GTI — Governança de TI

Autoridade transversal: a GTI governa todos os demais pontos de vista. Toda decisão arquitetural significativa deve ter um ADR registrado aqui.

Responsável por assegurar controle institucional sobre papeis, decisões, mudanças, riscos, conformidade, versionamento, auditoria, documentação, evidências e uso de inteligência artificial no ciclo de vida da solução.

---

Regras obrigatórias

• Papeis formalmente definidos: alta gestão, gestão de negócio, gestão técnica, arquitetura, segurança, dados, privacidade, operação, validação humana e supervisão de IA.
• Toda decisão relevante formalizada, versionada e com evidência mínima correspondente.
• Governança específica para uso de IA: engines permitidas, agentes autorizados, contextos, níveis de autonomia, critérios de validação cruzada e pontos de intervenção humana obrigatória.

Alertas e notificações de governança

Os eventos de governança geram notificações classificadas por tipo e severidade: informativo (INFO), orientação (TIP) e alerta de conformidade (WARNING).

---

Domínios de Autoridade

O modelo de autoridade do SinergIA é estruturado em três domínios hierárquicos, cada um com responsabilidades, limites e critérios de escalamento distintos:

---

Estrutura Institucional de Governança de IA

Quando um órgão adota o SinergIA, o framework prescreve duas instâncias complementares e com papeis distintos para a governança de IA:

CGTI — Coordenação-Geral de TI

Instância operacional. Estrutura permanente do órgão com capacidade de execução, orçamento e agenda próprios.

• Letramento e capacitação de equipes em IA
• Organização de workshops, hackathons e eventos de adoção
• Mapeamento das soluções de IA em uso no órgão
• Produção e manutenção de IDRs
• Monitoramento contínuo de soluções de IA em operação
• Execução da política de gestão de riscos definida na GTI

GT-IA — Grupo de Trabalho de IA

Instância consultiva. Heterogênea, com pauta restrita. Não executa — opina, valida e delibera sobre questões encaminhadas pela CGTI ou CGD.

• Opina sobre taxonomias de risco e diretrizes de uso de IA
• Valida classificações de risco ético (AIE)
• Recomenda ao CGD padrões, restrições e ajustes de política
• Delibera sobre casos de risco alto ou excessivo
• Subsidia o CGD com recomendações técnicas

Separação obrigatória de papeis

Um GT-IA que acumula funções operacionais perde a independência para opinar. O risco clássico — e a ser evitado — é o grupo virar fórum de reuniões e documentos sem disciplina de decisão, monitoramento e enforcement.

O GT-IA não:

• Organiza eventos de capacitação
• Produz mapeamentos operacionais
• Monitora soluções em produção
• Executa atividades com orçamento próprio

Acionamento: a CGTI aciona o GT-IA quando necessita de opinião formal antes de publicar uma diretriz, classificar um risco ou encaminhar uma recomendação ao CGD. O GT-IA não tem agenda operacional autônoma — reage a demandas formais com pauta curta e decisões registradas em ata objetiva.

---

Papeis de supervisão humana

Papel	Foco de atuação	Como a IA auxilia
Validador Técnico	Segurança, arquitetura, aderência à INF (Infraestrutura)	Relatório de impacto técnico e análise de risco gerados por IA
Validador de Negócio (Demandante)	Usabilidade, regras de negócio, PRO (Prototipação)	Simulação de cenários e demonstração de jornadas via protótipo
Encarregado de Dados / Privacidade	PDP (Proteção de Dados Pessoais), linhagem de dados, minimização	Mapa de linhagem e verificação de minimização gerados por IA

---

Tipos de uso de IA — Separação obrigatória

Antes de calibrar o nível de autonomia, a GTI deve classificar qual tipo de uso de IA está em questão. Essa separação é obrigatória porque os requisitos de supervisão, contestação e evidência são diferentes para cada tipo:

Tipo	Descrição	Quem decide	Nível de autonomia
Apoio analítico	IA processa dados e apresenta informações estruturadas para análise humana — sem recomendação direta	Humano, integralmente	Nível 1
Recomendação	IA sugere uma ação ou decisão; humano aceita, modifica ou rejeita com liberdade real	Humano, com suporte	Nível 1–2
Automação decisória	IA executa decisões dentro de regras pré-aprovadas; humano supervisiona e pode intervir antes do impacto	IA, com supervisão	Nível 2–3
Decisão administrativa	IA gera subsídio para ato administrativo que afeta direitos de cidadãos ou servidores — humano assina e responde legalmente	Humano, obrigatoriamente	Nível 3 exclusivo

Decisão administrativa nunca é autônoma

Qualquer ato administrativo que afete direitos — concessão, negação, restrição, penalidade — exige assinatura humana com responsabilização nominal. A IA pode subsidiar, nunca decidir. Uso de IA em nível de autonomia 1 ou 2 neste tipo é Risco Excessivo.

Origem conceitual

A separação entre apoio analítico, recomendação, automação decisória e decisão administrativa segue a estrutura de níveis de autonomia do NIST AI RMF — GOVERN 1.2 (2023), adaptada ao contexto do setor público brasileiro.

---

Níveis de autonomia escalonada

Os níveis abaixo são definidos pela GTI e aplicados transversalmente a todos os PVs. O escalonamento é acionado automaticamente quando o domínio, a criticidade ou o conteúdo da tarefa ultrapassam o limiar do nível corrente.

Nível	Impacto	Execução	Validação	Aprovação humana
1 — Rotineiro	Baixo	IA executa	IA valida	Humano por amostragem
2 — Relevante	Médio	IA executa	IA valida	Humano antes do deploy
3 — Crítico	Alto — segurança, dados pessoais, PDP	IA propõe	Humano revisa linha a linha	IA valida implementação

---

Linter de Governança

Mecanismo automatizado que verifica, antes de qualquer revisão humana, se um artefato possui todos os vínculos obrigatórios, metadados e evidências mínimas.

Bloqueio de fase

O Linter bloqueia o avanço de fase quando artefatos obrigatórios estiverem ausentes ou incompletos. Parte integrante do Artefato Orquestrador descrito em Convenções, Ciclo e Governança.

---

Gestão de custo e capacidade de IA

A GTI (Governança de TI) deverá manter políticas de:

• critérios para acionar a segunda engine de validação cruzada (apenas nos casos com divergência obrigatória definida);
• controle e monitoramento de consumo de tokens por projeto e engine;
• retenção de histórico de inferências para auditoria;
• avaliação periódica da relação custo-benefício das engines.

---

Evolução e obsolescência do framework

O framework deverá possuir política explícita de evolução:

• revisão obrigatória a cada 12 meses;
• responsável designado pela GTI (Governança de TI);
• critérios de atualização definidos;
• versionamento do próprio framework.

---

Evidências da GTI

• evidência de papeis formalmente definidos e atribuídos;
• evidência de decisões relevantes formalizadas;
• evidência de análise de impacto em mudanças;
• evidência de governança de uso de IA;
• evidência de execução de revisão periódica do framework.

---

Alinhamento com o Ecossistema Gov.BR de IA

A GTI é responsável por garantir que o projeto de IA esteja alinhado com os instrumentos oficiais do Governo Digital para governança ética e institucional de IA:

Framework AIE — Autoavaliação de Impacto Ético

O Framework AIE (SGD/MGI) é o instrumento consultivo oficial para avaliação de impacto ético de sistemas de IA no setor público federal. A GTI deve:

• Classificar o projeto conforme os 4 níveis de risco ético do AIE (Baixo / Médio / Alto / Excessivo)
• Aplicar o questionário AIE obrigatoriamente em projetos de risco médio, alto ou excessivo
• Registrar o resultado no artefato GTI-AIE-0001--autoavaliacao-impacto-etico.md
• Interromper imediatamente projetos que acionem Gatilhos de Risco Excessivo

Autodiagnóstico Anual SGD/MGI

A SGD/MGI realiza anualmente um autodiagnóstico de governança de TI e IA nos órgãos do Poder Executivo Federal. O resultado desse diagnóstico deve ser utilizado como insumo para a revisão periódica anual do framework, especialmente para atualização do RRM e calibração dos níveis de autonomia.

Ética e Impacto Social Mapeamento AIE × SinergIA, gatilhos de risco excessivo e autoavaliação do framework.

Riscos e Limitações Registro completo de riscos tecnológicos, de governança, de adoção e do próprio framework.

---

Política de Gestão de Riscos

A GTI é responsável por manter o Registro de Riscos do Framework (RRM) — um artefato vivo que mapeia riscos tecnológicos, de governança, de adoção e os riscos do próprio framework, com controles mitigatórios e responsáveis designados.

Risco de burocracia excessiva

O próprio framework pode se tornar uma fonte de risco quando mal dimensionado. O volume de artefatos, evidências e checkpoints deve ser sempre proporcional à criticidade real do projeto — nunca uma finalidade em si mesma.

Ver lista completa de Riscos e Limitações Riscos tecnológicos, de governança, de adoção, éticos e do próprio framework — com controles mitigatórios.

---

Documentos estruturantes

Sigla	Nome	Origem conceitual
ADR	Architecture Decision Record	TOGAF — Architecture Decision (adaptado)
RFC	Request for Comments	Padrão IETF — processo de proposta e revisão
RDM	Roadmap	—
RRM	Risk Register of the Model (Registro de Riscos do Framework)	NIST AI RMF — MANAGE 1.0
AIE	Autoavaliação de Impacto Ético (GTI-AIE-0001)	Framework AIE Gov.BR — SGD/MGI

---

← IMP — Implementação · GDA — Governança de Dados →