{
  "id": "TPL-03",
  "title": "Checklist de shadow AI em 14 dias",
  "summary": "Plano mínimo de quatorze dias para sair de risco desconhecido para risco mapeado; não substitui um programa completo de governança.",
  "url": "https://decidirnaeradaia.com.br/TPL-03/",
  "book": {
    "title": "Decidir na Era da IA",
    "author": "Alexandre Pereira",
    "publisher": "EV Publicações",
    "chapter": "Capítulo 3"
  },
  "materials": {
    "version": "1.3",
    "date": "2026-10-27"
  },
  "format": "form",
  "instructions": [
    "Execute as etapas no intervalo de dias indicado e registre a conclusão, a data, a evidência e o responsável.",
    "O objetivo é saber o que existe e onde estão os riscos não governados.",
    "Use a redução mensurável do uso não sancionado e de dados sensíveis em ferramentas não corporativas como critério de sucesso."
  ],
  "rules": [
    "A entrega da primeira etapa é uma lista com ferramenta, área, volume estimado, tipo de dado e status.",
    "A entrega da segunda etapa é o inventário classificado.",
    "A entrega da terceira etapa é a política publicada.",
    "A entrega da quarta etapa é o canal ativo e testado.",
    "A entrega da quinta etapa é a comunicação realizada e o relatório baseline gerado.",
    "Se solicitações são poucas e uso não sancionado é alto, a trilha de exceção não está funcionando.",
    "A métrica não é zero shadow AI; é redução mensurável do uso não sancionado e do volume de dados sensíveis em ferramentas não corporativas."
  ],
  "sections": [
    {
      "title": "Dias 1 a 5: Inventário mínimo",
      "description": "Responsável: CISO. Fontes: telemetria de rede e endpoint (DLP, CASB, proxy); levantamento direto com líderes de área; e revisão de contratos e faturas, inclusive compras departamentais que passam pelo financeiro, mas não por TI.",
      "fields": [
        {
          "label": "Ferramenta",
          "type": "text"
        },
        {
          "label": "Área",
          "type": "text"
        },
        {
          "label": "Volume estimado de uso",
          "type": "choice",
          "options": [
            "Alto",
            "Médio",
            "Baixo"
          ]
        },
        {
          "label": "Tipo de dado envolvido",
          "type": "choice",
          "options": [
            "Sensível",
            "Não sensível",
            "Desconhecido"
          ]
        },
        {
          "label": "Status",
          "type": "choice",
          "options": [
            "Homologada",
            "Não homologada",
            "Desconhecida"
          ]
        },
        {
          "label": "Concluído?",
          "type": "choice",
          "options": [
            "Sim",
            "Não"
          ]
        },
        {
          "label": "Data",
          "type": "date"
        },
        {
          "label": "Evidência",
          "type": "longtext"
        },
        {
          "label": "Responsável",
          "type": "text"
        }
      ]
    },
    {
      "title": "Dias 3 a 7: Classificação de risco",
      "description": "Responsáveis: CISO e jurídico. Classificar cada ferramenta por contrato, controles de dados, termos de serviço, residência de dados e compatibilidade com LGPD/GDPR.",
      "fields": [
        {
          "label": "Classificação",
          "type": "choice",
          "options": [
            "Liberada",
            "Restrita",
            "Proibida"
          ]
        },
        {
          "label": "Justificativa e evidência",
          "type": "longtext",
          "help": "Liberada: contrato avaliado e controles de dados ativos. Restrita: permitida para dados não sensíveis, mediante orientação. Proibida: não atende confidencialidade, retenção ou compliance."
        },
        {
          "label": "Dados usados para treinamento?",
          "type": "text"
        },
        {
          "label": "Onde operam os servidores?",
          "type": "text"
        },
        {
          "label": "Concluído?",
          "type": "choice",
          "options": [
            "Sim",
            "Não"
          ]
        },
        {
          "label": "Data",
          "type": "date"
        },
        {
          "label": "CISO responsável",
          "type": "text"
        },
        {
          "label": "Responsável jurídico",
          "type": "text"
        }
      ]
    },
    {
      "title": "Dias 5 a 10: Política mínima",
      "description": "Responsável: CIO. Diretriz operacional de no máximo duas páginas, com o que é permitido, o que é proibido e como solicitar exceção com resposta em 48 horas.",
      "fields": [
        {
          "label": "O que é permitido",
          "type": "longtext",
          "help": "Categorias e ferramentas liberadas."
        },
        {
          "label": "O que é proibido",
          "type": "longtext",
          "help": "Inclui inserção de dados confidenciais, pessoais ou proprietários em ferramentas públicas não corporativas."
        },
        {
          "label": "Como solicitar exceção",
          "type": "longtext",
          "help": "Trilha formal com resposta em 48 horas."
        },
        {
          "label": "Dono da política",
          "type": "text",
          "help": "CIO."
        },
        {
          "label": "Aprovação executiva",
          "type": "text",
          "help": "CEO ou sponsor."
        },
        {
          "label": "Data de revisão",
          "type": "date",
          "help": "Trimestral."
        },
        {
          "label": "Concluído?",
          "type": "choice",
          "options": [
            "Sim",
            "Não"
          ]
        },
        {
          "label": "Data de publicação",
          "type": "date"
        },
        {
          "label": "Evidência",
          "type": "longtext"
        }
      ]
    },
    {
      "title": "Dias 7 a 12: Trilha de exceção operacional",
      "description": "Responsável: CIO, com execução pelo Head de IA ou equivalente. Criar canal simples: formulário, e-mail ou ticket ITSM.",
      "fields": [
        {
          "label": "Canal de solicitação",
          "type": "choice",
          "options": [
            "Formulário",
            "E-mail",
            "Ticket ITSM"
          ]
        },
        {
          "label": "Descrição ou endereço do canal",
          "type": "text"
        },
        {
          "label": "Taxa de solicitações",
          "type": "number"
        },
        {
          "label": "Taxa de uso não sancionado",
          "type": "number"
        },
        {
          "label": "Concluído?",
          "type": "choice",
          "options": [
            "Sim",
            "Não"
          ]
        },
        {
          "label": "Data",
          "type": "date"
        },
        {
          "label": "Evidência de teste",
          "type": "longtext"
        },
        {
          "label": "CIO responsável",
          "type": "text"
        },
        {
          "label": "Executor (Head de IA ou equivalente)",
          "type": "text"
        }
      ]
    },
    {
      "title": "Dias 10 a 14: Comunicação e monitoramento",
      "description": "Responsável pela comunicação: CEO. Responsável pelo monitoramento: CISO. O CEO comunica a diretriz como regra de negócio, não como restrição técnica; o CISO monitora telemetria e reporta mensalmente ao CIO.",
      "fields": [
        {
          "label": "Ferramentas de IA detectadas",
          "type": "number",
          "help": "Homologadas e não homologadas."
        },
        {
          "label": "Volume de dados em ferramentas não corporativas",
          "type": "text"
        },
        {
          "label": "Solicitações de exceção recebidas",
          "type": "number"
        },
        {
          "label": "Incidentes de dados sensíveis em ferramentas proibidas",
          "type": "number"
        },
        {
          "label": "Concluído?",
          "type": "choice",
          "options": [
            "Sim",
            "Não"
          ]
        },
        {
          "label": "Data",
          "type": "date"
        },
        {
          "label": "Evidência da comunicação e relatório baseline",
          "type": "longtext"
        },
        {
          "label": "CEO responsável",
          "type": "text"
        },
        {
          "label": "CISO responsável",
          "type": "text"
        }
      ]
    }
  ]
}