ISO 42001 vs EU AI Act: qual a diferença?
O EU AI Act é uma lei obrigatória que define O QUE deve ser cumprido, por nível de risco do sistema de IA; a ISO/IEC 42001 é uma norma voluntária e certificável que descreve COMO governar, operar e evidenciar o uso responsável de IA. São complementares: implementar a ISO 42001 ajuda a demonstrar conformidade com o EU AI Act.
EU AI Act: a lei (obrigatória, baseada em risco)
O EU AI Act é o regulamento da União Europeia (Regulamento UE 2024/1689) que classifica sistemas de IA por nível de risco e impõe obrigações proporcionais. Risco inaceitável: práticas proibidas - scoring social governamental, manipulação subliminar, exploração de vulnerabilidades, identificação biométrica em tempo real em espaço público (com exceções estritas). Risco alto: sistemas usados em saúde, educação, emprego, crédito, justiça, infraestrutura crítica, biometria - exigem sistema de gestão de qualidade, gestão de risco, governança de dados, documentação técnica, transparência, supervisão humana, robustez e registro em base europeia antes de entrar no mercado. Risco limitado: chatbots, deepfakes e IA generativa - obrigações de transparência. Risco mínimo: maior parte dos usos, sem obrigações específicas. Multas chegam a 35 milhões de euros ou 7% do faturamento global anual. A aplicação é escalonada até 2027.
ISO 42001: a norma de gestão (voluntária, certificável)
A ISO/IEC 42001 (2023) define o Sistema de Gestão de IA (SGIA) - um framework de gestão na mesma família da ISO 27001 e ISO 27701. Não é uma lei: é uma norma voluntária, internacional e certificável por terceira parte. Foca em COMO a organização governa o uso de IA: política, papéis, inventário, avaliação de riscos e impactos, controles operacionais (Anexo A), monitoramento, auditoria interna, melhoria contínua. Aplica-se a qualquer organização - desenvolvedora, fornecedora ou usuária de IA. Por ser certificável, gera evidência auditável que pode ser apresentada a clientes, reguladores e investidores.
Como se complementam
O EU AI Act estabelece obrigações - especialmente para sistemas de alto risco - que incluem manter um sistema de gestão de qualidade, gestão de risco contínua, governança de dados de treinamento, documentação técnica, transparência e supervisão humana. A ISO 42001 entrega exatamente o esqueleto de gestão para sustentar essas obrigações: o SGIA é, na prática, o sistema de gestão de qualidade aplicado a IA. Implementar ISO 42001 não substitui a análise legal do EU AI Act, mas é uma das formas mais eficientes de evidenciar conformidade e reduzir esforço de auditoria.
E no Brasil? (LGPD + PL 2338/2024)
No Brasil, a LGPD já trata de decisões automatizadas (Art. 20) e dá ao titular o direito à revisão. O PL 2338/2024 (Marco Legal da IA), em tramitação, segue lógica baseada em risco semelhante ao EU AI Act. Empresas brasileiras que se estruturarem agora com a ISO 42001 chegam preparadas para o marco brasileiro e para exigências contratuais de clientes europeus - sem refazer o programa.
Como a Tripla conduz
A entrega típica combina diagnóstico de aplicabilidade do EU AI Act por sistema, classificação de risco, implementação do SGIA conforme ISO 42001, documentação técnica e evidências auditáveis - tudo operado na plataforma Autoritas. Para fundamento, ver tripla.com.br/glossario/eu-ai-act e tripla.com.br/glossario/iso-42001. Para a solução de governança algorítmica, ver tripla.com.br/solucoes/governanca-algoritmica.
O papel da Tripla
A Tripla conduz o programa unindo as duas pontas: a consultoria GRC mapeia aplicabilidade do EU AI Act por sistema de IA da empresa (classificação de risco, obrigações), desenha os controles e implementa o SGIA conforme ISO 42001 para sustentar essas obrigações de forma estruturada e auditável. O Autoritas opera o sistema - inventário, avaliações de risco, evidências, workflows de aprovação e indicadores - tanto para auditoria de certificação ISO 42001 quanto para responder a clientes europeus e ao regulador.
Perguntas frequentes
Preciso seguir os dois?
Se sua empresa está sujeita ao EU AI Act (porque oferece sistemas de IA na UE ou cujos outputs são usados na UE), o cumprimento da lei é obrigatório. A ISO 42001 é voluntária, mas é a forma prática de operacionalizar e evidenciar boa parte dessas obrigações com auditoria de terceira parte. Para empresas fora do escopo do EU AI Act, a ISO 42001 ainda agrega como diferencial competitivo e preparação para o PL 2338/2024 no Brasil.
O EU AI Act vale para empresa brasileira?
Sim, em muitos casos. O EU AI Act tem alcance extraterritorial (efeito Bruxelas): aplica-se a qualquer empresa, independente da sede, que coloque sistemas de IA no mercado da UE, opere-os na UE ou cujos outputs sejam usados na UE. Isso inclui SaaS brasileiro com clientes europeus, indústrias que exportam produtos com IA embarcada e fornecedores de modelos. Mesmo sem operação direta, exigências costumam chegar via contrato com clientes europeus.
A ISO 42001 garante conformidade com o EU AI Act?
Não automaticamente - são instrumentos de naturezas diferentes (norma de gestão x lei). Mas implementar a ISO 42001 cobre boa parte das exigências de governança, gestão de risco, documentação, monitoramento e melhoria contínua que o EU AI Act requer, especialmente para sistemas de alto risco. É o caminho mais eficiente para evidenciar conformidade e reduzir esforço de auditoria.
Diagnóstico Executivo
24 perguntas, 4 disciplinas, radar de risco em 10 minutos.
IniciarFalar com especialista em Indústria
Equipe sênior responde em horário comercial.
Falar agora