Biblioteca de prompts de gestão de IA ISO 42001

Create an inventory of our AI systems per ISO 42001:

AI systems we develop/use/provide:
[List AI applications: chatbots, recommendation engines, predictive models, computer vision, NLP, automated decision systems, etc.]

For each AI system, document:
- System name and description
- AI techniques used (machine learning, deep learning, NLP, computer vision, generative AI)
- Purpose and use case
- Development status (research, development, production, retired)
- Internal vs. external use (internal tooling, customer-facing, embedded in products)
- Risk classification (high-risk per EU AI Act, limited risk, minimal risk)
- Data sources and training data
- Stakeholders affected (employees, customers, public)
- Lifecycle stage (design, development, deployment, monitoring, retirement)

Create an AI system register template suitable for ongoing management and regulatory compliance.

Develop a comprehensive AI Management System policy per ISO 42001:

Organization: [name, industry, AI maturity]
AI use cases: [describe key AI applications]

Policy sections aligned with ISO 42001:

1. Governança e supervisão de IA
- Princípios éticos de IA (justiça, transparência, responsabilidade, segurança, privacidade)
- Estrutura de governança (conselho de supervisão de IA, comitê de ética de IA, funções de IA responsável)
- Compromisso da gestão com IA responsável

2. Gestão de riscos (Seção 6 da ISO 42001)
- Metodologia de avaliação de riscos específicos de IA
- Tratamento de riscos e controles
- Integração com a gestão de riscos corporativos

3. Gestão do ciclo de vida dos sistemas de IA
- Ciclo de vida de desenvolvimento (design, dados, treinamento, teste, implantação, monitoramento)
- Controle de mudanças para modelos e dados de IA
- Controle de versão e registro de modelos

4. Transparência e explicabilidade
- Requisitos de documentação para sistemas de IA
- Mecanismos de explicabilidade (cartões de modelo, fichas técnicas, ferramentas de interpretabilidade)
- Divulgação para as partes afetadas (quando a IA toma decisões)

5. Justiça, viés e prevenção de discriminação
- Detecção e mitigação de viés em dados e modelos
- Métricas e testes de justiça
- Tratamento de atributos protegidos
- Dados de treinamento diversos e representativos

6. Privacidade e proteção de dados
- Minimização de dados para treinamento e inferência de IA
- Consentimento e base legal (alinhamento com GDPR)
- Direitos dos titulares de dados no contexto de IA (direito à explicação, direito de não estar sujeito a decisões automatizadas)
- Técnicas de preservação da privacidade (aprendizado federado, privacidade diferencial, dados sintéticos)

7. Segurança, proteção e robustez
- Robustez adversarial e prevenção de ataques
- Segurança do modelo (roubo de modelo, envenenamento, evasão)
- Testes e validação de segurança
- Mecanismos de fail-safe e supervisão humana para IA de alto risco

8. Supervisão e controle humano
- Humano-no-loop para decisões críticas
- Mecanismos de substituição
- Monitoramento do desempenho e decisões do sistema de IA

9. Competência e conscientização (Seções 7.2-7.3 da ISO 42001)
- Treinamento em IA para desenvolvedores, usuários e liderança
- Programa de conscientização sobre IA responsável

10. Gestão de incidentes
- Tipos de incidentes específicos de IA (incidentes de viés, deriva de modelo, ataques adversariais, danos não intencionais)
- Resposta e notificação de incidentes
- Revisão pós-incidente e retreinamento de modelo

Address ISO 42001 Annex A controls relevant to your AI risk profile.

Conduct an AI risk assessment per ISO 42001 Section 6 for [AI system name]:

AI system details:
- Description: [what the AI does]
- AI technique: [ML model type, architecture]
- Data sources: [training data, inference data]
- Use case: [how it's used, who it affects]
- Deployment: [production, pilot, development]

AI-specific risks to assess:

1. Riscos de viés e justiça
- Viés nos dados de treinamento (viés histórico, viés de amostra, viés de medição)
- Viés algorítmico (modelo amplifica disparidades)
- Impacto em grupos protegidos (discriminação baseada em raça, gênero, idade, etc.)
- Métricas de justiça: [paridade demográfica, igualdade de chances, impacto disparatado]

2. Riscos de transparência e explicabilidade
- Modelos de caixa-preta (falta de interpretabilidade)
- Incapacidade de explicar decisões para usuários/reguladores
- Conformidade com o direito à explicação (Artigo 22 do GDPR)

3. Riscos de privacidade
- Reidentificação a partir de dados de treinamento anonimizados
- Ataques de inversão de modelo (extração de dados de treinamento do modelo)
- Inferência de associação (determinar se os dados estavam no conjunto de treinamento)
- Vazamento de dados ou memorização não intencional

4. Riscos de segurança e robustez
- Erros de modelo e previsões incorretas
- Ataques adversariais (evasão, envenenamento, backdoors)
- Deriva de modelo e degradação ao longo do tempo
- Casos extremos e mudança de distribuição
- Falhas críticas de segurança (em sistemas autônomos, IA médica, etc.)

5. Riscos de segurança
- Roubo ou extração de modelo
- Envenenamento de dados durante o treinamento
- Entradas adversariais no momento da inferência
- Riscos na cadeia de suprimentos (conjuntos de dados envenenados, bibliotecas comprometidas)

6. Riscos éticos e sociais
- Danos não intencionais ou consequências negativas
- Uso indevido do sistema de IA
- Impacto ambiental (pegada de carbono do treinamento de grandes modelos)
- Manipulação ou engano (deepfakes, desinformação)

7. Riscos de conformidade e legais
- Não conformidade regulatória (EU AI Act, GDPR, regulamentações setoriais)
- Responsabilidade por decisões de IA
- Questões de propriedade intelectual (treinamento em dados protegidos por direitos autorais) — veja a abordagem de Conformidade de Propriedade Intelectual do ISMS Copilot

For each risk, assess:
- Likelihood (based on data quality, model complexity, deployment context)
- Impact (severity of harm if materialized)
- Existing controls and mitigations
- Residual risk and treatment plan

Create AI risk register and treatment plan aligned with ISO 42001 risk management requirements.

Create a responsible AI development procedure covering the full AI lifecycle:

1. Design e escopo (controles 6.2, A.2.1 da ISO 42001)
- Definir propósito e requisitos do sistema de IA
- Identificar partes interessadas afetadas
- Determinar critérios de justiça e desempenho
- Avaliar requisitos regulatórios (classe de risco do EU AI Act, aplicabilidade do GDPR)
- Documentar uso pretendido e limitações

2. Coleta e preparação de dados (controles A.3.x)
- Especificação de requisitos de dados (volume, qualidade, representatividade)
- Origem dos dados (internos, externos, sintéticos, licenciados)
- Avaliação de viés na coleta de dados
- Garantia de qualidade dos dados (completude, precisão, consistência)
- Rotulagem e anotação de dados (controle de qualidade, treinamento de anotadores, concordância entre anotadores)
- Técnicas de preservação da privacidade (anonimização, privacidade diferencial)
- Documentação dos dados (cartões de dados, fichas de conjunto de dados)

3. Desenvolvimento e treinamento do modelo (controles A.4.x)
- Seleção do modelo (escolha do algoritmo, design da arquitetura)
- Engenharia e seleção de características
- Metodologia de treinamento e validação (divisões treino/validação/teste, validação cruzada)
- Ajuste de hiperparâmetros
- Detecção e mitigação de viés durante o treinamento
- Avaliação de desempenho (acurácia, precisão, recall, F1, AUC, métricas de justiça)
- Documentação do modelo (cartões de modelo, fichas técnicas)

4. Teste e validação (controles A.5.x)
- Teste funcional (funciona como pretendido?)
- Teste de justiça (análise de impacto disparatado, desempenho em subgrupos)
- Teste de robustez (exemplos adversariais, casos extremos, dados fora da distribuição)
- Teste de segurança (modos de falha, saídas inseguras)
- Validação de explicabilidade (podemos explicar as decisões?)
- Teste de conformidade regulatória (atende aos requisitos do EU AI Act, se aplicável)

5. Implantação (controles A.6.x)
- Planejamento e aprovação da implantação
- Treinamento e documentação para usuários
- Configuração de monitoramento e alertas
- Mecanismos de supervisão humana
- Procedimentos de reversão
- Implantação em etapas (canário, teste A/B)

6. Monitoramento e manutenção (controles A.7.x)
- Monitoramento de desempenho (acurácia, latência, tempo de atividade)
- Monitoramento de viés (métricas de justiça contínuas)
- Detecção de deriva de modelo (deriva de dados, deriva de conceito)
- Detecção de incidentes (previsões anômalas, erros)
- Gatilhos e procedimentos de retreinamento
- Gestão de versões de modelo

7. Aposentadoria e desativação
- Critérios de decisão de fim de vida
- Retenção ou exclusão de dados
- Comunicação aos usuários
- Planejamento de transição (sistema de substituição, processos manuais)

For our AI development context: [describe teams, tools, platforms, methodologies]

Include checkpoints, approvals, and documentation requirements at each stage per ISO 42001.

Create a model card for [AI model name] per ISO 42001 transparency requirements:

Model card sections:

1. Detalhes do modelo
- Nome e versão do modelo
- Tipo e arquitetura do modelo: [e.g., neural network, random forest, transformer]
- Algoritmo e framework de treinamento: [TensorFlow, PyTorch, scikit-learn]
- Desenvolvedores do modelo e contato
- Data do modelo e estágio do ciclo de vida
- Licença e restrições de uso

2. Uso pretendido
- Usos e usuários primários pretendidos
- Usos fora do escopo (para o que NÃO deve ser usado)
- Considerações éticas e limitações conhecidas

3. Fatores (características relevantes)
- Grupos ou fatores considerados (demografia, geografia, contextos de uso)
- Fatores de instrumentação e ambiente

4. Métricas
- Métricas de desempenho do modelo: [accuracy, precision, recall, F1, AUC, etc.]
- Métricas de justiça e viés: [paridade demográfica, igualdade de chances, etc.]
- Limiares de decisão e compensações

5. Dados de treinamento
- Descrição e fonte do conjunto de dados
- Pré-processamento de dados e engenharia de características
- Tamanho e divisões dos dados de treinamento
- Vieses ou limitações conhecidos nos dados

6. Dados de avaliação
- Conjunto(s) de dados de avaliação utilizados
- Motivação para a escolha do conjunto de dados
- Pré-processamento aplicado

7. Análises quantitativas
- Resultados de desempenho geral
- Desempenho em subgrupos (análise de justiça)
- Intervalos de confiança ou quantificação de incerteza

8. Considerações éticas
- Danos e vieses potenciais identificados
- Estratégias de mitigação implementadas
- Casos de uso sensíveis e fatores de risco

9. Advertências e recomendações
- Limitações e modos de falha conhecidos
- Recomendações para uso responsável
- Recomendações de monitoramento e manutenção

Our model: [provide details for each section based on your AI system]

Use this model card template for all AI systems to meet ISO 42001 documentation and transparency requirements.

Conduct a fairness assessment for [AI system name]:

System context:
- Tipo de decisão: [classificação, ranking, recomendação, previsão]
- Indivíduos impactados: [clientes, funcionários, solicitantes de empréstimo, estudantes, etc.]
- Atributos protegidos: [raça, gênero, idade, deficiência, etc. - conforme leis antidiscriminação aplicáveis]
- Danos potenciais: [negação de serviço, precificação injusta, discriminação, dano reputacional]

Fairness assessment methodology:

1. Identificar grupos protegidos
- Definir atributos sensíveis e grupos (ex.: gênero: masculino/feminino/não-binário; raça: categorias)
- Determinar se existem proxies para atributos protegidos nos dados (CEP → raça, nome → gênero)

2. Selecionar métricas de justiça (escolher apropriadas para o caso de uso)
- Paridade demográfica: Taxas iguais de resultados positivos entre grupos
- Igualdade de chances: Taxas iguais de verdadeiros positivos e falsos positivos entre grupos
- Paridade preditiva: Precisão igual (valor preditivo positivo) entre grupos
- Justiça individual: Indivíduos semelhantes recebem resultados semelhantes
- Calibração: Probabilidades previstas correspondem aos resultados reais entre grupos

3. Medir justiça
- Calcular métricas escolhidas para cada grupo protegido
- Comparar com limiares de justiça (ex.: regra dos 4/5 para impacto disparatado)
- Identificar disparidades e padrões de viés

4. Analisar causas raiz do viés
- Viés nos dados: Sub-representação, viés histórico, viés de medição nos dados de treinamento
- Viés algorítmico: Modelo se ajusta demais ao grupo majoritário, características correlacionadas com atributos protegidos
- Viés de implantação: Diferentes padrões de uso entre grupos

5. Estratégias de mitigação
- Pré-processamento: Reponderar dados de treinamento, remover viés dos dados, balancear conjuntos de dados
- Processamento: Algoritmos de treinamento cientes de justiça, debiasing adversarial, regularização
- Pós-processamento: Ajustar limiares de decisão por grupo, recalibrar previsões
- Estruturais: Remover ou mascarar atributos protegidos, usar restrições de justiça

6. Análise de compensações
- Compensações entre precisão e justiça (mitigar viés pode reduzir a precisão geral)
- Conflitos entre métricas de justiça (não é possível satisfazer todas as definições de justiça simultaneamente)
- Decisão sobre compensações aceitáveis com base em princípios éticos e requisitos legais

Document fairness assessment results, mitigation measures, and residual bias for ISO 42001 compliance and regulatory inquiries.

Our AI system: [describe system, decision context, and protected groups]

Test AI model robustness against adversarial attacks:

AI model: [name and type]
Attack surface: [inference API, model file, training pipeline]

Adversarial threat scenarios:

1. Ataques de evasão (no momento da inferência)
- Exemplos adversariais: Entradas cuidadosamente elaboradas que causam classificação incorreta
- Métodos de teste: Ataques FGSM, PGD, C&W
- Defesa: Treinamento adversarial, sanitização de entrada, robustez certificada

2. Ataques de envenenamento (durante o treinamento)
- Envenenamento de dados: Injeção de amostras maliciosas nos dados de treinamento
- Métodos de teste: Inversão de rótulos, injeção de backdoor
- Defesa: Validação de dados, detecção de anomalias, algoritmos de treinamento robustos

3. Extração/roubo de modelo
- Ataques de consulta para replicar modelo
- Métodos de teste: Roubo de modelo via consultas à API
- Defesa: Limitação de taxa de consultas, perturbação de saída, marca d'água

4. Inversão de modelo
- Reconstruir dados de treinamento a partir do modelo
- Métodos de teste: Inferência de associação, inferência de atributo
- Defesa: Privacidade diferencial, arredondamento de saída, restrições de consulta

5. Injeção de prompt (para LLMs/IA generativa)
- Prompts maliciosos para contornar filtros de segurança ou extrair informações sensíveis
- Métodos de teste: Prompts de jailbreaking, injeção indireta
- Defesa: Filtragem de prompts, guardrails de saída, moderação de conteúdo

Robustness testing procedure:
- Generate adversarial examples using attack libraries (Adversarial Robustness Toolbox, CleverHans, Foolbox)
- Measure model accuracy on adversarial inputs
- Assess transferability of attacks across models
- Document vulnerabilities and mitigation measures
- Integrate into CI/CD (automated adversarial testing)

Create robustness test suite and acceptance criteria: [e.g., model accuracy >X% on adversarial examples].

Address ISO 42001 control A.5.3 (robustness evaluation) and A.6.5 (security of AI system).

Implement continuous monitoring for AI systems per ISO 42001 control A.7.3:

AI system: [name]
Deployment: [production environment]

Monitoring dimensions:

1. Monitoramento de desempenho
- Acurácia, precisão, recall, pontuação F1 (vs. baseline)
- Latência e throughput de previsão
- Taxas e tipos de erro
- Feedback e correções dos usuários

2. Monitoramento de deriva de dados
- Mudanças na distribuição de entrada (desvio de covariável)
- Testes estatísticos: divergência KL, teste de Kolmogorov-Smirnov, índice de estabilidade populacional (PSI)
- Detecção de deriva de características
- Alertas quando a deriva excede limiares

3. Monitoramento de deriva de modelo (desvio de conceito)
- Degradação do desempenho do modelo ao longo do tempo
- Mudanças na distribuição da verdade fundamental
- Comparação de previsões vs. resultados reais
- Gatilhos para retreinamento do modelo

4. Monitoramento de justiça
- Métricas de justiça contínuas por grupo demográfico
- Monitoramento de impacto disparatado
- Alertas sobre degradação de justiça

5. Monitoramento de segurança e anomalias
- Entradas fora da distribuição (detecção OOD)
- Previsões anômalas (limiares de confiança, estimativas de incerteza)
- Saídas inseguras ou prejudiciais (moderação de conteúdo, classificadores de segurança)

6. Monitoramento de segurança
- Detecção de ataques adversariais
- Padrões de consulta incomuns (potencial extração de modelo)
- Controle de acesso e autenticação para APIs de modelo

7. Monitoramento de explicabilidade
- Rastrear explicações fornecidas aos usuários
- Monitorar previsões de baixa confiança que requerem revisão humana
- Deriva de importância de características

Monitoring implementation:
- Logging e telemetria (previsões, entradas, metadados)
- Dashboards e visualização (Grafana, dashboards personalizados)
- Regras e limiares de alerta
- Respostas automatizadas (disjuntores, fallback para modelo mais simples, escalonamento humano)
- Reuniões regulares de revisão (revisões semanais/mensais da saúde do modelo)

Create monitoring playbook: what to monitor, thresholds, alert recipients, response procedures.

Integration with incident management: AI-specific incidents (bias discovered, model drift, adversarial attack) → incident response procedure.

Develop an AI incident response procedure per ISO 42001 control A.8.1:

AI-specific incident types:

1. Incidentes de viés ou justiça
- Descoberta de resultados discriminatórios
- Grupo protegido prejudicado
- Impacto disparatado excede limiares

2. Degradação de desempenho do modelo
- Acurácia cai abaixo de nível aceitável
- Deriva de modelo detectada
- Erros sistemáticos em previsões

3. Incidentes de privacidade
- Vazamento de dados de treinamento
- Ataque de inversão de modelo ou inferência de associação
- Reidentificação de indivíduos

4. Incidentes de segurança
- Ataque adversarial bem-sucedido
- Roubo ou extração de modelo
- Envenenamento de dados detectado

5. Incidentes éticos ou reputacionais
- Uso indevido ou consequências não intencionais da IA
- Repercussão pública ou atenção da mídia
- Investigação regulatória

Incident response workflow:

1. Detecção e relato
- Detecção automatizada (alertas de monitoramento)
- Relatos de usuários (mecanismos de feedback, linhas diretas)
- Descoberta interna (auditorias, revisões, testes)

2. Avaliação inicial e triagem
- Classificação de gravidade (crítico/alto/médio/baixo)
- Escopo e usuários afetados
- Contenção imediata necessária? (desativar sistema de IA, reverter para processo manual)

3. Contenção e mitigação
- Desativar o sistema de IA, se necessário
- Reverter para versão anterior do modelo
- Implementar controles compensatórios temporários (revisão humana, filtragem de saída)

4. Investigação e análise de causa raiz
- Examinar dados de treinamento, comportamento do modelo, previsões
- Identificar fonte de viés, falha do modelo ou vetor de ataque
- Documentar descobertas

5. Remediação
- Retreinar modelo com dados corrigidos ou restrições de justiça
- Aplicar patches ou defesas
- Atualizar procedimentos para prevenir recorrência

6. Comunicação
- Notificar indivíduos afetados (transparência)
- Notificação regulatória, se exigido
- Comunicação interna (liderança, jurídico, RP)
- Divulgação pública (se apropriado)

7. Recuperação e lições aprendidas
- Reimplantar sistema de IA remediado
- Monitoramento aprimorado para recorrência
- Atualizar avaliações de risco e controles
- Revisão e documentação pós-incidente

Create incident response playbooks for each AI incident type with roles, timelines, and communication templates.

Ensure alignment with organizational incident management and ISO 42001 requirements.

Map our AI systems to EU AI Act requirements and align with ISO 42001:

AI system inventory: [list AI systems]

For each AI system, assess:

1. Classificação de risco do EU AI Act
- IA proibida: [categorização biométrica, pontuação social, manipulação prejudicial, raspagem indiscriminada] → Não deve ser implantada
- IA de alto risco: [triagem de CV, pontuação de crédito, aplicação da lei, infraestrutura crítica, dispositivos médicos, identificação biométrica, avaliação de educação/emprego, serviços essenciais] → Requisitos rigorosos
- Risco limitado: [Chatbots, deepfakes, reconhecimento de emoções] → Obrigações de transparência
- Risco mínimo: [jogos de IA, filtros de spam] → Códigos de conduta voluntários

2. Requisitos de IA de alto risco (se aplicável)
- Sistema de gestão de riscos: Seções 6, 8.1 da ISO 42001 → Avaliação e tratamento de riscos de IA
- Governança de dados: Controle A.3 da ISO 42001 → Qualidade dos dados de treinamento, mitigação de viés
- Documentação técnica: Controles A.2.2, A.4.5 da ISO 42001 → Documentação do sistema, cartões de modelo
- Manutenção de registros e logging: Controle A.7.1 da ISO 42001 → Logs automatizados para auditabilidade
- Transparência para usuários: Controles A.6.3, A.6.4 da ISO 42001 → Informações ao usuário, explicabilidade
- Supervisão humana: Controle A.6.7 da ISO 42001 → Mecanismos de humano-no-loop
- Precisão, robustez, cibersegurança: Controles A.5.x, A.6.5 da ISO 42001 → Testes e medidas de segurança

3. Requisitos de IA de propósito geral (GPAI)
- Se fornecemos modelos de base ou GPAI: Transparência, conformidade com direitos autorais, divulgação de consumo de energia
- Modelos de risco sistêmico (grande escala): Testes adversariais, relatório de incidentes graves, avaliação de modelo

4. Obrigações de transparência (toda IA)
- Informar usuários quando interagem com IA (Artigo 52 do EU AI Act)
- Rotulagem de deepfake
- Divulgação de reconhecimento de emoções ou categorização biométrica

Create compliance mapping table: AI system | AI Act classification | Applicable requirements | ISO 42001 controls addressing | Compliance status | Gaps

Develop AI Act compliance roadmap aligned with ISO 42001 implementation.

Note: EU AI Act enforcement begins phased in 2024-2026. Track implementation timelines for your AI systems.