ISO/IEC 38505: dados com dono, valor e prestação de contas

Erro comum na implantação

Nomeie donos de dados por domínio de negócio — sem dono, não há governança;

Vale lembrar: a norma exige o que faz sentido para o porte e a complexidade da operação — sistema inchado costuma ser fragilidade, não virtude.

Dúvidas frequentes

Governança de dados não é assunto de TI?

É assunto de direção — e essa é a mudança de mentalidade que a 38505 provoca. Quais dados valem dinheiro? Quais podem ser compartilhados, vendidos, cruzados? Quanto risco a organização aceita correr com eles? Que qualidade é exigida dos dados que sustentam decisões e receita? Nenhuma dessas é pergunta técnica: são decisões de negócio com consequências estratégicas, jurídicas e reputacionais. A TI executa as respostas com competência — mas quando ela é forçada a decidi-las sozinha, a organização tem um vácuo de governança, não uma delegação.

O que ganho antes de um projeto de IA?

O pré-requisito que a maioria pula — e paga caro depois. Modelos de IA herdam tudo dos dados que os alimentam: sem donos definidos, ninguém responde pela base de treinamento; sem qualidade medida, o modelo aprende erros com convicção; sem classificação, dados sensíveis vazam para prompts e fine-tunings; sem regras de uso, ninguém sabe o que pode ser feito. Governar os dados primeiro (é literalmente o que a ISO/IEC 42001 pressupõe) transforma projetos de IA de aposta em engenharia — e evita descobrir vieses e vazamentos em produção.

Como se relaciona com a LGPD?

São agendas complementares com um núcleo comum. A LGPD disciplina uma classe de dados — os pessoais — com foco nos direitos dos titulares; a 38505 governa todos os dados da organização (operacionais, financeiros, técnicos, de mercado) com foco em valor, risco e prestação de contas. O inventário e a classificação servem às duas: o mapa de dados que a LGPD pediu ganha as dimensões de valor e qualidade, e a governança dá à privacidade o patrocínio de direção que projetos isolados de adequação raramente têm. Um esforço, duas conformidades.

Existe certificação acreditada da 38505?

A 38505 é uma norma de governança (orienta o corpo diretivo), não um sistema de gestão certificável isolado — e desconfie de quem vender o contrário. O caminho sério: implementar a governança de dados pela 38505 e evidenciá-la dentro dos sistemas certificáveis que a tangenciam — ISO/IEC 27001 (segurança da informação, com controles de classificação e ciclo de vida) e ISO/IEC 42001 (IA, que exige dados governados). Fale conosco: desenhamos o arranjo de avaliação e certificação que faz sentido para o seu contexto.