IntelliAudit usa LLMs para avaliar controles de auditoria de TI

O que aconteceu

O artigo “IntelliAudit: Using Large Language Models to Evaluate Audit Controls” foi submetido ao arXiv (arXiv:2608.07688v1) em 7 de agosto de 2026, na categoria Computer Science > Artificial Intelligence. O sistema combina recuperação de informação e múltiplos agentes de LLM para avaliar se um controle é atendido por um corpus de evidências. O fluxo inclui recuperar artefatos relevantes, gerar uma avaliação fundamentada, desafiar achados adversos, julgar discordâncias e produzir uma recomendação com evidências citadas, raciocínio explícito, análise de lacunas e orientações de remediação.

A instanciação foi feita sobre a ISO/IEC 27001, e a avaliação usou organizações simuladas, com revisão de auditores especialistas e feedback de usuários em preparação para auditoria.

Contexto

Auditorias de TI exigem julgar se evidências heterogêneas — políticas, registros, planilhas e artefatos operacionais — atendem a controles semânticos de segurança e compliance. Esse julgamento é difícil de automatizar porque a conclusão depende da suficiência probatória, não de correspondência por palavras-chave. O IntelliAudit ataca exatamente esse ponto ao propor um sistema que fundamenta a recomendação em evidências recuperadas e sinaliza quando faltam provas.

Por que importa

Para empresas, especialmente as que buscam ou renovam certificações como a ISO/IEC 27001, a preparação de auditoria é intensiva em mão de obra. No Brasil, o raciocínio vale também para adequações ligadas à LGPD e a exigências de órgãos reguladores que cobram controles formais de segurança da informação. A ferramenta não substitui o julgamento do auditor, mas pode reduzir o retrabalho de levantar e cruzar evidências — desde que haja supervisão humana. O próprio estudo aponta o risco: sem calibração, o sistema tende a gerar recomendações excessivamente permissivas.

Impacto

No curto prazo, o estudo oferece um modelo replicável de uso de LLMs em auditoria: recuperação de evidências, raciocínio fundamentado e arbitragem entre agentes. No médio prazo, sistemas assim podem mudar a rotina de auditorias internas e consultorias, deslocando o trabalho de coleta manual para revisão crítica de recomendações. O contraponto é regulatório e de confiança: os autores não defendem certificação autônoma e tratam a supervisão humana como condição de uso.

O que muda

A barra para automação em auditoria sobe: o IntelliAudit demonstra que LLMs podem operar sobre evidências distribuídas e produzir trilhas de raciocínio citáveis, em vez de apenas responder perguntas genéricas. Para quem desenha processos de compliance, o trabalho indica a necessidade de critérios claros de suficiência de evidência e de revisão humana antes de qualquer conclusão formal.

O que vem agora

O paper é uma versão inicial (v1) e não detalha cronograma comercial. O passo natural é a validação em cenários reais de auditoria, além das organizações simuladas, e a integração com plataformas de gestão de compliance. Também fica em aberto como o sistema se comporta diante de normas com requisitos mais subjetivos que os da ISO/IEC 27001. Por ora, a recomendação explícita dos autores é usar a ferramenta como apoio ao auditor, não como substituta.

Fontes

arXiv (cs.AI) — “IntelliAudit: Using Large Language Models to Evaluate Audit Controls” (https://arxiv.org/abs/2608.07688)