Em 26 de janeiro de 2023, o NIST publicou o AI Risk Management Framework 1.0 para ajudar organizações a reconhecer e tratar riscos de sistemas de inteligência artificial. A proposta era voluntária: não criou um selo de aprovação, uma obrigação legal universal nem um teste capaz de declarar um produto seguro. Sua contribuição mais duradoura foi organizar a conversa sobre risco em quatro funções, governar, mapear, medir e gerenciar, que precisam ser ligadas ao contexto de uso.
Quando isso aconteceu
O comunicado original do NIST é de 26 de janeiro de 2023. Esta é uma pauta histórica publicada agora, não um lançamento de outubro de 2026. Naquele dia, o instituto apresentou o AI RMF 1.0 e um Playbook complementar para orientar sua aplicação. O texto descreveu um trabalho feito com contribuições de setores público e privado e apontou que riscos de IA dependem tanto de aspectos técnicos quanto da interação com pessoas e instituições.
O documento foi concebido para organizações que projetam, desenvolvem, implantam ou usam IA. O NIST explicitou que o framework pode ser aplicado em diferentes setores e fases do ciclo de vida, com adaptações à situação concreta. Isso importa porque a mesma métrica de um modelo pode ter significado muito diferente em uma ferramenta de apoio à escrita e em uma decisão que afeta acesso a serviço essencial.
O que o NIST colocou no framework
A primeira parte do AI RMF 1.0 discute como enquadrar riscos e características de sistemas de IA confiáveis, incluindo validade, segurança, resiliência, transparência, privacidade e tratamento de vieses prejudiciais. A segunda apresenta o núcleo operacional. Govern trata de responsabilidades, políticas e cultura de risco. Map pede compreensão do propósito, das pessoas afetadas e do ambiente em que o sistema opera. Measure reúne formas de avaliar e acompanhar riscos. Manage orienta priorização e resposta.
Essas funções não são uma sequência em que basta preencher quatro caixas uma vez. O próprio NIST descreve Govern como transversal às demais. Uma equipe pode medir uma taxa de erro com cuidado e ainda falhar se ninguém tiver autoridade para interromper o uso, se o cenário de aplicação tiver mudado ou se o dano relevante não tiver entrado na avaliação. A leitura prática é que a medição precisa responder a um risco previamente mapeado e produzir uma decisão gerenciável.
Junto com o framework, o NIST lançou o AI RMF Playbook, um recurso de sugestões para navegar nas funções e resultados do modelo. É material de apoio, não uma substituição do julgamento da organização. Documentar uma escolha, testar com dados pertinentes, registrar limitações e atribuir responsáveis continua sendo trabalho de quem usa a IA.
O que é fato, e o que é análise
O fato é que o NIST publicou em 2023 uma orientação voluntária, com quatro funções e um Playbook. A interpretação editorial é que ela continua útil como estrutura para fazer perguntas melhores antes e depois de implantar IA. Um time que vai usar um classificador, por exemplo, pode mapear quem sofre com falsos positivos, escolher medidas que reflitam esse impacto, definir um limite de tolerância e nomear quem decide por ajustes ou suspensão. Esse exemplo ilustra uma aplicação possível; não descreve um teste realizado pelo NIST nem um resultado garantido.
Há também um limite importante: adotar o vocabulário do AI RMF não comprova que um sistema foi examinado de forma independente. O framework não fixa um único benchmark, não substitui normas setoriais e não transforma uma planilha de riscos em proteção efetiva. Mesmo uma avaliação bem feita pode envelhecer quando dados, usuários, finalidade ou ambiente de operação mudam. O documento chama atenção para a natureza sociotécnica da IA justamente porque erros e danos podem surgir da combinação entre modelo, processo e contexto.
Por que isso ainda importa
Em 2026, organizações já convivem com modelos e agentes usados em processos muito diferentes. A pergunta “o modelo funciona?” é estreita demais se não vier acompanhada de “para quem, em qual decisão, com que possibilidade de contestação e sob qual supervisão?”. O AI RMF dá uma linguagem comum para que produto, engenharia, segurança, jurídico e responsáveis pela operação discutam essas questões sem confundir precisão técnica com risco aceitável. Essa utilidade é uma inferência editorial a partir do desenho do framework, não uma alegação de eficácia comprovada para todos os casos.
O NIST publicou depois um perfil específico para IA generativa, assunto abordado em nossa matéria sobre o perfil voluntário de IA generativa. O perfil não muda a data nem o papel do AI RMF 1.0: a versão de 2023 é a base mais ampla, enquanto documentos posteriores aprofundam certos usos e riscos. Para começar hoje, vale ler o framework original e comparar suas perguntas com o sistema real, em vez de tratar uma referência histórica como lista automática de conformidade.
Limites e próximos passos
Quem pretende usar o AI RMF pode escolher um sistema específico, registrar sua finalidade, atores afetados, dados e decisões influenciadas, e então separar evidências existentes das hipóteses ainda sem teste. Depois, definir medidas pertinentes, responsáveis por monitoramento e uma resposta para desvios. Esse é um caminho de leitura, não uma receita única do NIST nem uma promessa de redução mensurada de dano. Para aplicações de alto impacto, procure requisitos legais e técnicos próprios do setor e avaliação especializada.
A imagem desta matéria é o gráfico real usado na publicação oficial, creditado ao NIST. A capa é uma ilustração editorial exclusiva e não deve ser confundida com um registro de laboratório, auditoria ou implementação. As fontes primárias são o comunicado de 2023, o documento AI RMF 1.0, o Playbook e a política de reutilização do NIST.