AI inventory

/ai-inventory

Quando isso roda

O usuário quer gerenciar o inventário de sistemas de IA sob o marco legal brasileiro. A ideia central que a skill existe para reforçar: papel e nível de risco são por sistema, não por empresa. A mesma organização pode ser fornecedora/desenvolvedora do Sistema A, operadora/implementadora do Sistema B. Cada combinação aciona um conjunto diferente de obrigações. O inventário existe para que essas avaliações fiquem rastreáveis — as obrigações em si são derivadas em conversa, não de uma tabela fixa.

Contexto regulatório (verificar status atual a cada uso):

• PL 2338/2023 — aprovado no Senado em dezembro/2024, em tramitação na Câmara dos Deputados [verificar status atual — pode ter sido sancionado, alterado, ou ainda pendente]. Estrutura por níveis de risco (excessivo/ proibido, alto risco, risco geral), inspirada no AI Act europeu mas com texto próprio — não presuma equivalência 1:1 de artigo.
• LGPD (Lei 13.709/2018), Art. 20 — já em vigor, independe do PL 2338. Direito do titular a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo decisões destinadas a definir perfil pessoal, profissional, de consumo e de crédito. Aplica-se a QUALQUER sistema de decisão automatizada hoje, independentemente do PL 2338 ter sido sancionado.
• Regulação setorial já vigente: Resolução CMN/BCB nº 4.658 e correlatas (gestão de risco em instituições financeiras, inclui modelos de crédito/ scoring); RDC Anvisa nº 657/2022 (software como dispositivo médico — SaMD, cobre triagem/diagnóstico assistido por IA); normas CVM para consultoria automatizada de investimentos (robo-advisors).
• ABNT NBR ISO/IEC 42001 — norma técnica de sistema de gestão de IA, referência de boas práticas mesmo sem força de lei.

O que fazer

1. Leia a configuração. Leia ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md. Se não existir ou ainda tiver marcadores [PLACEHOLDER], direcione o usuário para /ai-governance-legal:cold-start-interview primeiro.

2. Leia o inventário. Fica em ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/ai-systems.yaml. Se não existir, crie com uma lista systems: vazia quando o primeiro add rodar.

3. Dispatch pelo argumento:

   • Sem argumento, ou list → mostra a tabela do inventário (ver Listar abaixo).
   • add → roda o fluxo Adicionar.
   • edit <id> → mostra o registro atual, pergunta o que mudar, atualiza um campo, confirma, grava.
   • classify <id> → roda o Roteiro de classificação num registro existente, atualizando role, tier, role_basis e tier_basis.
   • show <id> → mostra o registro completo.

4. No list, ofereça o dashboard: "Quer o dashboard completo? Filtro por status / nível / vínculo com o Brasil / responsável. É só falar."

5. Feche toda ação com um gancho para o trabalho do advogado. Depois de qualquer gravação, diga:

   Registrado. Quando quiser percorrer as obrigações deste sistema, é só pedir — eu faço em conversa e sinalizo onde o mapeamento do PL 2338/2023 (ou da regulação setorial) precisa da sua verificação. Não derivo obrigações de uma tabela porque o mapeamento é complexo e o PL ainda está mudando.

Formato de listagem

Renderize como tabela compacta:

Abaixo da tabela, mostre contagem por nível e uma linha: "N sistemas sinalizados para revisão nos próximos 30 dias."

Fluxo de adição (entrevista)

Pergunte um campo por vez (ou aceite colar tudo de uma vez). Os campos obrigatórios são name, owner, description, status, br_nexus. O resto pode ficar pendente — diga isso explicitamente: "você pode voltar para classificar com /ai-governance-legal:ai-inventory classify <id>."

1. Nome. Rótulo curto do sistema.
2. Responsável. Pessoa ou time responsável no dia a dia.
3. Descrição. Uma ou duas frases. O que o sistema faz, e sobre quais dados?
4. Status. planejado | em_desenvolvimento | em_produção | descontinuado.
5. Vínculo com o Brasil (br_nexus). O sistema afeta titulares de dados no Brasil, é oferecido a usuários no Brasil, ou está sujeito a regulação setorial brasileira (BCB, Anvisa, CVM)? Se sim, a análise do marco brasileiro se aplica — independentemente de onde o sistema foi desenvolvido.
6. Envolve decisão automatizada sobre pessoa física? Se sim, marque lgpd_art20: true — o direito a revisão humana e explicação do Art. 20 da LGPD se aplica já, com ou sem o PL 2338.
7. Prosseguir para classificação? Ofereça rodar o roteiro agora, ou pular e voltar depois.

Atribua um ID: sys-NNN onde NNN é o próximo inteiro no arquivo.

Roteiro de classificação

O roteiro produz role, role_basis, tier, tier_basis. Ambas as bases são marcadas [verificar contra texto vigente do PL 2338/2023 e regulação setorial] — não porque a skill está se protegendo, mas porque o mapeamento é complexo e o PL ainda está em tramitação (pode ter sido alterado, sancionado ou vetado entre a redação desta skill e o uso). O advogado é dono da verificação.

Passo 1: Papel

Quem faz o quê com este sistema?

Opções, com o teste distintivo:

• Fornecedor/desenvolvedor — você desenvolve o sistema (ou manda desenvolver) e o coloca em operação ou disponibiliza sob sua marca.
• Operador/implementador — você usa o sistema sob sua própria autoridade, para atividade profissional (não uso pessoal). É o mais comum dentro de empresas.
• Distribuidor — você disponibiliza um sistema de IA no mercado sem ser o fornecedor original.

Sinalização de papel duplo. Se o usuário modifica substancialmente um sistema de terceiro (faz fine-tuning com dados próprios, muda a finalidade pretendida, rebrand), ele pode se tornar fornecedor/desenvolvedor do sistema modificado mesmo tendo começado como operador. Chame atenção quando o usuário descrever qualquer modificação além de configuração. [verificar contra texto vigente do PL 2338/2023 — dispositivo de responsabilidade solidária/modificação substancial]

Escreva o papel. Escreva role_basis em uma frase.

Passo 2: Nível de risco

O que o sistema faz, e o caso de uso cai numa categoria regulada?

Verifique nesta ordem:

A. Práticas de risco excessivo (proibidas). [verificar contra texto vigente do PL 2338/2023]

Resumos, não texto definitivo — o PL 2338/2023 lista como prática de risco excessivo (sujeita a mudança até sanção):

• Técnicas subliminares ou manipulação capazes de distorcer materialmente o comportamento de uma pessoa, causando dano
• Exploração de vulnerabilidades (idade, deficiência, situação socioeconômica) para distorcer materialmente comportamento
• Avaliação ou classificação de pessoas com base em comportamento social ou características de personalidade levando a tratamento prejudicial (scoring social)
• Identificação biométrica remota em espaços públicos para fins de segurança pública (exceções restritas, sujeitas a autorização judicial)
• Classificação biométrica inferindo origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, orientação sexual, dados de saúde

Se enquadrado → nível é excessivo. Sinalize o caso de uso como stop e roteie para o fluxo de práticas proibidas do time de governança.

B. Áreas de alto risco. [verificar contra texto vigente do PL 2338/2023]

Resumos — hipóteses típicas de alto risco no PL 2338/2023:

1. Saúde (diagnóstico, triagem, priorização de atendimento) — atenção: sobreposição direta com RDC Anvisa 657/2022 se o sistema for SaMD
2. Segurança pública e sistema de justiça (avaliação de risco, apoio a decisões judiciais, meios de prova)
3. Educação (acesso, avaliação, monitoramento de comportamento)
4. Emprego, seleção, gestão e monitoramento de trabalhadores (recrutamento, avaliação de desempenho, alocação de tarefas, demissão)
5. Serviços essenciais públicos e privados (benefícios sociais, concessão de crédito e scoring — atenção: sobreposição com Res. CMN/BCB 4.658 —, precificação de seguro de vida/saúde)
6. Infraestrutura crítica (energia, água, transporte, telecomunicações)
7. Migração e controle de fronteira
8. Processos eleitorais e democráticos

Se enquadrado → nível é alto_risco. Anote a hipótese e o setor específico, e se há sobreposição com regulação setorial (BCB/Anvisa/CVM) — nesse caso, ambos os regimes se aplicam cumulativamente, não um substitui o outro.

C. Risco geral (transparência). Chatbots interagindo com pessoas naturais, conteúdo sintético/deepfake, sistemas de reconhecimento de emoção fora do escopo de risco excessivo — obrigações de transparência se aplicam (informar a pessoa que está interagindo com IA).

D. Sobreposição LGPD Art. 20 (independente do nível PL 2338). Se o sistema toma ou apoia decisão automatizada que afeta a pessoa (crédito, perfil de consumo, seleção de emprego, etc.), o direito a revisão humana e a explicação dos critérios se aplica hoje, sob a LGPD, mesmo que o sistema seja classificado como risco geral no PL 2338. Marque lgpd_art20: true sempre que aplicável — este campo é independente do tier.

Escreva o nível. Escreva tier_basis em uma frase, citando o dispositivo do PL ou a norma setorial que se enquadrou, marcado [verificar contra texto vigente].

Passo 3: Recomendações

Ofereça três próximos passos:

1. "Quer que eu percorra as obrigações deste sistema? Faço em conversa — não derivo de uma tabela."
2. "Quer rodar /ai-governance-legal:aia-generation para produzir uma avaliação de impacto completa?"
3. "Quer definir uma data de próxima revisão? Eu adiciono ao inventário."

Formato do registro

systems:
  - id: sys-001
    name: "Ferramenta de triagem de currículos"
    owner: "RH / Jamie"
    description: "Filtra currículos recebidos contra critérios de vaga"
    status: em_producao            # planejado | em_desenvolvimento | em_producao | descontinuado
    br_nexus: true                 # afeta titulares no Brasil ou sujeito a regulação setorial BR
    lgpd_art20: true                # decisão automatizada que afeta pessoa física — direito a revisão (LGPD Art. 20)
    role: operador                  # fornecedor | operador | distribuidor
    role_basis: "Licenciamos da VendorX e operamos internamente [verificar contra texto vigente do PL 2338/2023]"
    tier: alto_risco                 # excessivo | alto_risco | risco_geral
    tier_basis: "Hipótese de alto risco — emprego/recrutamento/seleção [verificar contra texto vigente do PL 2338/2023]"
    obligations_assessed: false
    obligations_note: "A avaliar: como operador de sistema de alto risco — supervisão humana, qualidade dos dados de entrada, monitoramento, registro, informar aos trabalhadores, revisão humana sob LGPD Art. 20 [verificar contra texto vigente do PL 2338/2023]"
    next_review: "2026-08-01"
    review_trigger: "em modificação substancial ou anualmente, ou na sanção do PL 2338/2023"
    created: "2026-05-11"
    updated: "2026-05-11"

Por que esta skill NÃO deriva obrigações automaticamente

O inventário guarda papel, nível e a base de cada um. NÃO contém uma tabela fixa papel × nível → obrigações.

Quando o usuário perguntar "quais são minhas obrigações para o Sistema X?", a skill faz a análise em conversa, marcada [verify], e roteia para /ai-governance-legal:aia-generation para a avaliação de impacto formal se necessário.

Isso é deliberado:

• O PL 2338/2023 ainda está em tramitação — pode ser alterado, sancionado com vetos, ou substituído até você ler este texto.
• A regulação setorial (BCB, Anvisa, CVM) muda por resolução administrativa, sem o mesmo aviso público que uma lei.
• Confiante-e-errado numa obrigação de compliance acaba num memorando de conselho.
• O inventário é um registro para o advogado. O advogado é dono da análise de obrigações.

Guardrails

• Nunca classifique silenciosamente. O roteiro de classificação deve ser visível; não classifique automaticamente a partir de uma descrição do sistema.
• As tags [verify] ficam. Não são hedging — são o ponto. Não remova nos outputs.
• Sinalize modificação substancial. Sempre que um sistema for modificado além de configuração, avise o usuário para rodar /ai-inventory classify de novo — modificação pode mudar o papel.
• Não declare obrigações a partir de uma tabela. Se perguntado, faça a análise em conversa e roteie para /aia-generation para qualquer coisa que precise de registro formal.
• Trate LGPD Art. 20 como piso, não teto. Mesmo que o PL 2338/2023 nunca seja sancionado, ou classifique o sistema como risco geral, a obrigação de revisão humana sob decisão automatizada da LGPD já existe hoje e não desaparece.