Definições de duas frases, escritas para serem citadas, cada uma com a referência normativa e o controle da SoAITrust que a avalia. Atualizado conforme o mercado e a regulação avançam.
Due diligence de IA · ISO/IEC 42001 · NIST AI RMF · EU AI Act · OWASP Top 10 for LLM · Prompt injection · AI-BOM · Model card · Supervisão humana · Decisão automatizada · Avaliação de impacto de IA · Viés algorítmico · Gestão de risco de terceiros em IA · Questionário de segurança de IA · Selo verificável · Verificação na fonte · Score de criticidade · Red teaming de IA
Verificação independente da segurança e da governança de um sistema de IA antes ou durante a contratação, com evidências, para que o comprador decida com base em fatos e não em promessas.
Referência: NIST AI RMF 1.0 · ISO/IEC 42001 · Avaliado pelo controle G5.4
Norma internacional de 2023 que define um sistema de gestão de inteligência artificial (AIMS): política, papéis, riscos, ciclo de vida do modelo e melhoria contínua. É certificável; a SoAITrust avalia com base nela, mas não certifica.
Referência: ISO/IEC 42001:2023 · Avaliado pelo controle G1.1
Framework de gestão de riscos de IA do NIST (EUA), organizado em quatro funções: Govern, Map, Measure e Manage. Voluntário, usado como referência de boas práticas em todo o mundo.
Referência: NIST AI RMF 1.0 (2023) · Avaliado pelo controle G3.1
Regulamento (UE) 2024/1689, que classifica sistemas de IA por risco e impõe obrigações a provedores e implantadores. O artigo 25 estende responsabilidades pela cadeia de valor, o que alcança fornecedores fora da UE que vendem para empresas europeias.
Referência: Reg. (EU) 2024/1689, art. 25 · Avaliado pelo controle G2.2
Lista das dez vulnerabilidades mais críticas em aplicações com grandes modelos de linguagem, como prompt injection, vazamento de informação sensível, cadeia de suprimentos e agência excessiva.
Referência: OWASP Top 10 for LLM Applications 2025 · Avaliado pelo controle S4.1
Ataque em que instruções maliciosas, digitadas pelo usuário ou escondidas em conteúdo lido pelo modelo, fazem o sistema de IA ignorar suas regras, vazar dados ou executar ações indevidas. Controle: separar instruções de dados, validar entradas e limitar ferramentas.
Referência: OWASP LLM01 · MITRE ATLAS · Avaliado pelo controle S4.1
Inventário dos componentes de um sistema de IA: modelos, pesos, datasets, bibliotecas e provedores, com origem, licença e versão. Equivalente do SBOM para IA; permite responder de que o sistema é feito e reagir a vulnerabilidades.
Referência: OWASP LLM03 · ISO/IEC 42001 A.6.2 · Avaliado pelo controle S4.4
Documento técnico curto que descreve um modelo: finalidade, dados de treino, métricas, limitações e usos não recomendados. É a evidência básica de transparência que um comprador pede.
Referência: ISO/IEC 42001 A.6.2.7 · EU AI Act art. 11 · Avaliado pelo controle G4.2
Capacidade de pessoas entenderem, revisarem, corrigirem e interromperem um sistema de IA, proporcional ao risco. Vai de human-in-the-loop (aprova cada decisão) a on-the-loop (monitora e intervém).
Referência: EU AI Act art. 14 · ISO/IEC 42001 A.9.3 · Avaliado pelo controle G5.3
Decisão sobre uma pessoa tomada por sistema sem revisão humana relevante, como crédito, elegibilidade ou contratação. A LGPD (art. 20) e o GDPR (art. 22) dão direito a revisão e explicação.
Referência: LGPD art. 20 · GDPR art. 22 · Avaliado pelo controle G5.2
Análise, antes do uso, dos efeitos de um sistema de IA sobre pessoas e grupos: viés, exclusão, privacidade, segurança. Quando há dados pessoais, soma-se o relatório de impacto (RIPD/DPIA).
Referência: ISO/IEC 42001 A.5 · EU AI Act art. 27 · Avaliado pelo controle G3.2
Diferença sistemática de desempenho ou de resultado de um sistema de IA entre grupos de pessoas, geralmente herdada dos dados de treino. Mede-se com métricas de equidade por grupo e limites definidos.
Referência: NIST AI RMF Measure 2.11 · ISO/IEC TR 24027 · Avaliado pelo controle G3.3
Processo pelo qual uma empresa avalia e acompanha os fornecedores cujos produtos usam IA: classificação por criticidade, questionário, evidências, contrato e monitoramento. Extensão do TPRM tradicional para riscos de IA.
Referência: Res. CMN 4.893/2021 · EU AI Act art. 25 · Avaliado pelo controle G5.4
Conjunto de perguntas que um comprador envia a um fornecedor antes de contratar, cobrindo segurança, privacidade e governança de IA. SIG e CAIQ são os padrões mais usados; uma avaliação independente com selo responde a maioria deles de uma vez.
Referência: Shared Assessments SIG · CSA CAIQ · Avaliado pelo controle G5.4
Marca com código único que qualquer pessoa confere em uma página pública, mostrando o que foi avaliado, quando e até quando vale. Diferente de um logo copiável, o selo verificável prova a avaliação na fonte.
Referência: SoAITrust seal policy · Avaliado pelo controle G5.4
Conferir uma certificação no registro do organismo que a emitiu (por exemplo, a base IAF CertSearch para ISO), em vez de aceitar o PDF enviado pelo fornecedor.
Referência: IAF CertSearch · Avaliado pelo controle S1.4
Número de 0 a 100 que resume a exposição de um sistema de IA, calculado a partir de 14 riscos pontuados por probabilidade e impacto. Define a faixa (baixa, média, alta, crítica) e o tier de avaliação recomendado.
Referência: SoAITrust methodology v1.0 · Avaliado pelo controle G3.4
Testes adversariais planejados contra um sistema de IA para provocar falhas: jailbreak, vazamento do system prompt, respostas danosas, extração de dados. Deve ser recorrente, com casos versionados e critério de bloqueio de release.
Referência: NIST AI RMF Measure · ISO/IEC 42001 A.6.2.4 · Avaliado pelo controle S4.5
Glossário v1 · setembro de 2026 · 18 termos · Sugira um termo: [email protected]