
nativas
Workflow de reporte de incidente de IA dentro do prazo regulatório, integrado ao Comitê de IA.
Solicitações Tripla
Canal direto para o cliente pedir parecer técnico-jurídico sobre novos casos de uso - go/no-go consultivo registrado no painel.
Veja o vCAIO no Autoritas em ação
Demonstração guiada de 45 minutos com nosso time de consultoria. Mostramos as 3 fases na plataforma com dados reais de operação enterprise.
Único stack integrado no Brasil
Times verticais
Especialistas dedicados por setor: Saúde, Financeiro, Energia, Indústria, BET, Governo, Varejo.
Modelo modular
Entra simples (Fase 1), evolui no tempo (Fase 2), sustenta a operação (Fase 3). Sem big bang.
+130 clientes
Base enterprise em produção, com cases setoriais validados.
Perguntas frequentes
Dúvidas sobre o programa
Como vocês fazem o Shadow AI Discovery sem invadir privacidade do colaborador?
Combinamos entrevistas com líderes de área, análise de logs do gateway de internet/SaaS existente e levantamento de SaaS via SSO. Não instalamos agente no endpoint no Quick Start. Foco em ferramenta e dado, não em pessoa. Monitoramento de prompt em nível de usuário entra como recomendação do Roadmap Técnico e é decidido com Jurídico/RH antes de qualquer ativação.
AIIA - vocês usam metodologia própria ou frameworks padrão?
Base metodológica em ISO 42.001 e NIST AI RMF, adaptada para o contexto brasileiro com matriz de risco do PL 2338 e cruzamento com base legal LGPD. Entregável é um relatório AIIA por caso de uso, assinado pelo dono do caso, com plano de mitigação rastreável no Autoritas.
Como funciona o Comitê de IA?
Presidência rotativa CISO/DPO, cadeiras fixas de TI, Jurídico, Compliance, Negócio e Dados. Cadência mensal de 90 minutos. Decisões em ata. Tripla atua como secretaria-executiva nas Fases 2 e 3: prepara pauta, distribui materiais, registra decisões e acompanha plano de ação no Autoritas. Não votamos - facilitamos.
Como vocês integram com nosso DPO e programa LGPD existente?
AUP-AI nasce dentro da política de proteção de dados existente. DPO assume cadeira de Privacidade no Comitê de IA. Inventário de Casos de Uso de IA vira anexo do RAT da LGPD quando há dado pessoal. Cliente já de DPO as a Service da Tripla tem prazo do Quick Start reduzido de 60 para 40 dias úteis.
O que diferencia uma AUP-AI de uma política de uso de TI tradicional?
Granularidade por tipo de dado (Confidencial/Restrito/Interno com regras distintas), granularidade por categoria de ferramenta (LLM público, corporativo, customizado, agentes, geração de imagem) e mecanismo de exceção registrada com aprovação do Comitê. Política viva, não documento de gaveta.
Quais ferramentas técnicas vocês recomendam para DLP em IA?
Depende do ambiente. Cloudflare One: AI Gateway + WAF com prompt scanning. Microsoft 365: Purview AI Hub + Defender for Cloud Apps. Zero Trust avançado: Illumio + Teramind. Roadmap Técnico mapeia stack atual e indica menor caminho até cobertura. Indicamos soluções fora do nosso portfólio quando é o melhor caminho.
AI Gateway: vocês implementam ou só recomendam?
Implementamos. Tripla é Platinum Cloudflare e único MSSP credenciado no Brasil. AI Gateway ativado em 1 a 2 sprints em ambientes Cloudflare One. Em ambientes Zscaler, Netskope ou Palo Alto, usamos capabilities nativas - não forçamos rip-and-replace.
Como vocês medem maturidade e ROI após a Fase 1?
6 indicadores no Autoritas: ferramentas mapeadas, cobertura de treinamento (meta 85% em 30 dias), AUP-AI assinada, casos de uso classificados, horas de Comitê executadas, incidentes envolvendo IA. ROI: prova de governança que destrava contratos B2B parados na due diligence.
Quais regulamentações estamos cobrindo simultaneamente?
PL 2338/2023, AI Act, ISO 42.001:2023, NIST AI RMF, LGPD para IA. Em setores regulados: BACEN, ANS, ANEEL, MJSP. Plano de Adequação Regulatória da Fase 2 é o mapa simultâneo. Você não escolhe um framework - fica em conformidade com todos que se aplicam.
Vocês têm cases de Governança de IA em produção?
Sim. Cases em saúde (modelo de sinistralidade), financeiro (modelo de crédito), indústria (manutenção preditiva), energia (previsão de demanda). Sob NDA. Apresentação por demanda no workshop diagnóstico, com aprovação prévia do referenciado.
PL 2338 ainda não foi aprovado. Por que me antecipar agora?
Contratos B2B Enterprise já incluem cláusula de uso responsável de IA na due diligence. AI Act se aplica para empresa brasileira com operação, sucursal, cliente final ou subsidiária na UE. Quando PL 2338 for aprovado, prazo de adequação será curto (24 meses para risco alto). Quem começa depois corre.
ISO 42.001 já é exigência ou ainda é diferencial?
Por enquanto diferencial - mas em RFPs Enterprise dos últimos 12 meses já vimos pontuação. Recomendação: trate 42.001 como roadmap de 18 meses, não certificação imediata. Fase 2 entrega base estrutural que cobre 70% dos requisitos.
O Roadmap Técnico da Fase 1 inclui implementação ou só recomendação?
Recomendação priorizada por impacto/esforço com custo estimado. Implementação é projeto separado escopado após Workshop Executivo. D+60: bloqueio de LLM público em endpoints, ativação de Copilot/Gemini Workspace corporativo, log centralizado. D+90/D+120: AI Gateway full e DLP de prompt - geralmente vendidos como projeto à parte ou Fase 2.
Como vocês evitam que a AUP-AI vire documento de gaveta depois do Quick Start?
Trilha de Conscientização recorrente via KnowBe4/PhishX, Comitê de IA mensal revisando novos casos de uso, Dashboard Autoritas com KPI de aderência exposto a C-level, e revisão trimestral da política. Governança vira hábito quando tem cadência, dado e dono - Fase 3 entrega exatamente isso.
O Autoritas vCAIO substitui ou complementa a consultoria Tripla?
Complementa. O Autoritas vCAIO é a camada onde o programa vive entre uma reunião e outra - inventário, AIIA aprovadas, atas do Comitê de IA, políticas em revisão, . A consultoria Tripla é o time que conduz cada fase, valida AIIAs, facilita o Comitê e responde solicitações no painel. Plataforma sem consultoria vira inventário parado. Consultoria sem plataforma vira PDF que ninguém atualiza. Os dois juntos sustentam maturidade contínua - esse é o diferencial da oferta.
Como o Autoritas vCAIO se diferencia de plataformas internacionais de AI Governance?
A maioria das plataformas internacionais foca apenas em IA Act europeu ou em GenAI security técnica (DLP, AI Gateway). O Autoritas vCAIO foi desenhado para o contexto regulatório brasileiro: classificação AI ACT integrada a PL 2338/2023, nativas, AIIA estruturada com base em ISO 42.001 + NIST AI RMF + PL 2338, e Comitê de IA integrado ao programa LGPD existente. Para empresas que operam só no Brasil, é a única plataforma com cobertura regulatória local completa. Para multinacionais, mantém compatibilidade com AI Act europeu.
Posso exportar dados do vCAIO para auditoria externa ou cliente Enterprise?
Sim. Todo o conteúdo do vCAIO é exportável em PDF auditável e CSV: inventário de sistemas, AIIAs aprovadas, atas do Comitê de IA, políticas vigentes, notificações regulatórias e relatórios executivos. O formato segue o que auditores Big 4, reguladores e procurement Enterprise costumam exigir em due diligence de IA. Saída de PDF traz hash criptográfico de integridade e timestamp.