NIST AI RMF.
Compreenda os riscos da IA na utilização concreta, tome decisões fundamentadas e verifique os efeitos das medidas de proteção.
- NIST AI 100-1 · AI RMF 1.0
- Por Jonathan Bezdek
- Atualizado em: 22/10/2026
- Tempo de leitura: 8 min.
Resposta breve.
O NIST AI RMF é um referencial voluntário de gestão de riscos dos sistemas de IA. O AI Risk Management Framework 1.0 apoia o desenvolvimento, a utilização e a avaliação com as funções Govern, Map, Measure e Manage. Relaciona verificações técnicas com responsabilidade e análise de consequências ao longo do ciclo de vida; não cria um procedimento geral de certificação.
AI RMF 1.0, Playbook e Generative AI Profile.
O NIST AI RMF 1.0 é uma publicação do National Institute of Standards and Technology dos EUA, de 26 de janeiro de 2023. O NIST AI 100-1 descreve riscos para as pessoas, as organizações e a sociedade e características de uma IA de confiança. O referencial centra a análise na utilização real: um modelo passar num teste ainda não responde às consequências dos seus resultados num processo operacional.
O NIST AI RMF Playbook complementa o referencial com sugestões de ação voluntárias. Segundo a página do Playbook do NIST, não é uma lista de verificação a cumprir integralmente; selecionam-se as sugestões adequadas ao contexto próprio. O NIST AI 600-1 de julho de 2024 é, por sua vez, um Generative AI Profile separado. Aprofunda os riscos da IA generativa e complementa a edição de base, em vez de a substituir por uma nova versão.
Na página do programa e nas perguntas frequentes atualizadas em agosto de 2026, o NIST anuncia uma revisão do AI RMF 1.0. Esta página refere-se à edição de base publicada e aos complementos identificados. No trabalho próprio, deve registar a versão, o perfil e a data das fontes que sustentam uma avaliação.
A quem se destina o AI Risk Management Framework.
Segundo o NIST AI 100-1, capítulo 2, o NIST AI RMF destina-se a vários intervenientes no ciclo de vida da IA: desenvolvimento, aquisição, utilização e avaliação. As perguntas frequentes do NIST mencionam organizações de diferentes dimensões e setores. Uma empresa que adquire IA externa também pode utilizá-lo para tratar questões da sua utilização, das dependências dos fornecedores e da responsabilidade própria.
A análise deve caber a uma equipa multidisciplinar. Os especialistas técnicos podem, por exemplo, verificar o comportamento de um sistema, enquanto os responsáveis funcionais explicam que erros têm consequências num processo de trabalho. A proteção de dados, a segurança e a perspetiva das pessoas afetadas complementam este trabalho. Segundo o NIST AI 100-1, capítulo 3, podem existir conflitos entre características de confiança; por isso, um único bom indicador não substitui uma decisão global fundamentada.
Relacionar Govern, Map, Measure e Manage.
As quatro funções do NIST AI 100-1, capítulo 5, organizam o trabalho de riscos da IA. Não são quatro fases de projeto obrigatoriamente concluídas em sequência. Govern é transversal; os conhecimentos da operação e da avaliação conduzem novamente ao esclarecimento do contexto e às decisões.
Govern: responsabilidade e regras de decisão.
Segundo o capítulo 5.1, Govern relaciona o trabalho técnico com responsabilidades, tolerância ao risco e regras organizacionais. Para uma utilização concreta, deve ser compreensível quem responde por uma avaliação, quem pode decidir sobre os riscos remanescentes e quando é feita a escalada. A governação continua eficaz após uma aprovação e sustenta as outras funções.
Map: contexto de utilização e possíveis consequências.
Segundo o capítulo 5.2, Map analisa a finalidade, o ambiente, os intervenientes e os possíveis impactos de um sistema de IA. Um assistente para rascunhos internos tem pontos de decisão diferentes de uma aplicação cujos resultados contribuem para decisões sobre candidaturas. A descrição do contexto torna visível a informação em falta e os pressupostos que limitam uma avaliação posterior.
Measure: verificar afirmações com métodos adequados.
Segundo o capítulo 5.3, Measure utiliza métodos qualitativos e quantitativos para analisar os riscos e as características relevantes do sistema. Os testes devem adequar-se às consequências identificadas e revelar os seus limites. Um resultado só é tão esclarecedor quanto os dados, as condições de teste e a utilização examinada; por isso, a incerteza faz parte da avaliação.
Manage: gerir o tratamento e a operação.
Segundo o capítulo 5.4, Manage organiza as medidas e as decisões segundo os riscos avaliados. Inclui o tratamento, a monitorização e a gestão de alterações ou incidentes. Uma organização deve conseguir explicar por que aprova, limita ou termina uma utilização e que resultados alterariam posteriormente essa decisão.
Aplicar o NIST AI RMF na prática.
Delimitar o caso de utilização.
Como ponto de partida prático, escolha um processo concreto apoiado por IA e documente a finalidade, os limites do sistema, a pessoa responsável e a versão do referencial utilizada.
Analisar o contexto em conjunto.
Registe os intervenientes, as pessoas afetadas, os fornecedores e as possíveis consequências e conserve pressupostos contraditórios como questões de investigação em aberto.
Determinar os riscos e as necessidades de avaliação.
Priorize os cenários de risco relevantes e decida que verificações técnicas, avaliações funcionais e informação adicional são necessárias para uma decisão sólida.
Fundamentar o tratamento e a aprovação.
Relacione os resultados com medidas de proteção, incertezas remanescentes e uma decisão assumida por um responsável, incluindo condições e restrições.
Acompanhar a operação e as alterações.
Defina os comentários, incidentes ou alterações que desencadeiam uma nova avaliação e quem assume o trabalho daí resultante.
Demonstração através de decisões verificáveis.
Uma avaliação orientada pelo RMF torna-se rastreável pelo seu âmbito, métodos e resultados documentados. O NIST AI 100-1, capítulos 4 e 6, trata a eficácia e os perfis contextualizados. São esclarecedoras, por exemplo, uma análise fundamentada de riscos, avaliações rastreáveis, limites documentados e decisões de tratamento verificadas. Um questionário preenchido, por si só, não mostra que um risco está controlado.
O referencial voluntário não contém um procedimento de certificação semelhante ao de uma norma ISO de sistemas de gestão. Numa avaliação externa, deve verificar o que foi efetivamente examinado: que aplicação, versão, métodos e momento. Uma declaração privada deve ser apreciada com base nesses dados e não tratada como uma autorização geral do NIST. Não se pode deduzir do AI RMF uma validade geral de certificado.
Outros referenciais para outras decisões.
A ISO 42001 descreve requisitos de um sistema de gestão da IA e uma possível certificação independente. O Regulamento da IA da UE cria obrigações legais separadas conforme o sistema, o papel e a data de aplicação. O NIST CSF apoia o trabalho de riscos de cibersegurança; aplicar estes instrumentos não substitui uma análise contextualizada dos riscos da IA nem implica cumprimento mútuo automático.
No Secani.
O Secani disponibiliza um catálogo editorial de trabalho relativo ao NIST AI RMF 1.0 com conteúdos em alemão e inglês. O perfil de IA guardado inclui dados como o papel, a utilização generativa, os modelos externos e o estado operacional. O catálogo do produto assinala a avaliação técnica ainda pendente e não cobre integralmente o Generative AI Profile separado nem as futuras revisões NIST. Não produz uma decisão automática de conformidade ou certificação.
Começar por uma decisão concreta de IA.
Escolha uma utilização para a qual a sua organização deva fundamentar uma aprovação ou restrição sólida. Reúna as informações de contexto, as avaliações e as decisões existentes e identifique a pessoa responsável. Assim, é possível verificar que informação falta para decidir e que trabalho é necessário primeiro. Este ponto de partida é uma recomendação prática; o Playbook não impõe uma sequência universal de projeto.
Fontes.
- NIST: AI Risk Management Framework e estado da revisão
- NIST AI 100-1: AI RMF 1.0, capítulos 1–6
- NIST: perguntas frequentes sobre o AI Risk Management Framework
- NIST: AI RMF Playbook
- NIST AIRC: Playbook e orientações de aplicação
- NIST AIRC: AI RMF Core, capítulo 5
- NIST AI 600-1: Generative Artificial Intelligence Profile
- NIST: publicação do perfil de IA generativa
Perguntas frequentes.
O NIST disponibiliza o AI RMF como referencial voluntário. Os requisitos legais ou contratuais aplicáveis a uma utilização concreta de IA devem ser analisados separadamente.
Não. A governação é transversal; as funções são relacionadas repetidamente conforme o contexto. Nem o Core nem o Playbook constituem uma sequência a cumprir integralmente em todas as utilizações.
Não. O NIST AI 600-1 é um perfil complementar do AI RMF 1.0 para IA generativa e não substitui a edição de base.
O AI RMF não cria um procedimento de certificação como o de uma norma ISO de sistemas de gestão. Uma avaliação externa deve ser apreciada segundo o método e o âmbito real; não substitui uma análise separada de conformidade jurídica.
Trabalhe os riscos da IA de forma rastreável.
O Secani apoia o trabalho com o catálogo editorial AI RMF e o perfil de IA associado.
Esta página enquadra as publicações NIST em termos gerais. Prevalecem as fontes originais identificadas e os requisitos legais aplicáveis a cada utilização.