Resumo

  • Publicada em 30 de outubro, a proposta da TRAI responsabiliza a entidade autorizada pelos resultados de qualquer sistema de IA que use, inclusive quando o fornecedor desenvolve a tecnologia.
  • A operadora teria de obter aprovação do conselho para sua política de IA, manter inventário e avaliações de sistemas e criar registros de incidentes e supervisão executiva.
  • A TEC 57090:2025 oferece níveis qualitativos de gravidade e exemplos; a minuta também aceita uma taxonomia equivalente.
  • Incidentes críticos e de gravidade alta devem ser notificados à TRAI, mas o texto de consulta não apresenta formulário nem prazo.

Terceirizar o modelo não terceiriza a resposta

A cláusula 3.8 da minuta da TRAI trata a responsabilidade como obrigação da empresa que opera o serviço ou a rede. Isso vale para sistemas desenvolvidos internamente, comprados de terceiros ou combinados. O contrato com o fornecedor deve prever conformidade regulatória, auditoria, gestão de incidentes e alocação de riscos. Essas cláusulas organizam a relação comercial; não alteram quem responde pelo resultado perante a TRAI segundo a proposta.

O escopo é específico. Abrange quem tem licença ou autorização para prestar serviços de telecomunicações e quem recebeu autorização para estabelecer, operar, manter ou expandir redes, quando usa ou pretende usar IA nessas funções. A consulta foi publicada em 30 de outubro e recebe comentários até 27 de novembro de 2026. A página da TRAI e um comunicado do Ministério das Comunicações registram esse prazo.

O conselho de administração aprovaria a política interna de IA. Cada sistema seria classificado como de risco alto, médio ou baixo conforme sua materialidade para a rede ou o serviço, incluindo efeitos financeiros, operacionais e possíveis impactos sobre consumidores. Um responsável designado aprova o uso, com delegação possível conforme a classificação.

Antes de implantar um sistema novo ou modificar um existente, a empresa deve fazer validação, avaliação de conformidade e avaliação de impacto. A minuta pede análise de precisão, explicabilidade, equidade, resistência à deriva e supervisão humana. Na compra de um sistema de terceiros, exige diligência sobre o fornecedor, os limites do produto e a adequação dos dados de treinamento. O inventário cobre sistemas ativos, inativos e desativados, registra origem, finalidade e classe de risco; o que não aparece no inventário não pode ser usado.

O conselho também aprovaria um Comitê de Governança e Segurança de IA, com áreas de operação de rede, prestação de serviço, TI, dados, regulação e atendimento ao consumidor. Um executivo sênior, o AI Governance and Safety Officer, o lidera. O comitê analisa sistemas e incidentes pelo menos uma vez por exercício financeiro e pode recomendar alterações ou desativação. A política deve ser revista anualmente e protocolada na TRAI em até sete dias úteis após entrar em vigor.

Duas classificações, dois trabalhos

Risco alto/médio/baixo é uma classificação de cada sistema, feita pela política da empresa. Gravidade critical/high/moderate/low é uma classificação de cada incidente. A minuta exige que todos os incidentes sejam registrados, investigados e analisados; apenas os dois níveis superiores geram aviso à TRAI.

A gravidade não começa do zero em cada operadora. O texto remete à TEC 57090:2025 ou a taxonomia equivalente. O padrão cita apagões nacionais importantes e falhas completas como critical; interrupções significativas e grande degradação como high; falhas regionais e degradação parcial como moderate; interrupções menores e lentidão breve como low. A lista de padrões notificados pela TEC registra a notificação em 24 de abril de 2026.

Esses exemplos dão uma linguagem comum, não um cálculo numérico. A minuta aceita taxonomias equivalentes. Para reportar os casos critical e high, exige a forma, o modo e o prazo que vierem a ser prescritos; não inclui esses detalhes no documento em consulta. A escala existe. O relógio ainda não.

Internamente, cada entidade deve manter uma base central de incidentes, inclusive os detectados durante testes, e outra base sobre danos relatados por usuários e sua resolução. Reclamações relacionadas à IA devem ser resolvidas em “prazo razoável”, segundo o mecanismo próprio da empresa. A TRAI pode solicitar avaliações e registros e usar relatórios para aprendizado setorial e avaliação de risco. A minuta não obriga empresas a publicar as bases, nem TRAI a divulgar um agregado. A trilha pode ser completa para o regulador e continuar invisível para quem compara serviços.

Os documentos públicos consultados não incluem uma base de incidentes que permita comparar classificações entre operadoras. A instrução que a TRAI vier a prescrever — evento disparador, campos obrigatórios e prazo — mostrará se um incidente grave gera um aviso comparável em toda a indústria.

O regulador fixa o piso; a operadora conduz a rede

A alocação proposta tem uma lógica operacional. A operadora escolhe sistemas, aprova usos, contrata fornecedores, supervisiona a operação e mantém os registros. A Lei da TRAI de 1997 atribui à autoridade funções ligadas a padrões de qualidade de serviço e proteção do consumidor. As India AI Governance Guidelines apontam a TRAI como regulador setorial e contemplam regras próprias para cada setor. A cronologia oficial ainda não fecha: o rascunho da TRAI e um comunicado do PIB de 30 de outubro de 2026 situam o lançamento em fevereiro de 2026, enquanto um comunicado de 5 de novembro de 2025 diz que as diretrizes foram apresentadas naquele dia e um resumo publicado em 15 de fevereiro de 2026 menciona seu lançamento na India AI Impact Summit; um histórico público de versões mostraria se as datas se referem a edições distintas.

O regulador deveria uniformizar o que precisa ser comparável: o gatilho de notificação, o momento a partir do qual o prazo corre, os campos mínimos e o teste para uma taxonomia equivalente. A operadora pode escolher quais sistemas exigem monitoramento reforçado, como testar o fornecedor, quem aprova uma atualização e que equipe acompanha o resultado. Redes diferentes pedem controles diferentes. O prazo para avisar o mesmo regulador não precisa variar por empresa.

Os comentários terminam em 27 de novembro. A versão final dirá se a TRAI mantém a regra mais clara do projeto — a operadora responde também pela IA terceirizada — e acrescenta um procedimento que permita conferir essa responsabilidade.

Fontes