Resumo

  • A minuta de 30 de outubro mantém a responsabilidade pelos resultados na entidade de telecom autorizada, seja a IA desenvolvida internamente ou comprada.
  • O controle proposto passa por aprovação do conselho, classificação de risco, inventário, direitos contratuais sobre fornecedores e registro e comunicação de incidentes.

Comprar o sistema não compra uma saída. Na minuta publicada em 30 de outubro, a TRAI mantém a entidade de telecom autorizada responsável pelos resultados de toda IA que usa — desenvolvida internamente, adquirida de um fornecedor ou combinada (§3.8). A fatura identifica quem vendeu; o projeto identifica quem responde.

O alvo são as empresas com licença ou autorização para operar redes ou prestar serviços de telecom que usam, ou planejam usar, IA (§2.1). A proposta não faz do fornecedor de software um substituto da operadora. O conselho da própria empresa deve aprovar a política de IA, definir as classes de risco e indicar quem autoriza cada uso (§§3.1–3.2).

A TRAI quer que essa política possa ser verificada. Cada entidade deverá inventariar sistemas ativos, inativos e desativados, registrando origem, finalidade e classificação de risco. Sistema fora do inventário não pode ser usado. Antes de implantar um novo sistema ou modificar um existente, a entidade deve validá-lo e avaliar precisão, explicabilidade, equidade, resistência a desvios e supervisão humana (§3.5).

A compra acrescenta deveres. A operadora deve verificar a credibilidade do fornecedor, a solidez e os limites do sistema e a adequação e qualidade dos dados de treinamento. O fornecedor deve revelar detalhes da IA incorporada a equipamentos ou soluções de telecom. O contrato precisa ter cláusulas executáveis sobre conformidade, auditoria e inspeção, gestão de incidentes, alocação de risco e responsabilização (§3.5(b), (e)–(f)). É assim que a minuta estende o controle até o fornecedor sem tirar a operadora do centro da responsabilidade.

Um comitê de governança e segurança de IA aprovado pelo conselho e liderado por executivo sênior revisaria, ao menos uma vez por ano, desempenho, incidentes, vulnerabilidades e falhas de supervisão. A proposta também prevê registro central de incidentes, investigação e mitigação, registro do dano ao usuário e de sua resolução, além de comunicação à TRAI de incidentes críticos e graves (§§3.2, 3.6–3.10). Políticas novas ou alteradas devem ser protocoladas em até sete dias úteis após entrarem em vigor.

Um ponto decisivo ainda depende de regra posterior: a minuta deixa para a TRAI definir formato, modo e prazo das notificações de incidentes graves e críticos (§§3.2(d), 3.9). A consulta termina em 27 de novembro de 2026. Esse relógio determinará quando o registro interno de uma operadora vira evidência útil para o regulador.

Fontes