NIST propõe perfil de risco de IA para infraestrutura crítica e inclui a manufatura na lista

Em abril de 2026, o instituto de padrões dos Estados Unidos (NIST) abriu uma nota conceitual para um novo perfil de gestão de risco de IA voltado a infraestrutura crítica, setor que inclui a manufatura. O documento ainda não é o perfil final, mas já dá pistas de como aplicar a lógica do framework no chão de fábrica.

O NIST, o instituto de padrões e tecnologia dos Estados Unidos, mantém desde janeiro de 2023 um guia chamado AI RMF (sigla de AI Risk Management Framework, framework de gestão de risco de inteligência artificial). É um documento de uso voluntário, sem força de lei, criado para ajudar empresas a decidir onde a IA pode entrar num processo e onde ela precisa de mais controle antes de entrar. Em 7 de abril de 2026, segundo a página oficial do instituto, o NIST publicou uma nota conceitual (um rascunho inicial, ainda não o documento final) para um novo perfil dentro desse framework, voltado a operadores de infraestrutura crítica.

A pauta original tratava esse perfil como algo específico para manufatura e automação industrial. Não é bem isso: o texto do NIST fala em "infraestrutura crítica" de forma ampla, sem listar na própria página oficial quais setores especificamente essa categoria abrange. A fábrica entra na conversa como parte dessa categoria mais ampla, não como o alvo único do documento. Vale explicar o framework inteiro para entender onde a planta industrial se encaixa.

O que já existia antes desta nota

O AI RMF 1.0, lançado em janeiro de 2023, organiza a gestão de risco de IA em quatro funções que se repetem em ciclo: Governar (definir quem decide o quê), Mapear (entender o contexto e os riscos do caso de uso), Medir (testar e quantificar esses riscos) e Gerenciar (agir sobre o que foi medido, incluindo decidir não usar a IA naquele ponto). O NIST também publicou um Playbook, um guia prático de implementação, e em julho de 2024 lançou um perfil complementar, o NIST-AI-600-1, dedicado especificamente a IA generativa.

Esses perfis são a parte interessante do framework para quem administra uma fábrica. O AI RMF em si é genérico demais para aplicar direto na linha; o perfil é a tradução dele para um contexto específico, com riscos e perguntas já recortados para aquele setor. É isso que a nota conceitual de abril de 2026 promete fazer para infraestrutura crítica, incluindo manufatura.

O que a nota conceitual de infraestrutura crítica já indica

O documento, segundo o NIST, vai "guiar operadores de infraestrutura crítica rumo a práticas específicas de gestão de risco a considerar ao adotar capacidades habilitadas por IA". Isso é a linguagem de um ponto de partida, não de um manual pronto. Pelo padrão de perfis anteriores do NIST, como o de IA generativa lançado em 2024, é razoável esperar que esse texto também passe por revisões antes de virar referência estável, embora a página oficial do NIST não detalhe um processo de comentário público especificamente para esta nota conceitual.

Para quem gerencia qualidade ou automação numa planta, isso traz duas consequências práticas. Primeiro, ainda não há um checklist pronto e específico para manufatura assinado pelo NIST: quem quiser aplicar algo hoje precisa adaptar o AI RMF genérico, não esperar o perfil setorial. Segundo, vale acompanhar esse processo, porque quando o perfil final sair, ele deve chegar com exemplos e categorias de risco já pensados para chão de fábrica, isso reduz o trabalho de tradução que a empresa teria que fazer sozinha.

Aplicando as quatro funções numa decisão real de linha

A utilidade do AI RMF para o gestor de qualidade ou o engenheiro de automação não está em ler o PDF inteiro, está em usar as quatro funções como um roteiro de perguntas antes de ligar qualquer sistema de IA na linha.

1. Governar: quem na planta tem autoridade para aprovar que um sistema de visão computacional (câmera com software que reconhece padrões em imagem) entre em operação, e quem pode mandar desligar se algo sair do esperado? Sem essa resposta antes do piloto, o projeto fica sem dono quando dá problema.
2. Mapear: o que exatamente esse sistema vai decidir sozinho, e o que ele só vai sugerir para um humano decidir? Um sistema que classifica peça boa ou defeituosa numa esteira de inspeção não tem o mesmo risco de um sistema que também aciona o descarte físico da peça sem revisão.
3. Medir: antes de rodar em produção, rodar em paralelo com o processo atual (o inspetor humano, o sensor antigo) e registrar taxa de acerto, taxa de falso positivo e falso negativo, por um período definido.
4. Gerenciar: com os números da etapa anterior, decidir se o sistema entra, entra com supervisão humana obrigatória, ou não entra ainda.

Esse roteiro não custa nada para aplicar, é só disciplina de documentação. O custo real aparece na etapa de Medir, onde entram sensor, câmera, licença de software e a hora de um técnico dedicado a acompanhar o piloto, normalmente de duas a quatro semanas numa linha só antes de qualquer decisão de expansão.

Onde a segurança do trabalho entra, e o NIST não substitui

O AI RMF é um framework de gestão de risco corporativo e de conformidade, não uma norma de segurança do trabalho. Nenhuma função dele revoga o que já está em vigor. Se o sistema de IA controla ou interage com máquina perto de pessoa, a norma que vale continua sendo a NR-12 (segurança no trabalho em máquinas e equipamentos) e a norma específica daquele equipamento, quando existir.

Na prática, isso significa que a função Mapear do AI RMF precisa incluir uma pergunta que o framework genérico não faz por conta própria: esse sistema muda algo na proteção física da máquina, na distância de segurança ou na forma como o operador interage com o equipamento? Se mudar, a análise de risco da NR-12 entra antes da análise de risco de IA, não depois. IA que decide parar ou acelerar uma máquina perto de gente exige a mesma documentação de risco que qualquer outra automação exigiria, com ou sem inteligência artificial no meio.

Por que vale acompanhar mesmo sem o perfil pronto

O perfil de infraestrutura crítica ainda é uma nota conceitual, sem data de conclusão divulgada pelo NIST na página oficial. Isso quer dizer que não há hoje um documento setorial de manufatura para baixar e aplicar linha por linha. O que existe é o AI RMF 1.0 genérico, o Playbook de implementação e o precedente do perfil de IA generativa, que mostra como o NIST costuma estruturar esses documentos quando ficam prontos.

Para uma planta média que está decidindo se testa IA na inspeção de qualidade, na manutenção preditiva ou no planejamento de produção, o caminho razoável agora é usar o ciclo Governar, Mapear, Medir, Gerenciar como checklist interno, documentar cada decisão (quem aprovou, o que foi medido, por quanto tempo) e guardar esse histórico. Quando o perfil setorial sair, essa documentação já estará no formato que o NIST provavelmente vai pedir, e o piloto que já rodou numa linha só vira o caso que justifica (ou não) expandir para o resto da fábrica.

Fonte: NIST AI Risk Management Framework (AI RMF 1.0) — página oficial