Inventário
A IA em cada máquina
Assistentes, editores agênticos, modelos locais como Ollama — e criptografia, firewall, antivírus e atualizações de cada máquina.
O que o agente lêGovernança de IA
A IA da sua empresa, auditada máquina por máquina.
Um agente só de leitura mapeia a IA e a postura de segurança de cada máquina: a base para a ISO/IEC 42001, lida na fonte.
Entre com a conta Google da sua empresa. Microsoft em breve.
- Norma nativa
- ISO/IEC 42001
- Base para
- LGPD art. 37GDPR art. 30
- Agente
- macOSWindows
- Feito no Brasil
- PortuguêsEnglish
O que ainda não enxergamos está escrito nesta página.Ver os limites
01Shadow AI
Você já viveu pelo menos uma destas.
Em empresas de 50 a 500 pessoas, tudo isso cai numa TI que já está no limite.
Ninguém tem a lista
Marketing usa uma IA, jurídico outra, TI uma terceira. Qual roda em qual máquina, ninguém sabe dizer.
Um modelo no notebook
Alguém instalou um modelo que roda no próprio notebook. Ferramenta sem agente não enxerga isso.
O questionário do cliente
Um cliente pergunta como vocês governam o uso de IA. A resposta honesta é uma planilha e boa vontade.
A prova é um print
O auditor pede evidência de que o controle funcionava em março. O que existe é um print de hoje.
02Por que agora
A IA entrou. A governança, não.
No Brasil, a ANPD reservou 20 ações de fiscalização a IA e tecnologias emergentes ao longo de 2027.
Fonte: ANPD, Resolução CD/ANPD nº 30/2025 (Mapa de Temas Prioritários 2026–2027)
51%
dos CTOs, CIOs e CISOs não sabem dizer com certeza se uma ferramenta interna feita com IA já causou incidente.
Retool, The State of AI Governance in 2026 · 307 CTOs, CIOs e CISOs, maio de 2026
8%
descrevem como forte a governança das ferramentas internas da própria empresa.
Retool, The State of AI Governance in 2026 · 307 CTOs, CIOs e CISOs, maio de 2026
€ 35 milhões ou 7%
do faturamento mundial: o teto das multas do AI Act europeu, reservado a práticas de IA proibidas.
Regulamento (UE) 2024/1689, art. 99 · em aplicação desde 2 de agosto de 2025
03O produto
Veja. Meça. Corrija. Prove.
ISO/IEC 42001
Dois números, nunca uma nota Em breve
Cobertura: quanto da norma foi avaliado. Conformidade: do avaliado, quanto passa. Não avaliado nunca conta como falha.
Ações
A correção vem junto Em breve
Cada falha vira ação com responsável, prazo e correção. Risco aceito exige justificativa e nunca vira aprovação.
Evidência
Prova que qualquer auditor confere Em breve
Cada resultado entra numa cadeia de hash assinada. O auditor confere sozinho, com a chave pública, sem confiar em nós.
Procedência04Procedência
Relatório bonito não prova nada.
Abril de 2026
Uma startup americana de conformidade, avaliada em US$ 300 milhões, foi retirada do diretório da Y Combinator após denúncias de que seus relatórios ficavam prontos antes da evidência — o mesmo trecho em 493 de 494. A empresa nega.
Fontes: TechCrunch, 4/4/2026 · The Tech (MIT), 9/4/2026 · DeepDelver, 19/3/2026
Desde então, a pergunta de compra mudou: de onde veio cada evidência?
Lido na máquina No ar
Cada envio sai da máquina assinado pela chave do próprio dispositivo. O dado vem dela, não de nós.
Encadeado e assinado Em breve
Cada resultado prende o hash do anterior e recebe a nossa assinatura. Mexer num registro quebra todos os seguintes.
Conferido por fora Em breve
Qualquer auditor recalcula a cadeia com a chave pública, sem login. A resposta é “íntegro” ou o ponto da quebra.
Verificar dossiê
Prévia · em breveÍntegro — a cadeia fecha de ponta a ponta
A verificação pode dizer não. É isso que dá valor ao sim.
A cadeia, a assinatura e a verificação pública ainda não estão no ar. Até entrarem, nada aqui é chamado de prova assinada.
05Como funciona
Uma máquina primeiro. Depois, a frota.
Tela ilustrativa. Dados fictícios.
A tela de entrada, com o botão de entrar com Google. Crie a conta
Entre com a conta Google da empresa, crie a organização e convide o time com papéis definidos.
O terminal com o comando de instalação e a resposta do agente; na tela, a máquina já reportando. Instale o agente
A tela gera um comando com a chave. Rode na máquina, como administrador: ela se registra na hora.
A máquina logo depois da primeira leitura, com a IA encontrada e o achado. Veja o que ele encontra Em breve
A máquina aparece assim que o agente é instalado: IA, criptografia, antivírus, atualizações. Depois, uma leitura a cada seis horas.
A ação passando de aberta para resolvida depois da leitura seguinte. Corrija e acompanhe Em breve
Cada falha vira ação com prazo. A próxima leitura confirma a correção. Prova assinada em breve.
06Transparência
O agente lê. Quem mexe é você.
Não bloqueia, não altera e não corrige nada nas suas máquinas. É princípio: quem executa um controle não pode atestá-lo.
O que o agente lê — e o que ele nunca lê
As mesmas palavras da tela Dispositivos, dentro do produto.
Lê
- Nome da máquina, número de série e se ela é gerenciada pela empresa
- Versão e build do sistema operacional
- Criptografia de disco, firewall, antivírus, bloqueio de tela, Secure Boot e a configuração de atualização do sistema
- Programas instalados, com versão
- Ferramentas de IA instaladas e se estão rodando
Nunca lê
- Conteúdo de arquivo, e-mail ou mensagem
- Imagem da tela
- Área de transferência
- Endereço dos sites visitados
- Teclas digitadas
- Prompt ou conversa de ferramenta de IA
- Relatório bruto de cada máquina: apagado em 90 dias. A evidência é o resultado verificado, não o bruto.
- O dado do seu ambiente é seu. Tratamos em nome da sua empresa, só para entregar o serviço.
- Nome da conta: coletado para ligar o dispositivo a uma pessoa. A sua empresa pode desligar na tela.
07Limites declarados
Preferimos dizer agora, não na auditoria.
Nosso negócio é prova. Então, por escrito, o que ainda não enxergamos:
- 01
Aparelho pessoal, fora da gestão
IA usada em aparelho que a empresa não gerencia fica fora do nosso alcance. Ali, só política interna cobre.
- 02
IA no navegador
O agente vê programas, não sites. Uso de IA pela web, inclusive com conta pessoal, ainda não aparece.
- 03
Nuvem e Linux, ainda não
Conectores de Google Workspace, Microsoft 365 e AWS ainda não existem. O agente roda em macOS e Windows.
- 04
Não emitimos o certificado
Quem certifica ISO/IEC 42001 é organismo acreditado. Nós entregamos a leitura e, em breve, a prova.
O que nenhuma fonte verifica conta como não avaliado: derruba a cobertura, nunca a conformidade.
08Parceiros MSP
Nós auditamos. O serviço continua seu.
Corrigir o que falha, e cobrar por isso, continua sendo trabalho seu — nós não tocamos no ambiente.
No roteiro, ainda não disponível
- Instalador assinado para o seu RMMEm breve
- Um painel com todos os seus clientesNo roteiro
- A sua marca nas telas do clienteNo roteiro
09Perguntas
O que perguntam antes de instalar.
O agente lê meus arquivos, e-mails ou prompts?
Não. Ele lê a máquina: nome, número de série, sistema, criptografia, firewall, antivírus, bloqueio de tela, Secure Boot, atualizações, programas e quais ferramentas de IA existem e rodam. Nunca conteúdo de arquivo, e-mail ou mensagem, tela, área de transferência, sites visitados ou teclas, nem prompt ou conversa de IA. Lista completa acima, igual à do produto.
O agente muda alguma coisa na máquina?
Não. Ele não bloqueia, não altera configuração e não instala nada além de si mesmo. Lê a cada seis horas e assina cada envio com a chave do próprio dispositivo. Não substitui antivírus nem EDR — não disputamos esse espaço. E um dispositivo revogado na tela para de enviar na hora.
O que o Atesto cobre hoje?
Hoje, a leitura das máquinas macOS e Windows com o agente: a IA instalada e rodando e a postura de segurança. A avaliação pela ISO/IEC 42001 — com as perguntas guiadas de política, papéis, impacto, fornecedores, incidentes e comunicação — chega em breve. Linux e conectores de nuvem ainda não; o de Microsoft 365 é o próximo.
Vocês emitem o certificado ISO/IEC 42001?
Não, e nenhum software emite. Quem certifica é organismo de certificação acreditado. O papel do Atesto é outro: ler as máquinas o ano inteiro e, em breve, entregar a prova que o auditor confere por conta própria, em vez de pedir por e-mail.
Por que dois números, e não uma nota?
Porque uma nota única mistura “verificamos e está errado” com “ninguém olhou ainda”, e cada caso pede a ação oposta. Cobertura diz quanto foi avaliado; conformidade, quanto do avaliado passa. Uma máquina reprovada reprova a verificação — “quase todas” não é resposta. Leitura que falhou nunca vira reprovação. E as contas são simples: dá para refazer à mão.
O que chega com a prova assinada?
O motor de evidência. Cada resultado passa a prender o hash do anterior e a levar a nossa assinatura; o que é guardado vai para um armazenamento que não aceita alteração nem exclusão antes do prazo, nem por nós; e a verificação pública entra no ar. Até lá, nada neste produto é chamado de prova assinada.
Quanto custa?
O preço ainda está sendo definido. Quando estiver, fica publicado nesta página, para qualquer pessoa ver — sem “fale com vendas” para descobrir. Isso já está decidido.
Dá para instalar na frota inteira?
Hoje, máquina a máquina: a mesma chave vale para a frota inteira, e cada máquina ganha identidade própria, que sobrevive a troca de nome e reinstalação e pode ser revogada na tela sem afetar as outras. O instalador assinado, para distribuir pela GPO ou pelo RMM, chega em breve.
Comece por uma máquina.
Crie a conta, instale o agente e veja a máquina reportar. O que ainda não enxergamos está escrito acima.