Perspectivas internacionais para SOC e confiança na era da IA

A inteligência artificial deixou de ser uma discussão restrita às áreas de tecnologia. À medida que passa a influenciar processos, serviços, decisões e modelos de negócio, cresce também uma nova expectativa por parte de clientes, investidores, reguladores e parceiros: a capacidade das organizações de demonstrar que utilizam essa tecnologia de forma segura, controlada e transparente. 

Nesse cenário, a confiança digital assume um papel central. Não se trata apenas de adotar ferramentas de IA ou acelerar a transformação digital, mas de demonstrar que existem mecanismos de governança capazes de controlar riscos, proteger informações e sustentar decisões relevantes para o negócio. 

A questão deixou de ser se a organização utiliza inteligência artificial. A pergunta agora é outra: como ela comprova que possui controles adequados para governar seu uso? 

O gap entre adoção e governança 

A utilização da inteligência artificial já é uma realidade consolidada nas organizações. O desafio passa a ser a maturidade dos mecanismos utilizados para governá-la. 

Dados das pesquisas Cyber & Risk Survey e AI Impact Survey da Grant Thornton, apresentados durante o encontro SOC na Era da IA: O Novo Pilar da Confiança Digital, mostram que 57% das organizações apontam a governança e o uso da IA como uma das principais fontes de risco ou de escrutínio regulatório futuro. Ao mesmo tempo, apenas 26% dos líderes de tecnologia afirmam possuir uma governança de IA avançada e integrada, baseada em monitoramento de dados.​‌ 

Outro dado chama atenção: 78% das organizações não acreditam que conseguiriam passar por uma auditoria independente de governança de IA nos próximos 90 dias. 

Esses números reforçam uma realidade importante. A adoção da tecnologia avança rapidamente, mas a capacidade de demonstrar controles, responsabilidades e evidências ainda representa um desafio para muitas empresas. 

A confiança precisa ser demonstrada 

Historicamente, organizações demonstravam maturidade por meio de certificações, avaliações de conformidade e mecanismos de controle interno. 

Com a evolução da inteligência artificial, esse processo ganha uma nova dimensão. 

Hoje, investidores, clientes e reguladores querem entender não apenas quais tecnologias são utilizadas, mas também como essas tecnologias são supervisionadas, monitoradas e controladas ao longo do tempo. 

Nesse contexto, relatórios SOC e certificações ISO tornam-se instrumentos relevantes para demonstrar confiança ao mercado. 

Mais do que preencher questionários ou declarar que determinados controles existem, as organizações passam a ser demandadas a apresentar evidências independentes de que seus ambientes de controle funcionam efetivamente. 

O papel dos relatórios SOC 

Os relatórios SOC (System and Organization Controls) figuram entre os principais mecanismos utilizados para demonstrar a efetividade do ambiente de controle interno. 

O SOC 1 é normalmente aplicado em situações nas quais os serviços prestados pela organização podem impactar processos relacionados às demonstrações financeiras dos clientes. 

Já o SOC 2 está voltado aos critérios de confiança estabelecidos pelo AICPA, abrangendo aspectos como segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade. 

Uma característica importante desses relatórios é a avaliação da efetividade operacional dos controles. 

Enquanto um relatório Tipo 1 verifica se os controles foram adequadamente desenhados e implementados em uma data específica, o relatório Tipo 2 busca demonstrar como esses controles operaram ao longo de um período de tempo. 

Essa diferença ganha ainda mais relevância em ambientes que utilizam inteligência artificial, nos quais o mercado passa a exigir evidências consistentes de monitoramento e supervisão. 

SOC e ISO: abordagens complementares 

Durante as discussões do encontro, ficou evidente que relatórios SOC e certificações ISO não devem ser encarados como iniciativas concorrentes. 

Pelo contrário. Eles exercem funções complementares dentro da construção da confiança digital. Entre as certificações mais relevantes nesse contexto destacam-se:

• ISO 27001, voltada para sistemas de gestão da segurança da informação; 
• ISO 27701, relacionada à gestão da privacidade e proteção de dados; 
• ISO 42001, direcionada à governança de inteligência artificial. 

Enquanto as certificações ISO demonstram que a organização implementou sistemas estruturados de gestão, os relatórios SOC fornecem evidências detalhadas sobre a efetividade dos controles estabelecidos. 

Brittany Barbosa, líder da prática de Strategic Assurance and SOC Services da Grant Thornton US, reforçou que certificações ISO não substituem relatórios SOC, assim como relatórios SOC não substituem certificações ISO. Segundo ela, a combinação dessas iniciativas tende a oferecer ao mercado um nível mais robusto de credibilidade e confiança. 

Como a IA está mudando os processos de asseguração 

A inteligência artificial também começa a influenciar diretamente os próprios critérios de asseguração. No painel internacional, uma das atualizações discutidas foi a proposta de revisão dos critérios do SOC 2 pelo AICPA, incorporando explicitamente riscos relacionados ao uso da IA, tecnologias emergentes e novos desafios associados à governança digital. 

A proposta amplia a atenção sobre temas como:

• Governança de IA; 
• Inventário de soluções e agentes de IA utilizados pela organização; 
• Governança de dados; 
• Supervisão humana dos resultados; 
• Gestão de mudanças; 
• Controle de acessos; 
• Monitoramento contínuo; 
• Utilização de modelos e componentes de terceiros. 

Segundo Brittany Barbosa, uma das mudanças mais relevantes está relacionada à necessidade de demonstrar supervisão humana efetiva. Não basta afirmar que uma pessoa revisa os resultados produzidos pela tecnologia. Será necessário demonstrar evidências de que essa revisão ocorre e faz parte do processo operacional. 

Outro aspecto destacado foi a crescente relevância da gestão de acessos e do gerenciamento de mudanças em ambientes suportados por IA, especialmente quando modelos, prompts, fontes de dados e agentes podem ser alterados ao longo do tempo. 

Uma nova arquitetura para a confiança digital 

Ao longo das discussões, ficou evidente que a confiança digital depende de diferentes elementos atuando de forma integrada. 

Entre eles destacam-se:

• Transparência, especialmente sobre o uso de dados e inteligência artificial. 
• Evidências independentes, capazes de demonstrar que os controles existem e operam de forma efetiva. 
• Controles, relacionados à segurança, privacidade, monitoramento e gestão de riscos. 
• Governança, responsável por definir papéis, responsabilidades, políticas, critérios de decisão e mecanismos de supervisão. 

A combinação dessas camadas permite que organizações demonstrem ao mercado, de maneira objetiva, a robustez de seus ambientes de controle. 

Confiança digital como diferencial competitivo 

A inteligência artificial continuará ampliando seu espaço nas organizações e transformando processos, produtos e modelos de negócio. 

Nesse cenário, o diferencial não estará apenas na capacidade de adotar novas tecnologias, mas na capacidade de demonstrar que elas são utilizadas dentro de um ambiente controlado, transparente e confiável. 

Relatórios SOC, certificações ISO e estruturas robustas de governança passam a desempenhar um papel importante nessa jornada. Mais do que iniciativas de conformidade, tornam-se instrumentos capazes de fortalecer credibilidade, apoiar o acesso a mercados e responder às expectativas crescentes de clientes, investidores e reguladores. 

Na era da IA, a confiança não pode ser presumida. Ela precisa ser demonstrada por meio de governança, controles, evidências independentes e transparência.