Checklist de shadow AI em 14 dias

Copie o roteiro e use-o na ferramenta de IA que a sua empresa homologou para dados corporativos. A IA organiza a evidência campo a campo, e a decisão continua com você. Não cole dados da empresa em ferramenta de IA pessoal ou pública: o Capítulo 3 do livro trata desse risco. Este site não envia nem recebe o que você copia.

Você vai me ajudar a preencher o TPL-03, Checklist de shadow AI em 14 dias, do livro Decidir na Era da IA, de Alexandre Pereira.

Seu papel é organizar, campo a campo, a evidência que eu fornecer. Quem decide sou eu.

Regras:
1. Use somente o que eu colar ou anexar nesta conversa. Não invente números, nomes, datas, fontes ou responsáveis, nem estime ou projete valores que a evidência não traga.
2. Em cada campo, indique de onde veio a resposta (documento, trecho ou pessoa).
3. Se não houver evidência para um campo, escreva "Sem evidência" e diga o que falta para preenchê-lo. Respostas previstas no instrumento para ausência de dado (como "não calculado" ou "não definida") são minhas: não as escreva.
4. Nos campos com opções, mostre o que a evidência indica para cada opção e deixe a escolha para mim.
5. Deixe em branco os campos que registram a decisão, a aprovação, as condições ou o aprovador. Ao lado, cite apenas a evidência que se refere a eles, sem propor conteúdo.
6. Não aplique por mim as regras de fechamento nem as consequências indicadas nas orientações dos campos: mostre o que a evidência indica para cada uma e deixe a conclusão em aberto.
7. No fim, liste, campo a campo, as lacunas de evidência.

Como usar o instrumento:
- Execute as etapas no intervalo de dias indicado e registre a conclusão, a data, a evidência e o responsável.
- O objetivo é saber o que existe e onde estão os riscos não governados.
- Use a redução mensurável do uso não sancionado e de dados sensíveis em ferramentas não corporativas como critério de sucesso.

Campos:

Dias 1 a 5: Inventário mínimo
Responsável: CISO. Fontes: telemetria de rede e endpoint (DLP, CASB, proxy); levantamento direto com líderes de área; e revisão de contratos e faturas, inclusive compras departamentais que passam pelo financeiro, mas não por TI.
- Ferramenta
- Área
- Volume estimado de uso
  Opções: Alto / Médio / Baixo
- Tipo de dado envolvido
  Opções: Sensível / Não sensível / Desconhecido
- Status
  Opções: Homologada / Não homologada / Desconhecida
- Concluído?
  Opções: Sim / Não
- Data
- Evidência
- Responsável

Dias 3 a 7: Classificação de risco
Responsáveis: CISO e jurídico. Classificar cada ferramenta por contrato, controles de dados, termos de serviço, residência de dados e compatibilidade com LGPD/GDPR.
- Classificação
  Opções: Liberada / Restrita / Proibida
- Justificativa e evidência
  Orientação: Liberada: contrato avaliado e controles de dados ativos. Restrita: permitida para dados não sensíveis, mediante orientação. Proibida: não atende confidencialidade, retenção ou compliance.
- Dados usados para treinamento?
- Onde operam os servidores?
- Concluído?
  Opções: Sim / Não
- Data
- CISO responsável
- Responsável jurídico

Dias 5 a 10: Política mínima
Responsável: CIO. Diretriz operacional de no máximo duas páginas, com o que é permitido, o que é proibido e como solicitar exceção com resposta em 48 horas.
- O que é permitido
  Orientação: Categorias e ferramentas liberadas.
- O que é proibido
  Orientação: Inclui inserção de dados confidenciais, pessoais ou proprietários em ferramentas públicas não corporativas.
- Como solicitar exceção
  Orientação: Trilha formal com resposta em 48 horas.
- Dono da política
  Orientação: CIO.
- Aprovação executiva
  Orientação: CEO ou sponsor.
- Data de revisão
  Orientação: Trimestral.
- Concluído?
  Opções: Sim / Não
- Data de publicação
- Evidência

Dias 7 a 12: Trilha de exceção operacional
Responsável: CIO, com execução pelo Head de IA ou equivalente. Criar canal simples: formulário, e-mail ou ticket ITSM.
- Canal de solicitação
  Opções: Formulário / E-mail / Ticket ITSM
- Descrição ou endereço do canal
- Taxa de solicitações
- Taxa de uso não sancionado
- Concluído?
  Opções: Sim / Não
- Data
- Evidência de teste
- CIO responsável
- Executor (Head de IA ou equivalente)

Dias 10 a 14: Comunicação e monitoramento
Responsável pela comunicação: CEO. Responsável pelo monitoramento: CISO. O CEO comunica a diretriz como regra de negócio, não como restrição técnica; o CISO monitora telemetria e reporta mensalmente ao CIO.
- Ferramentas de IA detectadas
  Orientação: Homologadas e não homologadas.
- Volume de dados em ferramentas não corporativas
- Solicitações de exceção recebidas
- Incidentes de dados sensíveis em ferramentas proibidas
- Concluído?
  Opções: Sim / Não
- Data
- Evidência da comunicação e relatório baseline
- CEO responsável
- CISO responsável

Regras para fechar a decisão (eu aplico):
- A entrega da primeira etapa é uma lista com ferramenta, área, volume estimado, tipo de dado e status.
- A entrega da segunda etapa é o inventário classificado.
- A entrega da terceira etapa é a política publicada.
- A entrega da quarta etapa é o canal ativo e testado.
- A entrega da quinta etapa é a comunicação realizada e o relatório baseline gerado.
- Se solicitações são poucas e uso não sancionado é alto, a trilha de exceção não está funcionando.
- A métrica não é zero shadow AI; é redução mensurável do uso não sancionado e do volume de dados sensíveis em ferramentas não corporativas.

Responda na mesma estrutura, campo a campo.

Minha evidência:
[cole aqui o texto ou anexe os documentos]