c6.7 Monitore o uso da aplicação de IA com logs de auditoria atribuídos
Registre o acesso e o uso da aplicação de IA com atribuição de usuário e monitore o comportamento anômalo, para que o uso indevido, as credenciais comprometidas e as violações de política sejam detectáveis.
Guia de implementação
Como implementar na AWS
Habilite o CloudTrail (trail de organização) para registrar o acesso e o uso da app de IA com atribuição de contexto de usuário. Monitore padrões de uso, taxas de erro e adoção com métricas e alarmes do CloudWatch, e use analítica específica de cada app (usage analytics do Q Developer, audit logging do Quick, telemetria do Kiro). Aplique limites de taxa e cotas de uso por usuário.
Critérios de aceitação
O acesso à app de IA é registrado com atribuição de usuário e de forma centralizada; as anomalias de uso geram alarmes do CloudWatch; limites de taxa/cotas por usuário são aplicados.
Implementação prática
Como este controle é implementado em cada arquitetura de referência:
O acesso à app de IA é registrado com atribuição de usuário via o CloudTrail de organização para o Log archive, as anomalias de uso alarmam no CloudWatch e limites de taxa por usuário são aplicados.
- Habilite o CloudTrail de organização para registrar o acesso e o uso da app de IA com atribuição de contexto de usuário, encaminhado para o Log archive.Conta de aplicação → Log archive
CloudTrail 
Amazon S3 - Monitore padrões de uso, taxas de erro e adoção com métricas/alarmes do CloudWatch, complementado por analítica específica de cada app (usage analytics do Q Developer, audit logging do Quick, telemetria do Kiro).Conta de aplicação
CloudWatch - Aplique limites de taxa e cotas de uso por usuário.Conta de aplicação
AWS WAF 
API Gateway
Como validar: O acesso à app de IA é registrado com atribuição de usuário e de forma centralizada no Log archive; as anomalias de uso geram alarmes do CloudWatch; limites de taxa/cotas por usuário são aplicados.
Evite: Registrar o uso da app sem atribuí-lo a um usuário. A atribuição é o que permite investigar uma conta comprometida ou o uso indevido.
O CloudTrail na conta com atribuição de usuário, os alarmes de anomalias do CloudWatch e os limites de taxa por usuário tornam o uso da app de IA auditável.
- Registre o acesso e o uso da app de IA com atribuição de contexto de usuário via CloudTrail no bucket com Object Lock da conta.Registro na conta CloudTrail Amazon S3
- Monitore uso, taxas de erro e adoção com o CloudWatch e analítica específica de cada app.Registro na conta CloudWatch
- Aplique limites de taxa e cotas por usuário.Camada de aplicação (papel IAM) AWS WAF API Gateway
Como validar: O acesso à app de IA é registrado com atribuição de usuário; as anomalias de uso geram alarmes; limites de taxa/cotas por usuário são aplicados.
Evite: Sem analítica de uso nem limites de taxa. Você não consegue detectar abuso nem uma credencial comprometida sem dados de uso atribuídos.
Ameaças atendidas
- Credenciais comprometidas ou uso anômalo passando despercebidos.
- Sem trilha de auditoria atribuída do acesso à aplicação de IA para investigações.
Serviços AWS
AWS CloudTrail Amazon CloudWatch Mapeamentos de frameworks
OWASP GenAI/LLM Top 10 (2026)
- LLM02 Sensitive Information Disclosure
- LLM06 Unbounded Consumption
NIST AI Risk Management Framework (AI 100-1)
- MEASURE.3 Mechanisms for tracking AI risks are in place
- MANAGE.4 Risk treatments, monitoring and response are documented and applied
AWS Well-Architected Generative AI Lens (Security)
- GENSEC03-BP01 Implement control plane and data access monitoring
Recursos de aprendizado
Referências
- AWS SRA para IA — Capacidade 6, Registro e monitoramento