O que é um diagnóstico de IA e o que ele entrega

Um diagnóstico de IA é um levantamento feito antes de comprar ferramenta ou contratar projeto: ele olha como o trabalho acontece hoje e diz em quais tarefas a IA cabe, com que regra e com que risco. O que ele entrega é uma decisão escrita: por onde começar, o que fica de fora por enquanto e como saber, depois, se funcionou.

A VALK não achou lei, norma ou guia oficial no Brasil que defina "diagnóstico de IA". Por isso, a descrição deste artigo é a da VALK, e o método de referência é o do NIST, o instituto de padrões do governo dos Estados Unidos, que publicou em janeiro de 2023 um guia para lidar com os riscos de sistemas de IA.

Por que fazer um antes de começar

O Cetic.br, centro de estudos ligado ao NIC.br, pesquisa o uso de tecnologia nas empresas brasileiras. Segundo a pesquisa TIC Empresas 2025, do Cetic.br, 17% das empresas brasileiras com 10 ou mais pessoas empregadas usaram algum tipo de IA em 2025, contra 13% em 2023 e em 2024. Ou seja, a maior parte delas ainda não usa.

E quem usa costuma comprar pronto. Na edição de 2024 da mesma pesquisa, 76% das empresas que usaram IA adquiriram soluções prontas para uso, e 56% contrataram fornecedores de fora para modificar ou desenvolver sistemas de IA.

Comprar pronto pode ser a escolha certa. O risco está em comprar antes de saber para qual tarefa, porque aí a ferramenta passa a decidir o uso. O diagnóstico existe para pôr a ordem certa: primeiro a tarefa, depois a ferramenta.

O que um diagnóstico de IA olha

O guia do NIST se chama AI Risk Management Framework, ou estrutura de gestão de risco de IA. Uma das etapas dele se chama MAP, que quer dizer mapear: entender o contexto antes de decidir. É a referência que a VALK usa para montar um diagnóstico, e dela saem cinco perguntas.

1. Para que serve. Qual tarefa a IA vai apoiar, quem vai usar e em que situação. O NIST pede que o propósito e o contexto de uso fiquem documentados.
2. Quanto vale para o negócio. O que muda se a tarefa ficar mais rápida ou mais consistente. Sem essa resposta, não há como comparar o antes com o depois.
3. Quanto risco a empresa aceita. O NIST chama isso de tolerância a risco e pede que ela seja escrita. Um erro num rascunho interno pesa menos que um erro numa resposta enviada ao cliente.
4. Quanto custa o erro e quem confere. O guia pede examinar o custo dos erros da IA, inclusive o que não é dinheiro, e definir como as pessoas supervisionam o que a ferramenta produz.
5. O que vem de fora. Ferramenta, dado e software de terceiros também entram no mapa, com os riscos de cada um.

Os dados de pessoas entram no diagnóstico

Quando a tarefa usa dado de pessoas, a LGPD, a Lei Geral de Proteção de Dados (Lei 13.709/2018), entra no diagnóstico. A lei chama de dado pessoal a informação ligada a uma pessoa identificada ou identificável, como um cliente ou um funcionário, e chama de tratamento toda operação feita com esse dado, inclusive usar, acessar, processar e transmitir. Três pontos dela pesam no diagnóstico.

• Finalidade e necessidade. O art. 6º da lei pede que o dado seja tratado para um propósito específico e informado à pessoa, e só no mínimo necessário. Na prática, o diagnóstico anota que dado cada tarefa usa e se dá para usar menos.
• Relatório de impacto. A lei define o relatório de impacto à proteção de dados pessoais (art. 5º, XVII) como o documento que descreve os usos de dado que podem gerar risco aos direitos das pessoas, com as medidas para reduzir esse risco. Pelo art. 38, a ANPD, a autoridade nacional de proteção de dados, pode exigir esse relatório do controlador, que a lei define como quem toma as decisões sobre o tratamento dos dados. Um diagnóstico bem feito já reúne parte do material de que esse relatório precisaria.
• Decisão automática. O art. 20 dá à pessoa o direito de pedir que um ser humano revise uma decisão tomada só por sistema automatizado, com dados dela, quando essa decisão afeta seus interesses. Se a ideia é usar IA para aprovar, recusar ou classificar pessoas, o diagnóstico precisa prever essa revisão.

O diagnóstico não substitui a orientação jurídica da empresa. Ele levanta os fatos de que quem cuida disso vai precisar para decidir.

O que ele entrega no fim

Um diagnóstico serve quando termina em decisão, e não em apresentação. O NIST diz que, depois da etapa de mapear, a organização deve ter informação suficiente para decidir se segue ou não segue com aquele uso de IA. A resposta pode ser não, e isso também é resultado.

Para a VALK, a entrega mínima tem cinco partes:

• A lista das tarefas avaliadas, cada uma com o motivo de entrar agora ou ficar para depois.
• A primeira tarefa escolhida, com quem usa, que ferramenta e que dado entra.
• O critério de sucesso, escrito antes do teste. A documentação da Anthropic para o Claude diz que um projeto com IA começa por definir os critérios de sucesso e como medi-los, e que bons critérios são específicos, mensuráveis, alcançáveis e relevantes. "Atender melhor o cliente" não serve como critério. "Responder ao cliente em até um dia útil, com revisão de alguém da equipe" serve.
• A regra de uso: que dado pode entrar na ferramenta, quem confere o que ela produz e o que nunca se faz.
• Os riscos anotados, inclusive os de dado pessoal, com a medida para cada um.

O que um diagnóstico não é

• Lista de ferramentas. A lista responde o que existe no mercado. O diagnóstico responde o que serve para aquela empresa, naquela tarefa.
• Promessa de ganho. Percentual de economia anunciado antes de qualquer teste é chute. O número confiável sai do teste, comparado com o antes.
• Projeto grande. A Anthropic recomenda achar a solução mais simples possível e só aumentar a complexidade quando for preciso. A primeira tarefa pode se resolver com um assistente de IA que a equipe já usa e uma regra bem escrita, sem sistema novo.
• Documento para sempre. O próprio NIST chama o guia de documento vivo e prevê revisá-lo até 2028. Ferramenta, preço e lei mudam, então vale refazer o mapa quando a tarefa, a ferramenta ou a regra mudar.

Dá para fazer sozinho?

Dá, se alguém na empresa tiver tempo para conversar com quem faz o trabalho, anotar o processo como ele acontece de verdade e escrever as cinco partes acima. O ponto difícil é separar a tarefa que se repete e que alguém já confere daquela que parece boa, mas onde um erro passaria sem ninguém ver.

Depois do diagnóstico, o passo seguinte é o teste com poucas pessoas, descrito em Por onde começar a usar IA na empresa.