ISO 42001: o que é, requisitos e como certificar a governança de IA

A ISO 42001 (ISO/IEC 42001:2023) é a primeira norma internacional que define requisitos para um Sistema de Gestão de Inteligência Artificial, o AIMS (Artificial Intelligence Management System). Publicada pela ISO em parceria com a IEC em dezembro de 2023, ela estabelece como organizações devem governar, controlar e melhorar o uso de IA ao longo de todo o ciclo de vida dos sistemas, do desenvolvimento à descontinuação. A norma é certificável e se aplica tanto a empresas que desenvolvem IA quanto às que compram e usam soluções de terceiros.

Assim como a ISO 9001 respondeu à necessidade de gestão da qualidade e a ISO 27001 à de segurança da informação, a ISO 42001 nasce de uma constatação simples: tecnologia sem governança gera risco sistêmico. No caso da IA, esse risco tem nome. Decisões automatizadas opacas, vieses algorítmicos, falhas de segurança em modelos, uso fora do propósito original e dificuldade de responsabilização quando algo dá errado.

Neste artigo você vai entender o que a norma exige, como ela se relaciona com a ISO 27001 e a ISO 9001, quem precisa se certificar e como funciona o processo de implementação.

O que é a ISO 42001 e para que serve?

De acordo com a publicação oficial da ISO, a ISO/IEC 42001 especifica requisitos para estabelecer, implementar, manter e melhorar continuamente um Sistema de Gestão de Inteligência Artificial. Na prática, ela serve para transformar o uso de IA em um processo governado, auditável e alinhado à estratégia do negócio.

Um AIMS em conformidade com a norma define:

• como as decisões sobre IA são tomadas e por quem;
• quem é responsável por cada etapa do ciclo de vida dos sistemas;
• como os riscos são identificados, avaliados e tratados;
• como incidentes e falhas são registrados e analisados;
• como o desempenho e os impactos dos sistemas são monitorados ao longo do tempo.

Sem essa estrutura, as respostas sobre controle de IA se baseiam em percepção. Com ela, se baseiam em evidência. Essa é a diferença que reguladores, clientes enterprise e conselhos de administração passaram a cobrar.

Por que a ISO 42001 se tornou urgente?

Três movimentos convergiram para tirar a governança de IA do campo das boas intenções e colocá-la no campo das exigências formais:

1. Regulação: o EU AI Act, em vigor desde 2024 com obrigações escalonadas, exige evidências formais de governança para sistemas de IA de risco. Empresas brasileiras que atendem o mercado europeu ou fazem parte de cadeias de fornecimento globais já sentem esse efeito em contratos e due diligence. Veja o texto do EU AI Act.
2. Uso em processos críticos: concessão de crédito, seleção de currículos, precificação, diagnóstico e atendimento já rodam com IA em produção. Quando a decisão automatizada afeta pessoas, a organização precisa comprovar controle, rastreabilidade e responsabilidade sobre ela.
3. Risco reputacional e contratual: sistemas de IA mal governados geram questionamentos jurídicos, perda de contratos e rejeição de clientes. Grandes contratantes começam a incluir requisitos de governança de IA na seleção de fornecedores, repetindo o movimento que consolidou a ISO 27001 no setor financeiro.

A ISO 42001 responde a esse cenário com um modelo de gestão preventiva, orientado a risco e melhoria contínua. Ela não trata apenas da tecnologia. Trata da estrutura de decisão e supervisão por trás dela.

Quais são os requisitos da ISO 42001?

A norma segue a High Level Structure (HLS), a mesma estrutura de cláusulas usada na ISO 9001 e na ISO 27001. Isso facilita a integração com sistemas de gestão que a empresa já possui. Os requisitos se organizam em cinco frentes principais:

1. Contexto e partes interessadas

A organização deve compreender seu contexto interno e externo, as partes interessadas impactadas pelo uso de IA (clientes, usuários, reguladores, colaboradores) e os riscos e oportunidades associados. IA deixa de ser tratada como ferramenta técnica e passa a ser tratada como componente estratégico que afeta pessoas, mercados e reputação.

2. Liderança e política de IA

A alta direção assume responsabilidade direta pelo AIMS. Isso inclui definir uma política de IA com princípios éticos, limites de uso e compromissos organizacionais, atribuir papéis e responsabilidades e garantir alinhamento com a estratégia do negócio. Governança, aqui, significa mecanismos formais de decisão, supervisão e prestação de contas.

3. Gestão de riscos e avaliação de impacto

A norma exige identificação dos riscos associados ao uso de IA, análise de probabilidade e impacto, definição de controles de tratamento e revisão contínua. Entre os riscos considerados estão vieses nos dados de treinamento, decisões automatizadas discriminatórias, falhas de segurança em modelos, ataques adversariais, uso fora do propósito original e impactos sociais não intencionais. A ISO 42001 também prevê a avaliação de impacto dos sistemas de IA sobre indivíduos e sociedade.

4. Competências e conscientização

Não basta ter modelos avançados. A norma exige definição das competências necessárias, treinamento para equipes técnicas e não técnicas e conscientização sobre riscos, limites e responsabilidades no uso de IA.

5. Operação, monitoramento e melhoria contínua

O ciclo de vida completo dos sistemas de IA precisa ser controlado: dados de treinamento, desenvolvimento, implantação, operação, incidentes e descontinuação. Auditorias internas e análises críticas da direção garantem que o sistema de gestão evolua junto com o uso de IA na organização.

ISO 42001, ISO 27001 e ISO 9001: qual a diferença?

As três normas compartilham a mesma estrutura e são complementares, mas protegem coisas diferentes. A ISO 9001 garante que os processos sejam controlados. A ISO 27001 protege a informação e a infraestrutura que a sustenta. A ISO 42001 protege o processo decisório automatizado e a governança por trás dos sistemas de IA.

Para empresas que já operam um SGSI certificado, a ISO 42001 é o próximo passo natural: a estrutura de cláusulas é a mesma, boa parte da documentação e da cultura de gestão de riscos é reaproveitada, e o esforço de implementação cai de forma significativa.

Quem precisa da certificação ISO 42001?

A norma se aplica a organizações de qualquer porte e setor que desenvolvem, fornecem ou utilizam sistemas de IA. Na prática, a pressão por certificação chega primeiro a quatro perfis:

• Setor financeiro: crédito, precificação e prevenção a fraude rodam com IA sob supervisão de reguladores que já exigem explicabilidade e trilha de auditoria das decisões;
• Saúde: apoio a diagnóstico e priorização de atendimento envolvem decisões de alto impacto sobre indivíduos, com responsabilidade legal direta;
• Empresas de tecnologia: quem fornece software ou serviços com IA embarcada passa a receber requisitos de governança nos contratos com clientes enterprise;
• Indústrias reguladas: energia, telecomunicações e setores com compliance intensivo tendem a incorporar a ISO 42001 aos requisitos de fornecedores, como já fizeram com a ISO 27001.

Vale destacar: a norma não vale só para quem constrói modelos próprios. Organizações que contratam IA como serviço também respondem pelo uso que fazem dela, e o AIMS é o instrumento que estrutura essa responsabilidade.

Como implementar a ISO 42001 na sua empresa?

O caminho de implementação segue a lógica de qualquer sistema de gestão, com as particularidades da IA:

1. Diagnóstico: mapear onde a IA já é usada na organização (incluindo uso não oficial), quais decisões ela influencia e qual a distância entre a prática atual e os requisitos da norma;
2. Política e governança: definir a política de IA, papéis, responsabilidades e o comitê ou fórum de supervisão;
3. Gestão de riscos: inventariar os sistemas de IA, avaliar riscos e impactos e definir controles proporcionais à criticidade de cada sistema;
4. Operação do AIMS: implantar os processos de ciclo de vida, treinamento e monitoramento;
5. Auditoria interna e análise crítica: verificar a conformidade e corrigir desvios antes da auditoria de certificação;
6. Certificação: auditoria externa por organismo certificador acreditado, seguida de auditorias periódicas de manutenção.

Um alerta que fazemos em toda implementação: a certificação deve ser consequência de um sistema de gestão que funciona, não o objetivo em si. Buscar o selo sem estruturar o processo produz documentação de prateleira e nenhum controle real sobre os riscos de IA.

A Promove atua na implementação da ISO 42001 de forma integrada à ISO 27001 e a modelos de maturidade como o CMMI, começando sempre pelo diagnóstico e pela medição, não pela ferramenta. Fale com um especialista para avaliar o cenário da sua empresa e estruturar a governança de IA sobre a base de gestão que você já tem.

Perguntas frequentes sobre ISO 42001