Framework vendor-neutral para governar sistemas de IA e agentes do mandato executivo ao runtime.
Este repositório reúne policy, operating model, arquitetura, design patterns, controles, assessments, schemas e templates em uma única fonte canônica. O mesmo conteúdo pode ser consumido como referência técnica, guia de implantação, handbook e base para futuras publicações.
Status normativo: a policy modular é a fonte canônica. A release 1.0 do framework está adotada desde 2026-08-10 (ADR-0006) — o que versiona esta baseline, e não declara adoção por nenhuma organização. Cada organização adota pela sua própria authority competente.
Uma pergunta antes de tudo: estudar ou implantar?
- Estudar → handbook, na ordem editorial.
- Implantar → trilhas de leitura — sponsor, programa, risco e arquitetura, cada uma terminando numa decisão.
Quem vai implantar deve ler o implementation playbook antes de qualquer outra coisa: é o único documento que dá ordem; os demais dão conteúdo.
O restante desta página é referência — serve para localizar um assunto, não para decidir por onde começar.
Agentes combinam modelos probabilísticos, dados, identidades, ferramentas e capacidade de ação. Sem um sistema de governança, a organização perde respostas básicas:
- o que existe, por que existe e quem responde;
- quais dados, tools, APIs e MCP servers podem ser usados;
- qual autonomia e blast radius foram aprovados;
- quais testes e evidências sustentam a publicação;
- como detectar desvio, conter, remediar e aposentar;
- se criação, adoção, qualidade e valor estão sendo medidos separadamente.
O framework conecta essas respostas em um lifecycle verificável e proporcional ao risco.
- Estratégia e valor — mandato, portfólio, owner, hipótese e métricas.
- Control plane — registry, blueprint, identidade, policy e lifecycle.
- Assurance plane — risco, Responsible AI, privacy, security e avaliações.
- Adoção e suporte — enablement, change, suporte e feedback.
- Runtime e melhoria — telemetria, incidentes, contenção, attestation e valor.
Control plane e assurance plane são complementares. Inventário, identidade e telemetria não comprovam, sozinhos, segurança, equidade, transparência ou impacto responsável.
| Se você precisa... | Comece aqui |
|---|---|
| entender o framework em 20 minutos | Brief executivo |
| estudar a referência completa | Handbook e ordem de leitura |
| implantar a governança | Implementation playbook |
| usar uma sequência inicial acelerada | Roadmap sugestivo de 90 dias |
| usar um programa detalhado como referência | Programa sugestivo de 24 semanas |
| escolher uma rota de validação delimitada | Plano opcional de piloto |
| avaliar maturidade | Maturity model |
| reutilizar soluções arquiteturais | Catálogo de design patterns |
| adotar controles verificáveis | Control catalog |
| registrar agentes e arquitetura | Schemas e exemplos |
| conhecer a produtificação comercial separada | Consultoria: três pacotes e nove módulos |
| estudar uma referência externa opcional | Caso Microsoft Customer Zero |
| Artefato | Uso |
|---|---|
| Policy modular | entrada normativa, composição, boundaries e versionamento |
| Operating model | papéis, decision rights, fóruns e handoffs |
| Arquitetura | planos, fluxos e boundaries |
| Patterns | soluções recorrentes e antipatterns |
| Control catalog | requisitos, implementações e evidências |
| Risk tier e admissibilidade | criticidade separada da decisão de permitir, condicionar, restringir ou proibir |
| Minimum Production Bar | piso de controles por tier para entrar e permanecer em produção |
| Registry + blueprint | inventário, arquitetura e accountability estruturados |
| Catálogos estruturados | models/providers, certified sources, enterprise tools, release evidence e audit events |
| Lifecycle | estados, mudança material, attestation, dormancy e retirement |
| Modelos e provedores | catálogo de combinações aprovadas, fallback e exit strategy |
| Assessments | risco, maturidade e comparações |
| Templates | execução humana e evidências |
| Handbook | ordem editorial para leitura linear e futura publicação |
- AI-operated, human-led: automação não remove accountability humana.
- Proporcionalidade: controles crescem com alcance, autonomia, criticidade, dados, irreversibilidade e capacidade de ação.
- Governança distribuída: negócio, identidade, dados, segurança, plataforma, Responsible AI e operações preservam seus decision rights.
- Build time ≠ runtime: release gates não substituem observabilidade e contenção.
- Registry ≠ governança completa: inventário precisa de ownership, lifecycle, assurance e remediação.
- Visibilidade deve levar à ação: dashboard sem owner, SLA e workflow é apenas observação.
- Valor exige evidência: volume de agentes não prova adoção, qualidade ou retorno.
- Vendor-neutral core: produtos implementam capacidades; não definem o framework.
Os documentos modulares permanecem como fonte canônica e o handbook define uma ordem editorial estável. Quando o conteúdo estiver maduro, PDF, EPUB ou outros formatos devem ser gerados a partir dessa fonte — nunca mantidos como cópias editoriais independentes.
A produtificação pessoal deste conhecimento está em consulting/, organizada em três pacotes compostos por nove módulos. Ela deriva do framework, mas não integra a policy, o handbook ou a comunicação executiva canônica.
O framework não é certificação, parecer jurídico, garantia de conformidade nem promessa de retorno financeiro. Resultados dependem de contexto, implementação, adoção e evidência observável.
O framework surgiu de trabalho aplicado de governança de agentes em contexto industrial e evoluiu com referências públicas como NIST AI RMF, ISO/IEC 42001 e 23894, OECD AI Principles, EU AI Act, OWASP GenAI e MITRE ATLAS. O caso Microsoft é evidência institucional útil, não auditoria independente nem arquitetura universal.
- Build local opcional do site — leitura contínua reproduzível; publicação é manual e não é requisito
- Índice completo e jornadas por persona
- Roadmap do produto de conhecimento
- Glossário
- Fontes e standards de referência
- Como contribuir
Creative Commons Attribution 4.0 International — uso, adaptação e compartilhamento permitidos com atribuição.
Rodrigo Garcia Guimarães
Infrastructure Senior Architect | AI Governance | Hybrid Cloud & Industrial Edge
LinkedIn · GitHub