O que muda com a ISO/IEC 42001: gestão de inteligência artificial

A ABNT NBR ISO/IEC 42001 é a primeira norma certificável de sistema de gestão de inteligência artificial do mundo. Ela chegou em um momento em que empresas de todos os portes já incorporaram IA a processos, produtos e decisões — muitas vezes sem inventário do que está em produção, sem responsável definido e sem critério para desligar um modelo que passou a errar. A norma não resolve isso por decreto. Ela obriga a organização a responder, com registro, quem decide o quê sobre cada sistema de IA.

O que a norma exige

A ISO/IEC 42001 foi publicada pela ISO em dezembro de 2023 e adotada no Brasil como ABNT NBR ISO/IEC 42001:2024, em abril de 2024, pelo comitê ABNT/CB-021. Segue a mesma estrutura de alto nível das demais normas ISO de gestão, do contexto à melhoria.

Na prática, isso significa estabelecer política e objetivos para o uso de IA, definir papéis e responsabilidades, tratar riscos e oportunidades e manter controles ao longo de todo o ciclo de vida dos sistemas — da concepção ao descomissionamento. O Anexo A traz um conjunto de controles de referência, e a organização registra em declaração de aplicabilidade quais adota e por que exclui os demais. Exclusão sem justificativa é constatação de auditoria.

Avaliação de impacto e supervisão humana

O ponto que mais distingue a 42001 das normas anteriores está na seção 6: além da avaliação de riscos, ela exige um processo de avaliação de impacto dos sistemas de IA sobre indivíduos, grupos e a sociedade, considerando o uso pretendido e o mau uso previsível. É onde entram viés, explicabilidade, qualidade dos dados de treinamento e transparência para quem é afetado pela decisão automatizada.

O ciclo não termina na entrega: dado, contexto e uso mudam, e o sistema precisa continuar sendo observado depois de implantado.

• Inventário dos sistemas de IA em uso, com finalidade, dados envolvidos e responsável identificado;
• Avaliação de impacto documentada e revisada quando muda o uso, o dado ou o modelo;
• Supervisão humana proporcional ao risco da decisão, com critério explícito para intervir ou suspender;
• Monitoramento pós-implantação, com registro de desempenho, incidentes e reclamações.

Duas normas de apoio ajudam nesse desenho, sem serem certificáveis: a ISO/IEC 23894, com orientação sobre gestão de riscos de IA, e a ISO/IEC 42005:2025, dedicada à avaliação de impacto de sistemas de IA. Elas orientam; quem estabelece requisito auditável é a 42001.

Quem deve considerar a certificação

Organizações que desenvolvem soluções de IA, que embarcam IA em seus produtos e, cada vez mais, as que apenas usam IA de terceiros em processos críticos. Esse terceiro grupo costuma se surpreender: contratar um modelo não transfere a responsabilidade pela decisão tomada com ele. Em setores regulados e em operações que tratam dados pessoais, a norma conversa diretamente com a LGPD e com a ISO/IEC 27701, que trata da gestão de privacidade.

O que o certificado diz — e o que não diz

O certificado de sistema de gestão cobre um escopo de atividades e unidades. Ele atesta que existe um sistema de gestão de IA implementado e eficaz naquele escopo — não que um modelo específico é justo, seguro ou livre de viés. Nenhuma auditoria de sistema de gestão certifica produto.

Para o mercado, o valor está em demonstrar governança de forma verificável a clientes, investidores e reguladores, reduzir risco jurídico e reputacional e sustentar a melhoria contínua com evidência. Em 2025, a ISO publicou a ISO/IEC 42006, que estabelece os requisitos adicionais para os organismos que auditam e certificam sistemas de gestão de IA, sobre a base da ISO/IEC 17021-1. É ela que dá consistência às auditorias de 42001 entre certificadoras diferentes.