O auditor não pergunta se você usa IA. Pergunta o que você consegue provar.
A auditoria de IA não é uma disciplina separada. Ela aparece dentro de ITGC, dentro de controles internos, dentro de LGPD. O auditor vai perguntar quem é o responsável, como o modelo é monitorado, qual é a evidência de controle. Se você não tem resposta em segundos, você tem achado. O problema não está na IA em si. Está na ausência de estrutura de governança ao redor dela.
Se a resposta for "a área de TI", você não tem AI Owner. Tem orfandade institucional.
Você tem controle de IA. O auditor pediu evidência. Você mandou a política. Não foi suficiente.
Seus controles ITGC cobrem o ERP. O ERP agora tem ML. Os controles não foram atualizados.
O modelo errou. O que você faz nas próximas duas horas? A maioria das empresas não tem resposta.
Uma página por modelo. É tudo que o auditor precisa ver. Você não tem.