Skip to main content

Tradução automática: ainda não revista por um tradutor profissional. (Machine translation — not yet professionally reviewed)

Cytra Playbook de conformidade

Como implementamos as categorias padrão de NIST AI RMF, ISO/IEC 42001 e do EU AI Act.

Os cinco pilares do CARGO — Control, Assessment, Records, Guardrails e Oversight — são a forma como organizamos as categorias de controlo padrão desses quadros em vinte áreas objetivas. Não inventámos as categorias e não o afirmamos; o CARGO é a lente que as mapeia uma vez, para que as possa demonstrar em todo o lado. A Cytra mantém-no alinhado e pronto para uma auditoria, não certificado.

NIST AI RMFISO/IEC 42001:2023EU AI Act
Sobre o nome «CARGO»

CARGO — Cytra AI Regulatory and Governance Objectives — é o quadro aberto que a Cytra desenvolveu e publica. As mesmas cinco letras nomeiam os cinco pilares: Control, Assessment, Records, Guardrails e Oversight. A lente é nossa e é publicada abertamente; «CARGO» é apenas a nossa convenção de nome interno. Os objetivos de controlo em si não são novos e não são uma invenção da Cytra — são os requisitos padrão do NIST AI RMF e da ISO/IEC 42001:2023, alinhados com o EU AI Act. As normas fazem o trabalho.

Conformidade como registo

O playbook não é um dossiê — é alimentado pelo que corre.

O Cytra Gateway, a nossa gateway gerida para chamadas de ferramentas de agentes de IA, trata cada chamada governada como um registo estruturado e assinado. Esses registos agregam-se nos mesmos cinco pilares que o playbook descreve, pelo que a evidência por trás de um controlo é telemetria contínua de execução — mapeada para os objetivos de controlo do NIST AI RMF, da ISO/IEC 42001 e do EU AI Act — e não um documento montado depois.

Para ser preciso sobre a postura: a Cytra está alinhada, não certificada. Mapeamos a evidência para estes quadros; não afirmamos que tenha sido concedida qualquer certificação, e o Cytra Gateway está atualmente em beta privada.

Cinco pilares, vinte áreas objetivas

Os cinco pilares do CARGO — e as categorias padrão que cada um carrega.

  1. Controlo e responsabilidade

    NIST AI RMF Govern · ISO/IEC 42001:2023 §5 · EU AI Act Art. 4

    A espinha de governação — quem é dono do risco de IA, e a política e as pessoas que tornam o resto exigível.

    • Estrutura de governação e responsabilidade — donos nomeados e um comité transversal de risco de IA.
    • Política, normas e apetite de risco.
    • Papéis, competência e literacia em IA (EU AI Act Art. 4).
    • Governação de terceiros e da cadeia de fornecimento — fornecedores de modelos, vendedores de dados, ferramentas de agentes.

  2. Avaliação e risco

    NIST AI RMF Map · Measure · ISO/IEC 42001:2023 §6 · EU AI Act Art. 6, 9, 10, 27

    Saiba que IA executa, classifique-a pelo risco e avalie o impacto num ciclo de vida contínuo.

    • Inventário de IA e classificação do sistema (EU AI Act Art. 6 / Annex III).
    • Avaliação de risco e impacto, incluindo a avaliação de impacto sobre os direitos fundamentais (Art. 27).
    • Ciclo de vida contínuo de gestão do risco (Art. 9).
    • Governação e qualidade dos dados (Art. 10).

  3. Registos e evidência

    NIST AI RMF Measure · ISO/IEC 42001:2023 §7.5, §9.2 · EU AI Act Art. 11, 12 · Annex IV

    A camada de prova — o pilar mais difícil de satisfazer só com documentos, porque exige evidência do que a IA fez.

    • Documentação técnica (EU AI Act Art. 11 / Annex IV).
    • Registo automático e conservação de registos (Art. 12).
    • Evidência resistente a adulteração e retenção — um registo hash-chain / WORM por inquilino.
    • Prontidão de conformidade e de auditoria (Art. 43).

  4. Salvaguardas e operações

    NIST AI RMF Manage · ISO/IEC 42001:2023 §8 · EU AI Act Art. 14, 15

    Controlos que atuam onde a IA corre, antes de uma ação terminar — incluindo cada chamada de ferramenta de um agente.

    • Salvaguardas operacionais e política de execução — portões de aprovação, tetos de orçamento, um interruptor de paragem do operador.
    • Segurança, robustez e resiliência (Art. 15).
    • Monitorização de viés, equidade e desempenho — medição agendada em conjuntos de avaliação configurados, com eventos de desvio auditáveis.
    • Governação de agentes e de identidades não humanas (NHI).

  5. Supervisão e melhoria

    NIST AI RMF Manage · Govern · ISO/IEC 42001:2023 §9, §10 · EU AI Act Art. 13, 14, 50, 72, 73

    Mantenha as pessoas no comando e feche o ciclo à medida que os riscos e as regras evoluem.

    • Supervisão e intervenção humanas (Art. 14) — Understand, Monitor, Intervene, Stop.
    • Transparência e comunicação (Art. 13, Art. 50).
    • Monitorização pós-comercialização e resposta a incidentes (Art. 72, Art. 73).
    • Revisão, auditoria interna e melhoria contínua.

Instantâneo do quadro

Pilares
05
Áreas objetivas
20
Postura
Alinhado

Alinhado e pronto para auditoria, não certificado.

Quadro aberto CC BY 4.0

Leve o quadro. É seu.

O quadro CARGO publica-se de graça sob Creative Commons Attribution 4.0 (CC BY 4.0) — adote-o, adapte-o e construa sobre ele, com atribuição. Os nomes e logótipos «CARGO» e «Cytra» continuam nossos; os objetivos de controlo são os padrão do NIST AI RMF, da ISO/IEC 42001 e do EU AI Act, por isso o quadro pertence a todos. A v0.1 está na revisão pública final — deixe o e-mail e enviaremos o PDF completo no momento em que o rascunho público abrir.

Passo seguinte pôr o playbook em operação

Transforme as normas num registo de como a sua IA corre.

A Cytra mapeia os seus controlos uma vez e transforma a forma como a sua IA corre em evidência contínua nos cinco pilares — para que possa demonstrar alinhamento com o NIST AI RMF, a ISO/IEC 42001 e o EU AI Act sem duplicar o esforço. A gateway gerida que gera a evidência está em beta privada; fale-nos da sua IA e delimitamos o acesso antecipado.

Como funciona: a gatewayPedir acesso antecipado