Como a IA está a mudar o trabalho de GRC em 2026

O trabalho de governança, risco e conformidade sempre se resumiu a três tarefas lentas: encontrar a evidência certa, associá-la ao controlo certo e escrevê-la de forma que alguém que não esteve na sala consiga perceber. Em 2026, a IA faz a primeira passagem nas três. Não substitui o analista que assina o resultado.

As partes do GRC que sempre foram manuais

Recolher evidências significava lembrar-se de tirar uma captura de ecrã do AWS IAM ou do Okta e carregá-la antes do fecho do trimestre. Mapear entre frameworks significava repetir o mesmo julgamento quatro vezes — uma para a NIS2, outra para a ISO 27001, outra para o NIST CSF, outra para os CIS Controls. Escrever relatórios significava transformar uma folha de cálculo com o estado de cada controlo em algo que um conselho de administração conseguisse ler em dez minutos.

Nada disto exigia sobretudo conhecimento especializado — exigia tempo que ninguém tinha. É essa lacuna que a IA fecha primeiro: não o julgamento, o débito de trabalho.

Onde a IA realmente entra no fluxo de trabalho

Os conectores de evidências recolhem artefactos da AWS, GCP, GitHub e Okta de forma agendada, e a IA classifica cada um assim que chega — que controlos suporta, a que frameworks se aplica, se ainda está atualizado. Documentos digitalizados passam primeiro por OCR. Nada se associa em silêncio: cada associação proposta fica numa fila de revisão até alguém a confirmar.

Mapeamento entre frameworks. Um controlo implementado uma única vez contra a NIS2 Art. 21(2)(d) pode ser mapeado, na mesma passagem, para os seus equivalentes na ISO 27001 A.5.19, no NIST CSF GV.SC e no CIS Control 15. O sistema propõe a equivalência; a decisão de a validar para o seu ambiente é sua.

Análise de lacunas. Em vez de esperar pela próxima auditoria, a IA analisa continuamente a implementação dos controlos e a validade das evidências face aos requisitos de um framework. No nosso espaço de demonstração, uma análise à ISO 27001 assinala doze controlos com evidências em falta ou prestes a expirar — o tipo de achado que antes só surgia em trabalho de campo.

Planeamento de remediação. Uma lista de lacunas transforma-se num plano com responsáveis e prazos. Um plano de remediação NIS2 de 90 dias resulta, tipicamente, em 23 tarefas distribuídas por 4 frentes de trabalho — um rascunho para um responsável de projeto ajustar, não uma folha em branco para começar do zero.

O próximo prazo: o AI Act

A NIS2 e a ISO 27001 não são as únicas obrigações no calendário. O AI Act — Regulamento (UE) 2024/1689 — introduz os seus próprios deveres de inventário e classificação de risco, e as obrigações aplicáveis aos sistemas de risco elevado entraram em vigor a 2 de agosto de 2026. O módulo de AI Act da Cautera permite inventariar os sistemas de IA em uso, classificar cada um através de um assistente guiado de risco e acompanhar as obrigações que daí resultam — a mesma disciplina já aplicada à NIS2, agora alargada a uma lei mais recente.

Dezasseis capacidades, não um chat agarrado à plataforma

“IA” numa plataforma de GRC pode significar uma janela de chat colada à barra lateral. Na Cautera significa dezasseis capacidades específicas, cada uma centrada numa tarefa que um analista já realiza:

Perguntas regulatórias — perguntas em linguagem natural sobre qualquer framework ativo, respondidas a partir do contexto do espaço de trabalho, com fontes citadas.
Análise de lacunas — análise contínua da cobertura de controlos face aos requisitos de um framework.
Análise de evidências — associações a controlos, etiquetas e níveis de sensibilidade propostos para documentos carregados ou recolhidos automaticamente.
Mapeamento de controlos — um controlo associado aos requisitos de framework que satisfaz.
Mapeamento entre frameworks — equivalências encontradas entre NIS2, ISO 27001, NIST CSF e CIS Controls.
Análise de fornecedores — respostas a questionários lidas em busca de fatores de risco, alimentando a pontuação de risco do fornecedor.
Resposta automática a questionários — questionários de segurança recebidos, respondidos a partir das suas políticas, controlos e biblioteca de respostas aprovadas.
Verificação de alegações de fornecedores — as alegações do questionário de um fornecedor verificadas face às constatações do próprio scan de postura.
Sugestões de controlos a partir de políticas — uma política carregada, lida para identificar quais os controlos existentes que já aborda, cada sugestão fundamentada numa citação literal.
Extração de constatações de auditoria — constatações extraídas de um relatório de auditoria carregado, com citações até à página de origem.
Planeamento de remediação — planos de ação com responsáveis, estimativas de esforço e prazos.
Geração de relatórios — relatórios executivos e de conformidade elaborados a partir dos dados em tempo real do espaço de trabalho.
Recomendações de risco — sugestões de risco a partir dos seus ativos, controlos e panorama de fornecedores, com o raciocínio apresentado.
Geração de políticas — políticas redigidas de acordo com os seus frameworks, como ponto de partida para revisão.
Questionários de seguimento — perguntas de seguimento geradas a partir das respostas anteriores de um fornecedor.
Resumo de postura — um resumo narrativo da sua postura de conformidade, entregue numa cadência diária ou semanal com as fontes citadas.

Cada uma produz um rascunho, não uma decisão.

A parte que não muda: a revisão humana

Cada item desta lista fica em espera até uma pessoa o aceitar, editar ou rejeitar — só aí conta como feito. Este é um limite deliberado, não temporário. Inventar uma certificação ou um achado de auditoria é proibido ao nível do prompt: o modelo não pode afirmar algo para o qual não lhe foi dada evidência. Todas as ações de IA ficam registadas. O processamento mantém-se na UE, e nada disto treina com os dados dos clientes.

É esta combinação que torna a IA utilizável num domínio onde errar tem consequências legais. O valor não está num sistema que arrisca palpites com confiança. Está num sistema que mostra o seu trabalho e devolve a decisão a quem a deve tomar.

Veja as dezasseis capacidades num espaço de trabalho real: página de IA da Cautera.