AI TRiSM: gestão de confiança, risco e segurança de IA

As três frentes da sigla

Cada palavra da sigla responde a uma pergunta diferente sobre o mesmo sistema. A tabela mostra a pergunta e um exemplo de controle para cada frente.

Injeção de instruções (prompt injection) é o texto escondido num documento ou numa página que tenta mudar o comportamento do modelo. O artigo sobre segurança agêntica mostra o problema do lado de quem publica conteúdo.

No comunicado do Hype Cycle de IA de 05/08/2025, a Gartner descreve o AI TRiSM em quatro camadas de capacidades técnicas que sustentam as políticas da empresa para todos os usos de IA, cobrindo governança, confiabilidade, justiça, segurança, privacidade e proteção de dados. O mesmo comunicado pôs o AI TRiSM, ao lado da IA multimodal, no pico de expectativas do ciclo, a fase em que o interesse corre à frente da adoção.

Como implantar em cinco passos

O roteiro segue as recomendações do artigo da Gartner de 10/06/2026 para executivos de tecnologia, na ordem em que cada passo depende do anterior.

1. Inventarie os usos de IA da empresa, incluindo os embutidos em softwares contratados, com dono, dados usados e decisão apoiada.
2. Escreva políticas aplicáveis, ligadas a risco, regulação e ética, em regras que um controle técnico consiga conferir.
3. Proteja dados e acessos: quem pode enviar o quê ao modelo e quem pode ver o que ele devolve.
4. Ligue monitoramento e validação durante o uso: testes de acerto, alertas de anomalia e bloqueio de respostas fora da política.
5. Revise de forma contínua, com registro de incidentes e decisão periódica de manter, ajustar ou desligar cada uso.

O artigo como usar IA na gestão de risco corporativo com controle aplica a mesma lógica a um piloto de triagem de riscos, com bateria de testes e plano de interrupção.

AI TRiSM, NIST AI RMF, ISO/IEC 42001 e a lei

AI TRiSM é um nome de mercado para o trabalho; as referências abaixo dão a estrutura, a norma e a obrigação legal. Elas se complementam e costumam ser usadas juntas.

Quem usa IA com dados pessoais também responde às regras de proteção de dados, e a tramitação do PL 2338/2023 na Câmara deve ser conferida na data da leitura.

Onde o AI TRiSM encontra o GEO

Empresas que usam assistentes no atendimento respondem pelo que eles dizem sobre preço, prazo e produto. A mesma disciplina que confere a resposta do assistente interno ajuda a cuidar do que os assistentes externos dizem sobre a marca: fatos publicados num endereço claro, iguais em todas as bases e revisados com data. O roteiro está em como fazer sua marca virar fonte oficial das IAs, e o caso de setores com regra própria, como saúde, em GEO para saúde e médicos.

Perguntas frequentes

O que é gestão de confiança, risco e segurança de IA?

É o trabalho de manter um sistema de IA confiável, seguro e dentro das regras durante todo o uso, conhecido pela sigla em inglês AI TRiSM. A Gartner, em artigo de 10/06/2026, define o termo como um modelo de gestão e um conjunto de capacidades técnicas que garantem confiança, segurança e conformidade por monitoramento, validação e aplicação contínua das políticas.

Gestão de riscos de IA e AI TRiSM são a mesma coisa?

A gestão de riscos de IA identifica o que pode dar errado num uso de IA e decide como tratar cada risco. O AI TRiSM inclui essa parte e soma a confiança no resultado e a segurança contra ataques e vazamentos, com ênfase em controles técnicos que funcionam enquanto o sistema opera. Na prática, a gestão de riscos é uma das três frentes do AI TRiSM.

Qual framework de gestão de riscos de IA usar?

Para organizar o trabalho, o NIST AI RMF 1.0, publicado em 26/01/2023 e gratuito, divide a gestão em quatro funções: governar, mapear, medir e gerenciar. Para um sistema de gestão com requisitos auditáveis, a referência é a ISO/IEC 42001:2023. Quem opera na União Europeia segue o Regulamento (UE) 2024/1689. Muitas empresas usam o NIST para começar e a ISO para formalizar.

Como funciona a gestão de riscos legais em IA?

Comece pelo inventário dos usos de IA e cruze cada um com as normas aplicáveis: as regras de proteção de dados pessoais, as do consumidor e as do setor e, para operações na União Europeia, o AI Act. No Brasil, o PL 2338/2023 foi aprovado pelo Senado e remetido à Câmara em 17/03/2025. Registre as decisões e exija revisão humana nos usos de maior impacto.