Avaliação de impacto algorítmico: como fazer na empresa

Avaliação de impacto algorítmico (AIA) é a análise formal dos efeitos que um sistema de IA pode causar sobre os direitos das pessoas afetadas, com as medidas para prevenir, mitigar ou reverter os danos. No texto do PL 2338, ela é obrigação de quem coloca no mercado um sistema classificado como de alto risco. Este guia é para C-level, jurídico e compliance: explica quando a AIA se aplica, o que ela precisa conter, em que difere do relatório da LGPD e como montar um processo interno agora, sem esperar a lei.

O que é a avaliação de impacto algorítmico

A AIA é um documento e, principalmente, um processo. Segundo a definição do projeto de lei, citada em análise publicada no Migalhas, ela é a "análise do impacto sobre os direitos fundamentais, apresentando medidas preventivas, mitigadoras e de reversão dos impactos negativos, bem como medidas potencializadoras dos impactos positivos de um sistema de IA".

Duas palavras importam nessa definição:

• Direitos fundamentais. A pergunta não é "o modelo funciona?", e sim "quem pode ser prejudicado se ele errar ou discriminar, e como evitamos isso?".
• Medidas. Uma AIA que só lista riscos não cumpre o papel. O resultado precisa ser um plano com responsáveis, controles e critérios de revisão.

Ela é a peça central do que o Marco Legal da IA no Brasil (PL 2338) exige para sistemas de alto risco, ao lado de documentação técnica, supervisão humana e canal de contestação.

Quando a AIA é obrigatória (e quando vale fazer mesmo sem obrigação)

Pelo texto aprovado no Senado, a AIA é obrigatória para sistemas de alto risco. A mesma análise do Migalhas aponta que a obrigação recai sobre quem desenvolve ou coloca o sistema em circulação, considerando o papel de cada agente na cadeia. Entre os usos de alto risco listados no projeto estão recrutamento e seleção, avaliação de crédito, diagnóstico em saúde e monitoramento de trabalhadores.

Situação	AIA exigida pelo PL 2338?	Recomendação prática
Triagem de currículos por IA	Sim, alto risco	Fazer completa, com teste de viés
Análise de crédito automatizada	Sim, alto risco	Fazer completa, com canal de contestação
Monitoramento de desempenho de colaboradores	Sim, alto risco	Fazer completa e alinhar com o RH e o jurídico trabalhista
Assistente interno de redação e resumo	Não	AIA simplificada se trata dados pessoais ou sensíveis
Chatbot de atendimento com decisão sobre o cliente	Depende do caso de uso	Classificar o risco e documentar a decisão

Dois cuidados de leitura. Primeiro, o PL 2338 ainda tramita na Câmara: a numeração dos artigos, os critérios de classificação e a regulamentação pela autoridade competente podem mudar. Trate o que está aqui como a referência mais provável, não como lei vigente. Segundo, mesmo fora do alto risco, a AIA é um bom instrumento de decisão interna: obriga a empresa a pensar no impacto antes do piloto virar produção.

O que uma AIA precisa conter

O projeto de lei delega à autoridade competente a definição final de critérios, elementos e periodicidade de atualização. Até lá, a análise do Migalhas descreve uma estrutura que serve de ponto de partida. Adaptada para uso corporativo, ela fica assim:

1. Descrição do sistema e da finalidade. O que ele decide ou recomenda, para quem, com quais dados e em qual processo de negócio.
2. Riscos conhecidos e previsíveis. Discriminação, erro de classificação, exposição de dados, dependência excessiva da recomendação.
3. Benefícios esperados. Sem eles, não há como pesar o risco. Use métricas, não adjetivos.
4. Testes técnicos e resultados. Acurácia por subgrupo, testes de viés, testes adversariais.
5. Efeitos adversos possíveis e população afetada. Quantas pessoas, de que perfil, com qual gravidade.
6. Probabilidade e impacto em uma matriz de risco. Uma escala simples (por exemplo, baixa, média, alta) aplicada às duas dimensões.
7. Lógica do sistema. Como ele chega ao resultado, em nível compreensível, equilibrando segredo comercial. O detalhamento técnico está em IA explicável (XAI).
8. Medidas de mitigação e risco residual. O que será feito, por quem, e por que o risco que sobra é aceitável.
9. Medidas de transparência. O que será comunicado a usuários e pessoas afetadas.

Pelo que a análise descreve para o texto do Senado, as conclusões da AIA devem ser públicas, resguardados os segredos industrial e comercial. Planeje o documento já com uma versão resumida que possa ser divulgada.

AIA, RIPD e FRIA: o que cada uma cobre

Empresas brasileiras já conhecem o Relatório de Impacto à Proteção de Dados Pessoais (RIPD), previsto na LGPD. A AIA não o substitui, e o RIPD não a substitui.

Instrumento	Base	Foco	Escopo
RIPD	LGPD	Riscos do tratamento de dados pessoais	Qualquer tratamento de alto risco para titulares
AIA	PL 2338 (em tramitação)	Impacto do sistema de IA sobre direitos fundamentais	Sistemas de IA de alto risco
FRIA	AI Act europeu	Impacto sobre direitos fundamentais, em usos específicos	Certos implantadores de IA de alto risco na UE

A análise do Migalhas destaca que a AIA vai além da proteção de dados: alcança a programação algorítmica e o desenvolvimento do aprendizado de máquina, não só o tratamento de dados pessoais. Na prática, um sistema de triagem de currículos precisa de RIPD (há dados pessoais) e de AIA (há decisão com efeito sobre direitos). Fazer os dois em um fluxo único evita retrabalho. O cruzamento com a LGPD para IA generativa está em LGPD e IA generativa.

Quem faz a AIA na empresa

A regra de ouro é a independência funcional: quem constrói o sistema não deve ser o único a avaliá-lo. A análise do Migalhas descreve a AIA como trabalho de profissional ou equipe com independência funcional e conhecimentos técnicos, científicos e jurídicos. Um arranjo viável em grandes empresas:

• Dono do caso de uso (negócio): descreve finalidade, benefícios e processo.
• Tecnologia/dados: documenta o sistema, roda os testes e informa limitações.
• Jurídico e compliance: mapeia direitos afetados e base legal.
• Revisor independente: pode ser o comitê de ética de IA, a auditoria interna ou um terceiro.
• Diretoria: aprova o risco residual quando ele é relevante.

Roteiro de 6 passos para começar antes da lei

Este roteiro não é padrão de mercado nem exigência legal; é uma sequência pragmática para sair do zero.

1. Monte o inventário. Sem saber quais sistemas de IA existem, incluindo os embutidos em fornecedores, não há o que avaliar. Veja inventário de sistemas de IA (AI-BOM).
2. Classifique o risco de cada caso de uso. Use as categorias do PL 2338 como referência: excessivo, alto e demais.
3. Priorize os de alto risco. Comece por RH, crédito e decisões sobre clientes.
4. Aplique um modelo único de AIA. Um formulário com os nove elementos acima, com campos obrigatórios.
5. Exija revisão independente e aprovação formal. Registre quem aprovou, quando e com quais condições.
6. Reavalie por gatilho e por calendário. O texto descreve a AIA como processo contínuo ao longo do ciclo de vida. Defina gatilhos: troca de modelo, novo público, incidente, mudança de dados.

Para sistemas de terceiros, o jeito de reduzir esforço é pedir ao fornecedor a documentação técnica e os resultados de teste na contratação, e registrar a obrigação em contrato. A avaliação do fornecedor é tema de gestão de risco de fornecedores de IA.

Erros comuns

• Tratar a AIA como formulário de uma vez só. Sem reavaliação, ela vira documento morto.
• Avaliar só o modelo e ignorar o processo. O dano costuma vir do uso: quem confia cegamente na recomendação, quem não tem como contestar.
• Deixar a equipe técnica avaliar sozinha. Faltam a visão jurídica e a visão de quem é afetado.
• Não testar subgrupos. Média boa pode esconder desempenho ruim para um grupo. Veja viés algorítmico em IA.
• Ignorar a dimensão trabalhista. Sistemas que monitoram ou avaliam pessoas têm regras próprias em tramitação, tema de governança de IA nas relações de trabalho.

Como a AIA se encaixa no programa de governança

A AIA não vive sozinha. Ela se apoia no inventário, é validada por supervisão independente e alimenta a auditoria de IA e a gestão de risco de modelo. Dentro de um framework de governança de IA, ela é o ponto em que a análise de risco vira decisão documentada. O panorama completo, com política, papéis e controles, está em governança de IA na prática, e a visão de conformidade, em compliance e IA.

Na Jetpacks, o diagnóstico do método Flight Plan (Launchpad) produz o mapa de impacto por área, um insumo natural para identificar quais casos de uso merecem AIA completa. Se quiser mapear isso na sua empresa, o diagnóstico gratuito é uma conversa de 30 a 45 minutos.

FAQ

O que é avaliação de impacto algorítmico?

É a análise dos efeitos de um sistema de IA sobre os direitos fundamentais das pessoas afetadas, com medidas preventivas, mitigadoras e de reversão dos impactos negativos. No PL 2338, é obrigação para sistemas de alto risco.

A avaliação de impacto algorítmico já é obrigatória no Brasil?

Ainda não como lei geral. O PL 2338 prevê a obrigação, mas tramita na Câmara dos Deputados e o texto pode mudar. Empresas que operam na União Europeia podem ter obrigações análogas pelo AI Act. Enquanto isso, a AIA funciona como boa prática de governança.

Qual a diferença entre AIA e RIPD?

O RIPD, da LGPD, trata dos riscos do tratamento de dados pessoais. A AIA trata do impacto do sistema de IA sobre direitos fundamentais e alcança também o desenvolvimento do modelo. Um mesmo sistema pode exigir os dois.

Quem deve fazer a AIA?

No texto do PL 2338, a obrigação recai sobre quem coloca o sistema de alto risco no mercado, considerando o papel de cada agente na cadeia. Dentro da empresa, o ideal é uma equipe multidisciplinar com revisão independente.

Com que frequência a AIA deve ser atualizada?

O projeto descreve a AIA como processo contínuo ao longo do ciclo de vida do sistema, com atualizações periódicas, e delega à autoridade competente a definição da periodicidade. Na prática, atualize por gatilho (mudança de modelo, de público ou incidente) e ao menos uma vez por ano.

A AIA precisa ser pública?

Segundo a análise do Migalhas sobre o texto do Senado, as conclusões devem ser públicas, resguardados os segredos industrial e comercial. Prepare uma versão resumida desde o início.

Sistemas de IA generativa de uso interno precisam de AIA?

Não necessariamente de forma obrigatória, a menos que se enquadrem em alto risco. Mas, se tratam dados pessoais ou influenciam decisões sobre pessoas, uma AIA simplificada ajuda a documentar riscos e controles.

Próximo passo

A AIA transforma o risco de IA em decisão documentada, e quem começa agora entra na vigência da lei com processo rodando. Para saber quais casos de uso da sua empresa pedem avaliação completa e por onde começar, agende o diagnóstico gratuito da Jetpacks ou veja como estruturamos a adoção com governança.