Se sua empresa usa IA para atender clientes, redigir propostas ou triar pedidos, agora existe uma referência nacional sobre como gerenciar o risco. Em 14 de julho de 2026 a SDAIA lançou o marco nacional de gestão de riscos de IA para entidades públicas e privadas, com um método de 4 fases, 7 princípios e 7 tipos principais de risco. Em 14 de outubro de 2026 a SDAIA afirmou ter adotado 23 normas nacionais relacionadas à IA. O marco é uma orientação, não uma nova multa, mas define as perguntas que serão feitas à sua empresa. Seu primeiro passo: uma lista de todas as ferramentas de IA que sua equipe usa.

O que exatamente a SDAIA lançou?

Segundo a Agência de Imprensa Saudita, o marco oferece uma metodologia nacional unificada para identificar, avaliar, tratar e monitorar os riscos da IA, para que entidades públicas e privadas a adotem de forma segura e responsável. A SDAIA explica por que a gestão de riscos de TI comum não basta: os riscos da IA podem surgir de forma inesperada durante a operação, o desempenho de um sistema pode mudar com o tempo e seu comportamento pode ser difícil de explicar ou reproduzir.

O marco inclui um cenário prático de uma entidade pública que usa um modelo para preparar relatórios internos, acompanhado em cada fase, e pode ser consultado pelo link oficial da SDAIA. Para uma visão mais ampla das regras de governança de dados da SDAIA, leia nosso artigo Governança de dados e IA responsável segundo as regras da SDAIA.

As quatro fases, aplicadas a uma empresa privada

O método é um ciclo de vida de 4 fases conectadas. Veja como fica em uma empresa de médio porte que usa um assistente de IA para atender clientes no WhatsApp:

  • 1. Definir o contexto e o escopo: Qual é a ferramenta? O que ela faz exatamente? Quem a usa? Quais dados entram nela, e eles incluem dados pessoais de clientes?
  • 2. Identificar e avaliar os riscos: E se o assistente informar um preço errado, prometer algo que você não oferece ou mostrar os dados de um cliente a outro? Cada risco é pontuado em uma matriz que relaciona sua probabilidade ao tamanho do seu impacto.
  • 3. Tratar os riscos: Uma decisão por risco: reduzi-lo (revisão humana antes de enviar preços), evitá-lo (bloquear o acesso da ferramenta a certos dados) ou aceitá-lo se o impacto for pequeno.
  • 4. Monitorar e revisar continuamente: Como o desempenho pode variar, revise regularmente uma amostra de respostas, registre os erros e reavalie sempre que trocar de ferramenta ou de fornecedor.

7 princípios sobre os quais sua empresa será questionada

O marco se apoia em 7 princípios: integridade e equidade, privacidade e segurança, humanidade, confiabilidade e segurança operacional, transparência e explicabilidade, prestação de contas e responsabilidade, e benefícios sociais e ambientais. Ele classifica os riscos da IA em 7 tipos principais para que nenhuma categoria essencial fique de fora. Na prática, pergunte sobre cada ferramenta: ela trata os clientes com equidade? Sabemos para onde vão os dados? Conseguimos explicar a decisão dela a um cliente que reclama? E quem, nominalmente, responde quando ela erra?

23 normas nacionais: do o quê ao como

No 10º Fórum de Normas, realizado pela Organização Saudita de Normalização, Metrologia e Qualidade em Riad em 14 de outubro de 2026, a SDAIA explicou que políticas e marcos definem o que os sistemas de IA devem alcançar, enquanto as normas definem como esses requisitos são implementados, medidos e comprovados. Afirmou ter publicado mais de 10 marcos e ferramentas regulatórias de IA e adotado 23 normas nacionais relacionadas à IA, cobrindo governança e sistemas de gestão, qualidade dos dados de treinamento, segurança, robustez, proteção e privacidade, além de marcos de referência e big data, segundo o jornal Al-Madina. O que isso significa para você: se fornece tecnologia a entidades públicas ou grandes empresas, espere ver essas normas nos requisitos das licitações.

A visão da Origami

Lemos o marco como um sinal de direção, mais do que uma obrigação imediata. Hoje ele é uma orientação, mas as grandes organizações constroem suas políticas sobre ele e depois repassam os requisitos aos fornecedores. Uma empresa que já mantém um registro escrito das suas ferramentas de IA e de seus riscos responderá a essas perguntas em um dia; uma que não mantém começará do zero sob a pressão de um prazo de entrega.

Nada disso exige um departamento de riscos completo. Para uma pequena ou média empresa, uma única tabela com cinco colunas (ferramenta, uso, dados, principal risco, responsável pela decisão) cobre a maior parte do que pedem as fases 1 e 2. E quando seus sistemas são projetados para registrar cada resposta automática e permitir revisão humana antes de decisões sensíveis, a fase 4 se torna automática em vez de um fardo. É isso que construímos como parte dos nossos serviços.

Comece esta semana

  • Liste todas as ferramentas de IA que sua equipe usa, incluindo assinaturas pessoais que os funcionários usam no trabalho.
  • Para cada ferramenta, anote os dados que entram nela e sinalize tudo o que contiver dados pessoais de clientes ou funcionários.
  • Pontue os 3 principais riscos de cada ferramenta em probabilidade e impacto, e comece pelo mais alto.
  • Nomeie uma pessoa responsável por ferramenta e defina uma revisão a cada 3 meses.
  • Leia o cenário prático do documento da SDAIA e use-o como modelo.

Fontes

  • Agência de Imprensa Saudita — SDAIA Introduces National Framework for Managing AI Risks (14 de julho de 2026): spa.gov.sa
  • Agência de Imprensa Saudita — anúncio em árabe com o link para o marco: spa.gov.sa
  • SDAIA — documento do marco nacional de gestão de riscos de IA: sdaia.gov.sa
  • Organização Saudita de Normalização, Metrologia e Qualidade — 10º Fórum de Normas 2026: saso.gov.sa
  • Al-Madina — a SDAIA sobre o papel das normas nas aplicações de IA: al-madina.com
  • Al-Jazirah Online — a mesma cobertura (14 de outubro de 2026): al-jazirahonline.com