Como avaliamos, como mantemos a independência, o que o selo significa
Tudo o que um comprador precisa para confiar em um resultado SoAITrust: o método, a pontuação, as regras de evidência, os conflitos que evitamos e as regras do selo. Público, versionado e igual para todo fornecedor.
O que avaliamos
A avaliação cobre um sistema de IA por vez, no ambiente real do fornecedor, em quatro blocos.
- Segurança do ambiente: 26 controles em 6 domínios (governança de segurança, identidade e acesso, proteção de dados e privacidade, segurança da aplicação e do modelo, infraestrutura e operação, incidentes e continuidade). Referências: ISO/IEC 27001:2022, NIST CSF 2.0, OWASP Top 10 for LLM, MITRE ATLAS, LGPD.
- Governança de IA: 21 controles em 6 domínios (liderança e política, inventário e classificação, riscos e impacto, ciclo de vida de dados e modelo, transparência e supervisão humana, monitoramento e melhoria). Referências: ISO/IEC 42001:2023, NIST AI RMF 1.0, EU AI Act, ISO/IEC 23894.
- Riscos e criticidade: 14 riscos de IA pontuados por probabilidade e impacto em matriz 5×5, cada um ligado às lacunas que o sustentam, e score de criticidade de 0 a 100.
- Relatório de due diligence: parecer, achados P1 a P3 e plano de ação com prazos.
A lista completa de controles, com o mapeamento para EU AI Act, SIG e CSA CCM, está pública na página de mapeamento.
Como pontuamos
- Cada controle é respondido com Sim (2 pontos), Parcial (1), Não (0) ou Não se aplica (excluído). O score de um domínio e de um bloco é a porcentagem de pontos obtidos sobre o máximo.
- Níveis: Inicial (0 a 20), Básico (21 a 40), Definido (41 a 60), Gerenciado (61 a 80), Otimizado (81 a 100).
- Um "Sim" só conta depois que a evidência é analisada por uma pessoa da SoAITrust. Sem evidência, a resposta é registrada no máximo como Parcial.
- Certificações ISO são verificadas na fonte, na base IAF CertSearch. Certificado que não pode ser verificado não conta.
- A probabilidade de cada risco é sugerida a partir das lacunas e ajustada pelo analista; o impacto depende dos dados e das decisões do sistema. A faixa de criticidade define o tier recomendado e as condições de validade.
Regras de evidência
- Aceito: políticas aprovadas, procedimentos, prints de configuração, relatórios de auditoria e pentest, contratos e DPAs, chamados, logs e painéis. Datados e atribuíveis.
- Não aceito sozinho: declaração verbal, página de marketing, rascunho, evidência com mais de 12 meses para controles que exigem recorrência.
- A triagem por IA indica se uma evidência parece cobrir o controle. A decisão é sempre humana.
- As evidências ficam criptografadas, acessíveis só aos analistas designados, e são apagadas 24 meses após o vencimento do selo, ou antes, a pedido.
Camadas proporcionais ao risco
Self-service
Sistemas de baixo risco. Questionário na plataforma, triagem automática, revisão humana amostral.
Diagnóstico assistido
Dados pessoais ou clientes regulados. Evidências obrigatórias, revisão humana completa, verificação na fonte, relatório de lacunas.
Due diligence completa
Crédito, fraude, decisões automatizadas, dados sensíveis. Relatório de 15 a 20 páginas, entrevistas, análise contratual e de LGPD, plano de ação.
Os honorários são fixos por tier e combinados antes do kickoff. Peça uma proposta em soaitrust.com/pt/contato.
Declaração de independência
- A SoAITrust não implementa, vende nem revende os controles que avalia, e não presta consultoria de remediação a um fornecedor durante a validade do selo dele.
- O resultado não depende da relação comercial. Os honorários são fixos por tier, combinados antes do kickoff, e nunca condicionados ao desfecho.
- Os analistas declaram conflitos de interesse antes de cada avaliação. Fornecedor em que um analista tenha interesse é avaliado por outra pessoa ou não é avaliado.
- A metodologia é pública e versionada. Mudanças são anunciadas com 60 dias de antecedência e nunca aplicadas retroativamente a um selo válido.
- O fornecedor vê o resultado completo antes da emissão do selo e pode contestar achados com evidências em até 10 dias úteis.
Política do selo
- Significado: o selo informa que o sistema de IA nomeado foi avaliado pela SoAITrust com esta metodologia, com evidências analisadas. Não é certificação e não garante ausência de incidentes.
- Redação: "Avaliado pela SoAITrust". Nunca "certificado", "aprovado" ou "conforme".
- Validade: 12 meses a partir da data da avaliação, ou até uma mudança relevante no sistema (novo provedor de modelo, novas categorias de dados, novas decisões automatizadas).
- Verificação: todo selo tem código único, conferido em soaitrust.com/pt/verificar, com fornecedor, sistema, escopo, faixa de criticidade, data e validade.
- Uso: no site, em propostas e questionários do fornecedor, sempre com o código e ao lado do nome do sistema avaliado. Não em sistemas fora do escopo.
- Suspensão e revogação: o selo é suspenso quando uma mudança relevante não é comunicada, quando uma evidência se mostra falsa ou quando um achado P1 não é tratado no prazo combinado; é revogado após 30 dias sem solução. A página de verificação mostra a situação.
- Renovação: reavaliação simplificada, focada no que mudou, para quem renova antes do vencimento.
Limitações
A avaliação é documental e técnica, feita remotamente sobre as evidências fornecidas e fontes públicas verificáveis. Não é teste de invasão, auditoria presencial nem parecer jurídico. Reflete o sistema na data da avaliação. O comprador continua responsável pelas próprias decisões de risco.
Metodologia v1.0 · setembro de 2026 · Dúvidas: [email protected]
Perguntas frequentes
O selo SoAITrust é uma certificação?
Não. O selo informa que o sistema de IA nomeado foi avaliado pela SoAITrust com metodologia pública e evidências analisadas. Não é certificação e não garante ausência de incidentes. A redação correta é 'avaliado pela SoAITrust'.
Quanto tempo leva uma avaliação?
O Tier 1 leva cerca de 2 semanas, o Tier 2 cerca de 4 e o Tier 3 cerca de 6, contadas do kickoff. O esforço do fornecedor é de 6 a 8 horas de uma pessoa técnica no período.
Em que frameworks a metodologia se baseia?
A metodologia é alinhada ao NIST AI RMF 1.0 e baseada em ISO/IEC 27001 e ISO/IEC 42001, com referências a OWASP Top 10 for LLM, MITRE ATLAS, ISO/IEC 23894, EU AI Act, LGPD e GDPR. Um mapeamento público relaciona cada controle ao EU AI Act, ao SIG e à CSA CCM/CAIQ.
A SoAITrust faz teste de invasão?
Não. A avaliação é documental e técnica, feita remotamente sobre evidências e fontes públicas verificáveis. Não inclui pentest, auditoria presencial nem acesso a ambientes de produção.
Como uma certificação é verificada na fonte?
Certificações ISO são conferidas na base IAF CertSearch, o registro dos organismos de certificação acreditados, em vez de aceitar o PDF enviado pelo fornecedor. Certificado que não aparece lá não conta.
Por quanto tempo o selo vale e como é verificado?
O selo vale por 12 meses ou até uma mudança relevante no sistema. Qualquer pessoa verifica pelo código em soaitrust.com/pt/verificar, que mostra fornecedor, sistema, escopo, faixa de criticidade, data e situação.