O que é a ISO/IEC 42001?
A ISO/IEC 42001 é a primeira norma internacional certificável para gestão de inteligência artificial. Define um Sistema de Gestão de IA (SGIA): requisitos para governar, operar, documentar e melhorar continuamente o uso de IA de forma ética, transparente e controlada, gerenciando riscos como viés, privacidade e segurança, e ajudando a demonstrar conformidade com regulações como o EU AI Act.
O que a ISO 42001 exige (SGIA)
Publicada em dezembro de 2023, a ISO/IEC 42001 segue a estrutura HLS (High-Level Structure) das normas ISO de gestão - mesma lógica de ISO 27001 (segurança) e ISO 27701 (privacidade). O Sistema de Gestão de IA (SGIA) exige: definição de contexto e partes interessadas, política de IA aprovada pela alta direção, papéis e responsabilidades claros, avaliação de riscos e de impactos específicos de IA (viés, segurança, transparência, explicabilidade, robustez), objetivos mensuráveis, controles operacionais, monitoramento, auditoria interna e melhoria contínua. O Anexo A traz controles específicos: ciclo de vida do sistema de IA, dados para IA, informação a partes interessadas e uso responsável. Por ser certificável por terceira parte, permite à empresa demonstrar conformidade de forma auditável - o mesmo modelo que tornou a ISO 27001 padrão de mercado.
Para quem é
A ISO 42001 é aplicável a qualquer organização que desenvolve, fornece ou usa sistemas de IA - independente do porte ou setor. Na prática, faz mais sentido para: (1) empresas que desenvolvem produtos com IA embarcada (SaaS, dispositivos, plataformas); (2) organizações que usam IA em decisões de alto impacto (crédito, saúde, RH, justiça, infraestrutura crítica); (3) empresas reguladas (financeiro, saúde, energia) que precisam evidenciar IA responsável a reguladores e clientes; (4) fornecedores de empresas europeias sujeitas ao EU AI Act; (5) empresas brasileiras que querem antecipar o PL 2338/2024. Para quem só usa IA generativa de terceiros (ChatGPT, Copilot), a ISO 42001 ainda agrega - define política de uso aceitável, inventário, controles de dados em prompts e supervisão.
ISO 42001 e EU AI Act / LGPD / PL 2338
A ISO 42001 é o 'como fazer' da governança de IA - o sistema de gestão. O EU AI Act é o 'o que cumprir' para sistemas de IA colocados no mercado europeu, com obrigações proporcionais ao risco. A LGPD trata do tratamento de dados pessoais, incluindo decisões automatizadas (Art. 20). O PL 2338/2024 (Marco Legal da IA no Brasil) segue lógica baseada em risco semelhante ao EU AI Act e está em tramitação. Implementar a ISO 42001 ajuda a evidenciar conformidade com o EU AI Act (especialmente sistemas de alto risco que exigem sistema de gestão de qualidade) e a demonstrar accountability sob a LGPD e o futuro marco brasileiro.
Como implementar (passo a passo)
O caminho típico para o SGIA: (1) diagnóstico de gap contra os requisitos da norma e do Anexo A; (2) definição de escopo, contexto, partes interessadas e política de IA aprovada pela alta direção; (3) inventário de sistemas de IA - desenvolvidos, embarcados em SaaS e de terceiros; (4) avaliação de riscos e de impactos (AIIA) por sistema, com critérios de viés, privacidade, segurança, explicabilidade e robustez; (5) implementação dos controles do Anexo A - ciclo de vida, dados, transparência, uso responsável; (6) treinamento de stakeholders (TI, jurídico, produto, negócio); (7) monitoramento, auditoria interna e análise crítica pela direção; (8) auditoria de certificação por organismo acreditado. Todo o ciclo é operado e evidenciado na plataforma Autoritas.
O papel da Tripla (consultoria + Autoritas)
A Tripla une consultoria regulatória / GRC com a plataforma Autoritas. A consultoria entrega política, inventário, avaliações de risco, controles e preparação para auditoria; o Autoritas opera o SGIA com inventário vivo, workflow de aprovação, evidências e indicadores. Para fundamento conceitual da norma, ver tripla.com.br/glossario/iso-42001. Para a solução de governança algorítmica, ver tripla.com.br/solucoes/governanca-algoritmica. Para a plataforma, ver tripla.com.br/produtos/autoritas.
O papel da Tripla
A Tripla implementa a ISO/IEC 42001 ponta a ponta: consultoria GRC especializada conduz diagnóstico de gap, escreve a política de IA, monta o inventário de sistemas, faz a avaliação de riscos e impactos, desenha os controles do Anexo A e prepara a empresa para auditoria de certificação. A operação contínua do SGIA acontece na plataforma Autoritas, que centraliza inventário vivo, workflow de aprovação, evidências, trilha de auditoria e indicadores executivos para o board. O modelo é de adequação contínua, não de projeto pontual.
Perguntas frequentes
A ISO 42001 é certificável?
Sim. A ISO/IEC 42001 é a primeira norma internacional certificável para gestão de inteligência artificial. A certificação é emitida por organismo acreditado após auditoria de terceira parte, com ciclo de manutenção semelhante ao da ISO 27001 - auditorias de manutenção anuais e recertificação a cada três anos.
Qual a diferença entre ISO 42001 e ISO 27001?
A ISO 27001 define o Sistema de Gestão de Segurança da Informação (SGSI), focado em proteger a confidencialidade, integridade e disponibilidade de informações. A ISO 42001 define o Sistema de Gestão de IA (SGIA), focado em governar o uso responsável de inteligência artificial - incluindo riscos específicos de IA como viés, explicabilidade e robustez. Ambas seguem a mesma estrutura HLS e podem (e devem, em muitos casos) ser integradas no mesmo sistema de gestão.
Quem precisa da ISO 42001?
Não há obrigatoriedade legal de certificação. Na prática, faz mais sentido para empresas que desenvolvem produtos com IA embarcada, usam IA em decisões de alto impacto (crédito, saúde, RH), são reguladas (financeiro, saúde, energia), fornecem para clientes europeus sujeitos ao EU AI Act ou querem antecipar o PL 2338/2024 no Brasil - e tratar IA responsável como diferencial competitivo auditável.