ISO 42001: o que é, para que serve e como se preparar para a certificação

TL;DR — A ISO/IEC 42001 é a primeira norma internacional de sistema de gestão de inteligência artificial (AIMS). Publicada em dezembro de 2023, ela define requisitos para organizações que desenvolvem ou usam IA de forma responsável: política, papéis, avaliação de risco, controles e melhoria contínua. A certificação não é obrigatória, mas está virando critério de qualificação em licitações e contratos com grandes empresas. A preparação típica leva de 6 a 12 meses e começa por um diagnóstico de gaps.

Quando um cliente corporativo pergunta “como vocês governam a IA que usam?”, a resposta não pode mais ser uma apresentação de slides. Cada vez mais, a pergunta vem acompanhada de um questionário de due diligence, e a resposta esperada é um sistema de gestão documentado, com responsáveis nomeados e evidências de funcionamento.

É nesse cenário que a ISO/IEC 42001 entra no vocabulário do jurídico e da alta gestão. Ela faz pela governança de IA o que a ISO 27001 fez pela segurança da informação: transforma boas intenções em um sistema auditável, com requisitos verificáveis e certificação por organismo acreditado.

O que é a ISO/IEC 42001?

A ISO/IEC 42001 é a norma internacional que especifica requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de inteligência artificial (AIMS, na sigla em inglês). Foi publicada em dezembro de 2023 pela ISO em conjunto com a IEC e é aplicável a qualquer organização que desenvolva, forneça ou utilize sistemas de IA, independentemente de porte ou setor.

A estrutura segue o Anexo SL, o mesmo esqueleto das normas de gestão mais conhecidas (ISO 9001, 14001, 27001). Isso significa contexto da organização, liderança, planejamento, suporte, operação, avaliação de desempenho e melhoria, com o ciclo PDCA como motor. Quem já opera um sistema de gestão integrado reconhece a lógica imediatamente.

O que a norma pede, em essência, é que a organização trate IA como objeto de gestão: com política definida, papéis e responsabilidades nomeados, avaliação de riscos e impactos dos sistemas de IA, controles proporcionais ao risco e evidências de que tudo isso funciona na prática, não só no papel.

Para que serve um sistema de gestão de IA?

Um sistema de gestão de IA serve para responder, com evidência, a três perguntas que hoje chegam de clientes, reguladores e conselhos: quais sistemas de IA a organização usa, quais riscos cada um deles carrega e quem responde por cada decisão relevante.

Sem sistema, essas respostas dependem da memória de pessoas-chave. Com sistema, elas estão em inventário, avaliação de impacto e registro de decisões. A diferença aparece na primeira auditoria de cliente, no primeiro incidente ou no primeiro pedido de esclarecimento de uma autoridade.

Há também um efeito comercial mensurável. Grandes compradores começaram a incluir governança de IA em questionários de homologação de fornecedores. A certificação ISO 42001 funciona como atalho de confiança: em vez de responder dezenas de perguntas caso a caso, o fornecedor apresenta um certificado emitido por organismo independente.

Quem deve buscar a certificação?

A norma é voluntária, mas três perfis de organização têm razões concretas para buscá-la primeiro.

O primeiro perfil é o fornecedor de tecnologia que incorpora IA em produtos ou serviços vendidos a grandes empresas. Para esse grupo, a certificação está virando requisito de entrada em processos de compra, na mesma linha do que aconteceu com a ISO 27001 em segurança da informação.

O segundo perfil é a empresa que usa IA em processos sensíveis: decisões de crédito, seleção de pessoas, atendimento regulado, saúde, seguros. Aqui a certificação sustenta a defesa perante reguladores e dá ao conselho uma estrutura de supervisão reconhecível.

O terceiro perfil é a organização que se prepara para o marco legal brasileiro de IA. O PL 2.338/2023, aprovado no Senado e em tramitação na Câmara, adota abordagem baseada em risco com exigências de governança. Um AIMS conforme a ISO 42001 cobre boa parte da estrutura que a regulação tende a exigir.

O que a norma exige na prática?

Os requisitos se organizam em blocos conhecidos de quem trabalha com sistemas de gestão, com adaptações específicas para IA. Os pontos que mais exigem trabalho real são os seguintes.

1. Política e objetivos de IA. Uma política formal, aprovada pela direção, com objetivos mensuráveis de uso responsável de IA.
2. Papéis e responsabilidades. Nomeação de responsáveis pelo sistema de gestão e pelas decisões sobre cada sistema de IA, incluindo quando escalar para a alta direção.
3. Avaliação de risco e de impacto. Processo documentado para avaliar riscos de cada sistema de IA e impactos sobre indivíduos e grupos, antes da implantação e em revisões periódicas.
4. Inventário de sistemas de IA. Registro atualizado de todos os sistemas em uso, com finalidade, dados utilizados, fornecedores e classificação de risco.
5. Controles do Anexo A. A norma traz um anexo com controles de referência, cobrindo ciclo de vida do sistema, dados, documentação, transparência, supervisão humana e gestão de fornecedores.
6. Gestão de fornecedores e de terceiros. Critérios para avaliar sistemas de IA adquiridos, incluindo o que exigir contratualmente do fornecedor.
7. Monitoramento e melhoria. Indicadores, auditorias internas, revisão pela direção e tratamento de não conformidades.

O ponto que mais surpreende quem começa é o inventário. Muitas organizações descobrem, no primeiro levantamento, sistemas de IA que a área de tecnologia desconhecia — o fenômeno do shadow AI, tratado em outro artigo deste blog.

ISO 42001, LGPD e o marco legal brasileiro de IA

A ISO 42001 não substitui a LGPD nem a futura lei de IA. Ela é uma norma de sistema de gestão; as leis são obrigações jurídicas. Mas há sobreposição relevante, e um AIMS bem construído reduz o esforço de conformidade legal.

Na prática, os três se apoiam. A avaliação de impacto da ISO 42001 conversa com o relatório de impacto da LGPD. O inventário de sistemas alimenta as duas obrigações. E a estrutura de governança com papéis nomeados é exatamente o que o marco legal tende a exigir dos operadores de sistemas de IA.

Como se preparar para a certificação?

A preparação típica leva de 6 a 12 meses, dependendo do porte e da maturidade da organização. A sequência abaixo é a que funciona na prática.

1. Diagnóstico de gaps. Comparar a situação atual com os requisitos da norma e com os controles do Anexo A. O resultado é um plano de ação priorizado.
2. Inventário de sistemas de IA. Levantar todos os sistemas em uso, incluindo os não homologados, com finalidade, dados e fornecedores.
3. Política e papéis. Formalizar a política de IA, nomear responsáveis e definir o fluxo de escalonamento de decisões.
4. Processo de avaliação de risco e impacto. Criar o método, os critérios e os modelos de registro, e aplicá-los aos sistemas do inventário.
5. Controles operacionais. Implementar os controles prioritários: gestão de fornecedores, supervisão humana, documentação de sistemas, gestão de incidentes.
6. Capacitação. Treinar as equipes envolvidas e registrar o treinamento, porque evidência de competência é requisito de auditoria.
7. Auditoria interna e revisão pela direção. Testar o sistema antes da certificação e corrigir não conformidades.
8. Auditoria de certificação. Contratar organismo acreditado para as etapas 1 e 2 da auditoria externa.

O erro mais comum é tratar o projeto como documentação. A auditoria verifica funcionamento: se a política diz que todo sistema novo passa por avaliação de impacto, o auditor vai pedir os registros das avaliações feitas. Sistema de gestão se prova com evidência de rotina.

Perguntas frequentes sobre ISO 42001

A ISO 42001 é obrigatória no Brasil?

Não. É uma norma voluntária. O que a torna relevante é o mercado: grandes compradores incluem governança de IA em homologação de fornecedores, e a certificação funciona como prova objetiva. O marco legal de IA em tramitação pode, no futuro, reconhecer certificações como evidência de conformidade.

Quanto custa e quanto tempo leva a certificação?

O tempo típico é de 6 a 12 meses de preparação, e o custo varia com porte, número de sistemas de IA e maturidade existente. Organizações que já operam ISO 27001 ou 9001 aproveitam estrutura de gestão e encurtam o caminho. O maior custo costuma ser o esforço interno, não a auditoria.

Minha empresa só usa IA de terceiros. A norma se aplica?

Sim. A ISO 42001 é explicitamente aplicável a organizações que utilizam sistemas de IA, não só a quem desenvolve. Para quem apenas usa, o foco recai sobre inventário, avaliação de impacto, gestão de fornecedores e supervisão humana do resultado.

ISO 42001 substitui a adequação à LGPD?

Não. A norma é um sistema de gestão; a LGPD é lei obrigatória. Mas há sinergia forte: avaliação de impacto, inventário e papéis nomeados servem aos dois regimes. Quem constrói um AIMS bem desenhado reduz o esforço de conformidade legal.

Por onde começar se não temos nada estruturado?

Pelo inventário. Antes de política, comitê ou ferramenta, é preciso saber quais sistemas de IA a organização já usa, com quais dados e para quais decisões. Esse levantamento alimenta o diagnóstico de gaps e define a prioridade de tudo o que vem depois.

O ponto que decide o resultado

A ISO 42001 não é um selo para pendurar na parede. É a estrutura que transforma governança de IA de discurso em rotina verificável: inventário vivo, avaliação de impacto antes de implantar, responsáveis nomeados e evidência de que os controles funcionam.

Quem começa agora chega à regulação e às exigências de clientes com sistema pronto. Quem esperar a obrigação vai construir sob pressão, com prazo definido por terceiros.

Se a sua organização precisa estruturar a governança de IA com foco em certificação, converse com Clóvis Barreto Jr. pelo WhatsApp sobre um diagnóstico de gaps.