c3.5 Classifique e marque os dados na ingestão
Classifique os dados de origem do RAG por sensibilidade no ponto de ingestão e marque-os, para que os controles a jusante (filtragem por metadados, acesso, retenção) apliquem o tratamento correto.
Guia de implementação
Como implementar na AWS
Defina níveis de classificação (público, interno, confidencial, restrito). Use o Amazon Macie para detectar e classificar dados sensíveis na ingestão, aplique tags de recursos da AWS (impostas por tag policies do Organizations) e mantenha um catálogo de dados no AWS Glue mapeando localização, sensibilidade e controles.
Critérios de aceitação
Os dados de origem são classificados e marcados na ingestão; um catálogo de dados registra sensibilidade e controles; as tag policies impõem padrões.
Implementação prática
Como este controle é implementado em cada arquitetura de referência:
Os dados de origem são classificados pelo Macie na ingestão, marcados (imposto por tag policies da org) e catalogados no Glue para que os controles a jusante saibam como tratá-los.
- Defina níveis de classificação (público, interno, confidencial, restrito) e use o Amazon Macie para detectar e classificar dados sensíveis conforme são ingeridos na conta de IA generativa.Conta de IA generativa
Amazon Macie 
Amazon S3 - Aplique tags de recursos da AWS para a sensibilidade e imponha-as com tag policies do Organizations no nível da OU.OU de IA generativa (guardrail)
AWS Organizations Amazon S3 - Mantenha um AWS Glue Data Catalog mapeando localização, sensibilidade e controles exigidos para cada dataset.
Como validar: Os dados de origem são classificados e marcados na ingestão; o catálogo do Glue registra sensibilidade e controles; as tag policies impõem o padrão de marcação.
Evite: Tratar todos os dados de RAG como um bucket de conteúdo 'interno'. Classifique na ingestão para que a filtragem por metadados, o acesso e a retenção atuem sobre a sensibilidade real.
O Macie classifica os dados de origem na ingestão, as tags carregam a sensibilidade e um catálogo do Glue registra o tratamento — tudo dentro da conta.
- Defina níveis de classificação e use o Amazon Macie para classificar dados sensíveis na ingestão.Camada de IA generativa (papel IAM) Amazon Macie Amazon S3
- Aplique tags de sensibilidade aos dados de origem e mantenha uma convenção de marcação consistente.Camada de IA generativa (papel IAM) Amazon S3
- Mantenha um Glue Data Catalog mapeando localização, sensibilidade e controles.
Como validar: Os dados são classificados e marcados na ingestão; o catálogo registra sensibilidade e controles.
Evite: Pular a classificação e esperar que os filtros peguem tudo. Classifique e marque primeiro para que o restante dos controles tenha algo contra o que atuar.
Ameaças atendidas
- A IA tratando todos os dados igual porque nada está classificado.
- Dados sensíveis tratados sem os controles que sua classificação exige.
Serviços AWS
Amazon Macie AWS Glue Data Catalog AWS Organizations Mapeamentos de frameworks
OWASP GenAI/LLM Top 10 (2026)
- LLM02 Sensitive Information Disclosure
- LLM08 Hidden Context Exposure
NIST AI Risk Management Framework (AI 100-1)
- MAP.4 Risks and impacts are mapped
- MAP.5 Impacts to individuals, groups and society are characterized
AWS Well-Architected Generative AI Lens (Security)
- GENSEC01-BP03 Implement least privilege access to data stores
Recursos de aprendizado
Referências
- AWS SRA para IA — Capacidade 3, Classificação e tratamento de dados