A inteligência artificial tornou-se uma presença permanente nos processos de IT Service Management: encaminhamento automático de tickets, sugestão de prioridades, apoio aos agentes, chatbots, correlação de eventos, monitorização preditiva e automatização de workflows.
As vantagens são evidentes. No entanto, há também um novo nível de responsabilidade a ter em conta. Com o EU AI Act, a governação da inteligência artificial passou a ser uma questão jurídica, mas, acima de tudo, operacional. O regulamento europeu sobre IA entrou em vigor a 1 de agosto de 2024; algumas disposições começaram a aplicar-se a partir de 2025, enquanto a aplicação geral plena está prevista para 2 de agosto de 2026.
Para CIOs, diretores de TI e responsáveis pelo Service Management, a mensagem é clara: a IA já não pode ser considerada apenas uma funcionalidade avançada da plataforma ITSM. Tem de ser gerida através de processos, responsabilidades, controlos, documentação e registos de auditoria. É precisamente sobre estas dimensões que nos debruçamos neste artigo.
Porque é que o EU AI Act também diz respeito à governance ITSM
Na base do EU AI Act está uma abordagem baseada no risco. O regulamento distingue, em particular, entre sistemas de IA que apresentam um risco inaceitável, sistemas de alto risco, sistemas sujeitos a obrigações de transparência e sistemas de risco mínimo ou inexistente.
Muitos casos de uso da IA no ITSM enquadrar-se-ão provavelmente nesta última categoria, a de menor risco: chatbots para self-service, sistemas de sugestão para agentes, classificação automática de tickets, routing inteligente e priorização assistida. Ainda assim, esta classificação nunca deve ser dada como adquirida. Um chatbot que ajuda o utilizador a consultar uma base de conhecimento tem um impacto limitado. Um sistema que sugere a prioridade de um incidente crítico já exige maior atenção. Um workflow que automatiza o provisionamento de acessos em sistemas sensíveis deve ser avaliado com ainda mais cuidado. E o mesmo princípio aplica-se aos restantes casos de uso.
A regra prática é simples: quanto mais a IA se aproxima de uma decisão automatizada com um impacto significativo nos acessos, na segurança, na continuidade operacional ou nos direitos dos utilizadores, mais robustos devem ser os controlos.
Governação da IA no ITSM: como classificar os casos de uso
O primeiro passo da governação da IA no ITSM é criar um inventário dos casos de utilização de IA já ativos ou planeados. Em muitas organizações, a adoção da inteligência artificial acontece de forma gradual: primeiro como funcionalidade integrada na plataforma, depois como chatbot, mais tarde como sistema de apoio à decisão e, por fim, como automatização ligada a sistemas externos. E esta evolução gradual faz, muitas vezes, todo o sentido.
Para cada caso de uso, é útil colocar algumas questões:
- O sistema toma decisões autónomas ou limita-se a apresentar sugestões?
- O output tem impacto nos utilizadores, nos acessos, na segurança ou na continuidade operacional?
- Existe supervisão humana?
- São tratados dados pessoais ou informações críticas?
- O utilizador sabe que está a interagir com um sistema de IA?
Na prática, os chatbots e assistentes virtuais utilizados no self-service de IT serão muitas vezes considerados de risco limitado, sobretudo quando interagem diretamente com os utilizadores. Aqui, o principal requisito é a transparência: os utilizadores devem saber quando estão a interagir com um sistema de IA e devem poder recorrer a um operador humano sempre que necessário.
Os sistemas de sugestão para agentes serão frequentemente de risco limitado ou mínimo, desde que o agente mantenha o controlo final. Já o encaminhamento inteligente de tickets e a priorização automática de incidentes exigem uma governação mais cuidada, especialmente quando influenciam a resposta a incidentes de segurança, interrupções críticas ou serviços essenciais.
A atribuição de acessos assistida por IA merece igualmente uma avaliação específica. Se a IA sugere o grupo correto, o risco pode manter-se limitado. Mas, se aprovar ou revogar automaticamente acessos a sistemas sensíveis sem supervisão adequada, o perfil de risco altera-se.
Também os sistemas de monitorização preditiva, correlação de eventos e anomaly detection devem ser avaliados em função do seu grau de autonomia: limitam-se a gerar alertas e recomendações ou desencadeiam automaticamente ações corretivas?
Como se percebe, o âmbito da conformidade com o EU AI Act é vasto, complexo e está em constante evolução.
Documentação e registos de auditoria
Um ambiente ITSM maduro já assenta na rastreabilidade. Cada ticket tem um histórico, cada incidente uma cronologia e cada alteração deve incluir uma justificação, as aprovações necessárias, os impactos previstos e os respetivos resultados.
A governação da IA implica aplicar estes mesmos princípios aos processos assistidos por inteligência artificial.
Em concreto, a documentação deve abranger, pelo menos, cinco aspetos:
- a finalidade do sistema de IA;
- o âmbito de utilização;
- os dados utilizados;
- os resultados gerados;
- o registo de auditoria.
O registo de auditoria é particularmente importante. Cada sugestão ou decisão relevante da IA deve deixar um registo: principais dados utilizados, resultado gerado, nível de confiança, agente que aprovou, alterou ou rejeitou a recomendação e ação final executada.
O objetivo não é criar burocracia, mas preservar uma memória operacional. Sem memória, não há auditoria; sem auditoria, não há governação.
Garantir transparência nas decisões da IA
Quando a IA passa a apoiar decisões dentro dos processos de ITSM, não basta conhecer a recomendação apresentada. É também importante perceber em que informação se baseou e por que razão chegou àquele resultado.
Esta transparência não deve ser encarada apenas como uma questão técnica. Tem de fazer parte da experiência quotidiana dos agentes e dos responsáveis pelos processos, sobretudo quando as recomendações da IA podem influenciar prioridades, acessos, alterações ou respostas a incidentes.
Na prática, se a IA sugerir uma determinada prioridade para um ticket, o agente deve conseguir perceber quais foram os principais fatores considerados: tickets semelhantes, o ativo envolvido, os SLA aplicáveis, o serviço afetado, padrões históricos ou indicadores de risco.
O mesmo se aplica a um workflow de provisionamento de acessos. Se a IA recomendar a atribuição de determinado acesso, deve ser possível perceber a lógica subjacente à recomendação, por exemplo, com base na função do utilizador, no departamento, em pedidos semelhantes, nas políticas aplicáveis ou em eventuais exceções.
Isto não significa que seja necessário apresentar uma explicação técnica detalhada sobre o funcionamento do modelo. O essencial é disponibilizar informação suficientemente clara para que uma pessoa competente possa avaliar a recomendação, confirmá-la ou corrigi-la quando necessário.
Sem esta visibilidade, existe o risco de as recomendações da IA serem aceites de forma automática, simplesmente porque foram geradas pelo sistema. Uma boa governação da IA deve evitar precisamente isso: decisões que ninguém consegue justificar, questionar ou rever.
Supervisão humana e responsabilidade
A supervisão humana é um dos pilares da governação da IA no ITSM. Mas nem todos os processos exigem o mesmo nível de controlo.
Uma sugestão para atualizar uma FAQ pode necessitar apenas de uma revisão simples. Uma recomendação de prioridade para um incidente crítico exige maior atenção. Uma automatização que modifica acessos, configurações ou ativos deve incluir controlos mais robustos.
Do ponto de vista operacional, é útil distinguir três níveis:
- Human-in-the-loop: a IA sugere, mas a ação só é executada após aprovação humana. É a abordagem mais adequada para atribuição de acessos, alterações de elevado impacto e incidentes críticos.
- Human-on-the-loop: a IA atua dentro de limites predefinidos, enquanto a equipa monitoriza, recebe alertas e pode intervir. É útil para automatizações repetitivas com um nível de risco controlado.
- Human-out-of-the-loop: a IA ou a automatização atuam sem intervenção humana direta. Esta abordagem deve ficar limitada a casos normalizados, reversíveis, bem documentados e de baixo impacto.
O risco a evitar é o da automatização invisível. Cada processo automatizado deve ter um responsável, limiares de escalamento, critérios de bloqueio e um procedimento de reversão.
Em termos simples: a IA pode acelerar os processos, mas a responsabilidade continua — e deve continuar — a ser humana.
Um plano prático para a governação da IA no ITSM
Para tornar a governação da IA no ITSM uma realidade concreta, é aconselhável avançar de forma progressiva. Identificámos sete etapas, que resumimos abaixo:
- Criar um inventário dos casos de utilização de IA já ativos ou planeados.
- Classificar cada caso de utilização de acordo com o nível de risco, documentando a fundamentação da avaliação.
- Definir responsáveis e respetivas funções: um responsável de negócio, um responsável técnico e um ponto de contacto para conformidade e segurança.
- Introduzir requisitos mínimos de documentação: finalidade, dados utilizados, resultados gerados, controlos humanos, registo de atividade, métricas de desempenho e políticas de revisão.
- Garantir que os processos mostram de forma clara os critérios e a informação utilizados nas recomendações da IA.
- Atualizar as políticas de gestão de alterações: cada alteração significativa a um modelo, regra de automatização ou integração de IA deve ser tratada como uma alteração relevante.
- Formar as equipas. A literacia em IA é relevante para as equipas do service desk, os responsáveis pela gestão de incidentes, alterações e ativos, os administradores da plataforma e os responsáveis pelos processos.
Conclusões
A inteligência artificial está a transformar o ITSM: reduz os tempos de resposta, melhora a classificação, apoia os agentes, reduz a carga sobre o service desk, antecipa anomalias e torna a experiência dos utilizadores mais fluida.
Mas, quanto mais profundamente a IA se integra nos processos, mais importante se torna integrá-la também na governação.
O EU AI Act não deve ser encarado como um travão à inovação, mas como um enquadramento que permite torná-la mais fiável, sustentável e defensável a longo prazo.
Para CIOs e diretores de TI, esta é uma oportunidade importante: aplicar a disciplina do ITSM à governação da inteligência artificial.
FAQ
O que exige a conformidade com o EU AI Act?
Exige transparência, documentação, rastreabilidade, supervisão humana e controlos proporcionais ao nível de risco de cada caso de uso de IA.
O que significa AI governance no ITSM?
Significa definir regras, responsabilidades, controlos e processos para a utilização da inteligência artificial nas plataformas de IT Service Management. Inclui a classificação do risco, a documentação, os audit trails, a supervisão humana, a explicabilidade, a segurança dos dados e o envolvimento das áreas jurídica e de compliance.
Por onde começar para adequar o ITSM ao EU AI Act?
Comece por fazer um levantamento dos casos de uso de IA já ativos ou planeados. A partir daí, é necessário classificá-los por nível de risco, definir owners e responsabilidades, documentar os dados e outputs, integrar audit trails e mecanismos de explicabilidade, atualizar as políticas de change management e formar as equipas.
