--- name: ai-inventory-bossmann007 title: 'AI inventory' description: Inventário de sistemas de IA por sistema (framework brasileiro) — rastreia o papel de cada sistema (fornecedor/desenvolvedor, operador/implementador, distribuidor) e o nível de risco (risco excessivo/proibido, alto risco, risco geral) sob o PL 2338/2023 e a sobreposição da LGPD (Art. 20 — decisão automatizada). Papel e nível são avaliados por sistema, não por empresa. Use quando o usuário disser "inventário de IA", "adicionar sistema de IA", "que sistemas temos", "classificar este sistema de IA", "registro do PL 2338" ou "registro de sistemas de IA". author: Bossmann007 author_url: https://github.com/Bossmann007/claude-legal-br/tree/main/ai-governance-legal/skills/ai-inventory license: Apache-2.0 version: 0.1.1 execution_mode: open jurisdiction: br practice: regulatory language: pt --- # /ai-inventory ## Quando isso roda O usuário quer gerenciar o inventário de sistemas de IA sob o marco legal brasileiro. A ideia central que a skill existe para reforçar: **papel e nível de risco são por sistema, não por empresa.** A mesma organização pode ser *fornecedora/desenvolvedora* do Sistema A, *operadora/implementadora* do Sistema B. Cada combinação aciona um conjunto diferente de obrigações. O inventário existe para que essas avaliações fiquem rastreáveis — as obrigações em si são derivadas em conversa, não de uma tabela fixa. **Contexto regulatório (verificar status atual a cada uso):** - **PL 2338/2023** — aprovado no Senado em dezembro/2024, em tramitação na Câmara dos Deputados `[verificar status atual — pode ter sido sancionado, alterado, ou ainda pendente]`. Estrutura por níveis de risco (excessivo/ proibido, alto risco, risco geral), inspirada no AI Act europeu mas com texto próprio — não presuma equivalência 1:1 de artigo. - **LGPD (Lei 13.709/2018), Art. 20** — já em vigor, independe do PL 2338. Direito do titular a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo decisões destinadas a definir perfil pessoal, profissional, de consumo e de crédito. Aplica-se a QUALQUER sistema de decisão automatizada hoje, independentemente do PL 2338 ter sido sancionado. - **Regulação setorial já vigente:** Resolução CMN/BCB nº 4.658 e correlatas (gestão de risco em instituições financeiras, inclui modelos de crédito/ scoring); RDC Anvisa nº 657/2022 (software como dispositivo médico — SaMD, cobre triagem/diagnóstico assistido por IA); normas CVM para consultoria automatizada de investimentos (robo-advisors). - **ABNT NBR ISO/IEC 42001** — norma técnica de sistema de gestão de IA, referência de boas práticas mesmo sem força de lei. ## O que fazer 1. **Leia a configuração.** Leia `~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md`. Se não existir ou ainda tiver marcadores `[PLACEHOLDER]`, direcione o usuário para `/ai-governance-legal:cold-start-interview` primeiro. 2. **Leia o inventário.** Fica em `~/.claude/plugins/config/claude-for-legal/ai-governance-legal/ai-systems.yaml`. Se não existir, crie com uma lista `systems:` vazia quando o primeiro `add` rodar. 3. **Dispatch pelo argumento:** - Sem argumento, ou `list` → mostra a tabela do inventário (ver **Listar** abaixo). - `add` → roda o fluxo **Adicionar**. - `edit ` → mostra o registro atual, pergunta o que mudar, atualiza um campo, confirma, grava. - `classify ` → roda o **Roteiro de classificação** num registro existente, atualizando role, tier, role_basis e tier_basis. - `show ` → mostra o registro completo. 4. **No list, ofereça o dashboard:** "Quer o dashboard completo? Filtro por status / nível / vínculo com o Brasil / responsável. É só falar." 5. **Feche toda ação com um gancho para o trabalho do advogado.** Depois de qualquer gravação, diga: > Registrado. Quando quiser percorrer as obrigações deste sistema, é só > pedir — eu faço em conversa e sinalizo onde o mapeamento do PL > 2338/2023 (ou da regulação setorial) precisa da sua verificação. Não > derivo obrigações de uma tabela porque o mapeamento é complexo e o PL > ainda está mudando. ## Formato de listagem Renderize como tabela compacta: | ID | Nome | Responsável | Status | Vínculo BR | Papel | Nível | Próxima revisão | |----|------|-------------|--------|------------|-------|-------|------------------| | sys-001 | Triagem de currículos | RH / Jamie | em_produção | sim | operador | alto_risco | 2026-08-01 | | sys-002 | Assistente de redação de e-mail | TI / Priya | em_produção | não | operador | risco_geral | 2026-12-01 | Abaixo da tabela, mostre contagem por nível e uma linha: "N sistemas sinalizados para revisão nos próximos 30 dias." ## Fluxo de adição (entrevista) Pergunte um campo por vez (ou aceite colar tudo de uma vez). Os campos obrigatórios são `name`, `owner`, `description`, `status`, `br_nexus`. O resto pode ficar pendente — diga isso explicitamente: "você pode voltar para classificar com `/ai-governance-legal:ai-inventory classify `." 1. **Nome.** Rótulo curto do sistema. 2. **Responsável.** Pessoa ou time responsável no dia a dia. 3. **Descrição.** Uma ou duas frases. O que o sistema faz, e sobre quais dados? 4. **Status.** `planejado | em_desenvolvimento | em_produção | descontinuado`. 5. **Vínculo com o Brasil (`br_nexus`).** O sistema afeta titulares de dados no Brasil, é oferecido a usuários no Brasil, ou está sujeito a regulação setorial brasileira (BCB, Anvisa, CVM)? Se sim, a análise do marco brasileiro se aplica — independentemente de onde o sistema foi desenvolvido. 6. **Envolve decisão automatizada sobre pessoa física?** Se sim, marque `lgpd_art20: true` — o direito a revisão humana e explicação do Art. 20 da LGPD se aplica já, com ou sem o PL 2338. 7. **Prosseguir para classificação?** Ofereça rodar o roteiro agora, ou pular e voltar depois. Atribua um ID: `sys-NNN` onde NNN é o próximo inteiro no arquivo. ## Roteiro de classificação O roteiro produz `role`, `role_basis`, `tier`, `tier_basis`. Ambas as bases são marcadas `[verificar contra texto vigente do PL 2338/2023 e regulação setorial]` — não porque a skill está se protegendo, mas porque o mapeamento é complexo e o PL ainda está em tramitação (pode ter sido alterado, sancionado ou vetado entre a redação desta skill e o uso). O advogado é dono da verificação. ### Passo 1: Papel > **Quem faz o quê com este sistema?** Opções, com o teste distintivo: - **Fornecedor/desenvolvedor** — você desenvolve o sistema (ou manda desenvolver) e o coloca em operação ou disponibiliza sob sua marca. - **Operador/implementador** — você usa o sistema sob sua própria autoridade, para atividade profissional (não uso pessoal). É o mais comum dentro de empresas. - **Distribuidor** — você disponibiliza um sistema de IA no mercado sem ser o fornecedor original. **Sinalização de papel duplo.** Se o usuário modifica substancialmente um sistema de terceiro (faz fine-tuning com dados próprios, muda a finalidade pretendida, rebrand), ele pode se tornar **fornecedor/desenvolvedor** do sistema modificado mesmo tendo começado como operador. Chame atenção quando o usuário descrever qualquer modificação além de configuração. `[verificar contra texto vigente do PL 2338/2023 — dispositivo de responsabilidade solidária/modificação substancial]` Escreva o papel. Escreva `role_basis` em uma frase. ### Passo 2: Nível de risco > **O que o sistema faz, e o caso de uso cai numa categoria regulada?** Verifique nesta ordem: **A. Práticas de risco excessivo (proibidas).** `[verificar contra texto vigente do PL 2338/2023]` Resumos, não texto definitivo — o PL 2338/2023 lista como prática de risco excessivo (sujeita a mudança até sanção): - Técnicas subliminares ou manipulação capazes de distorcer materialmente o comportamento de uma pessoa, causando dano - Exploração de vulnerabilidades (idade, deficiência, situação socioeconômica) para distorcer materialmente comportamento - Avaliação ou classificação de pessoas com base em comportamento social ou características de personalidade levando a tratamento prejudicial (scoring social) - Identificação biométrica remota em espaços públicos para fins de segurança pública (exceções restritas, sujeitas a autorização judicial) - Classificação biométrica inferindo origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, orientação sexual, dados de saúde Se enquadrado → nível é `excessivo`. Sinalize o caso de uso como stop e roteie para o fluxo de práticas proibidas do time de governança. **B. Áreas de alto risco.** `[verificar contra texto vigente do PL 2338/2023]` Resumos — hipóteses típicas de alto risco no PL 2338/2023: 1. Saúde (diagnóstico, triagem, priorização de atendimento) — atenção: sobreposição direta com RDC Anvisa 657/2022 se o sistema for SaMD 2. Segurança pública e sistema de justiça (avaliação de risco, apoio a decisões judiciais, meios de prova) 3. Educação (acesso, avaliação, monitoramento de comportamento) 4. Emprego, seleção, gestão e monitoramento de trabalhadores (recrutamento, avaliação de desempenho, alocação de tarefas, demissão) 5. Serviços essenciais públicos e privados (benefícios sociais, concessão de crédito e scoring — atenção: sobreposição com Res. CMN/BCB 4.658 —, precificação de seguro de vida/saúde) 6. Infraestrutura crítica (energia, água, transporte, telecomunicações) 7. Migração e controle de fronteira 8. Processos eleitorais e democráticos Se enquadrado → nível é `alto_risco`. Anote a hipótese e o setor específico, e se há sobreposição com regulação setorial (BCB/Anvisa/CVM) — nesse caso, ambos os regimes se aplicam cumulativamente, não um substitui o outro. **C. Risco geral (transparência).** Chatbots interagindo com pessoas naturais, conteúdo sintético/deepfake, sistemas de reconhecimento de emoção fora do escopo de risco excessivo — obrigações de transparência se aplicam (informar a pessoa que está interagindo com IA). **D. Sobreposição LGPD Art. 20 (independente do nível PL 2338).** Se o sistema toma ou apoia decisão automatizada que afeta a pessoa (crédito, perfil de consumo, seleção de emprego, etc.), o direito a revisão humana e a explicação dos critérios se aplica **hoje**, sob a LGPD, mesmo que o sistema seja classificado como risco geral no PL 2338. Marque `lgpd_art20: true` sempre que aplicável — este campo é independente do `tier`. Escreva o nível. Escreva `tier_basis` em uma frase, citando o dispositivo do PL ou a norma setorial que se enquadrou, marcado `[verificar contra texto vigente]`. ### Passo 3: Recomendações Ofereça três próximos passos: 1. "Quer que eu percorra as obrigações deste sistema? Faço em conversa — não derivo de uma tabela." 2. "Quer rodar `/ai-governance-legal:aia-generation` para produzir uma avaliação de impacto completa?" 3. "Quer definir uma data de próxima revisão? Eu adiciono ao inventário." ## Formato do registro ```yaml systems: - id: sys-001 name: "Ferramenta de triagem de currículos" owner: "RH / Jamie" description: "Filtra currículos recebidos contra critérios de vaga" status: em_producao # planejado | em_desenvolvimento | em_producao | descontinuado br_nexus: true # afeta titulares no Brasil ou sujeito a regulação setorial BR lgpd_art20: true # decisão automatizada que afeta pessoa física — direito a revisão (LGPD Art. 20) role: operador # fornecedor | operador | distribuidor role_basis: "Licenciamos da VendorX e operamos internamente [verificar contra texto vigente do PL 2338/2023]" tier: alto_risco # excessivo | alto_risco | risco_geral tier_basis: "Hipótese de alto risco — emprego/recrutamento/seleção [verificar contra texto vigente do PL 2338/2023]" obligations_assessed: false obligations_note: "A avaliar: como operador de sistema de alto risco — supervisão humana, qualidade dos dados de entrada, monitoramento, registro, informar aos trabalhadores, revisão humana sob LGPD Art. 20 [verificar contra texto vigente do PL 2338/2023]" next_review: "2026-08-01" review_trigger: "em modificação substancial ou anualmente, ou na sanção do PL 2338/2023" created: "2026-05-11" updated: "2026-05-11" ``` ## Por que esta skill NÃO deriva obrigações automaticamente O inventário guarda papel, nível e a base de cada um. NÃO contém uma tabela fixa papel × nível → obrigações. Quando o usuário perguntar "quais são minhas obrigações para o Sistema X?", a skill faz a análise **em conversa**, marcada `[verify]`, e roteia para `/ai-governance-legal:aia-generation` para a avaliação de impacto formal se necessário. Isso é deliberado: - O PL 2338/2023 ainda está em tramitação — pode ser alterado, sancionado com vetos, ou substituído até você ler este texto. - A regulação setorial (BCB, Anvisa, CVM) muda por resolução administrativa, sem o mesmo aviso público que uma lei. - Confiante-e-errado numa obrigação de compliance acaba num memorando de conselho. - O inventário é um registro para o advogado. O advogado é dono da análise de obrigações. ## Guardrails - **Nunca classifique silenciosamente.** O roteiro de classificação deve ser visível; não classifique automaticamente a partir de uma descrição do sistema. - **As tags `[verify]` ficam.** Não são hedging — são o ponto. Não remova nos outputs. - **Sinalize modificação substancial.** Sempre que um sistema for modificado além de configuração, avise o usuário para rodar `/ai-inventory classify` de novo — modificação pode mudar o papel. - **Não declare obrigações a partir de uma tabela.** Se perguntado, faça a análise em conversa e roteie para `/aia-generation` para qualquer coisa que precise de registro formal. - **Trate LGPD Art. 20 como piso, não teto.** Mesmo que o PL 2338/2023 nunca seja sancionado, ou classifique o sistema como risco geral, a obrigação de revisão humana sob decisão automatizada da LGPD já existe hoje e não desaparece.