ABNT NBR ISO/IEC 42001 · Certificamos esta norma

Sistema de Gestão de Inteligência Artificial

Primeira norma certificável de gestão de IA do mundo, a ISO/IEC 42001 estabelece requisitos para desenvolver, fornecer e usar sistemas de inteligência artificial de forma responsável: governança, avaliação de impactos, transparência, supervisão humana e gestão do ciclo de vida dos modelos — do dado ao descomissionamento.

Solicitar orçamento Treinamento relacionado

Na auditoria

O que é esperado

Política de IA e papéis definidos, com supervisão humana estabelecida;
Inventário dos sistemas de IA e avaliação de impactos (vieses, segurança, direitos);
Gestão do ciclo de vida: dados, desenvolvimento, validação, monitoramento e retirada;
Transparência adequada a usuários e partes afetadas pelas decisões de IA;
Fornecedores de IA e modelos de terceiros sob controle contratual e técnico.

Implantação

Dicas úteis para implantar

Comece pelo inventário: você provavelmente usa mais IA (própria e de terceiros) do que imagina;
Avalie impactos por caso de uso, não pela tecnologia em abstrato;
Defina o que exige revisão humana e registre essas decisões;
Aproveite a estrutura da 27001: riscos, controles e auditorias se integram naturalmente;
Documente dados de treinamento e limitações dos modelos — transparência é requisito, não cortesia.

Onde se aplica

Segmentos aplicáveis e recomendados

Desenvolvedoras de software e SaaS Instituições financeiras Saúde GovTech e setor público Indústria 4.0 Educação RH e recrutamento Varejo e marketing

Diferenciais

O que sua organização ganha

Clientes públicos

Órgãos que usam IA em decisões (benefícios, fiscalização, triagem) demonstram governança e respeito a direitos num tema sob forte escrutínio — antecipando-se ao marco legal brasileiro de IA e às recomendações de transparência algorítmica.

Clientes privados

Empresas que embarcam IA em produtos ganham selo de confiança inédito no mercado, respondem com evidências às due diligences de clientes globais e reduzem riscos jurídicos e reputacionais de decisões automatizadas.

Base legal

Legislações e referências sobre o tema

No Brasil

No mundo

Clique em qualquer bloco para abrir a íntegra da lei ou referência no site oficial (nova aba). As referências indicam normas e políticas públicas que dialogam com o tema — a aplicabilidade a cada organização deve ser avaliada caso a caso.

Dúvidas frequentes

Perguntas sobre a ISO/IEC 42001

Usamos apenas IA de terceiros (ex.: copilotos). A norma se aplica?

Sim — a 42001 foi desenhada para os três papéis: quem desenvolve, quem fornece e quem usa IA. Para o papel de usuário, o sistema cobre o que mais gera risco hoje nas empresas: casos de uso mapeados (inclusive os informais), avaliação de impactos por caso, regras claras do que pode e não pode ser feito com dados da empresa e de clientes, e controles sobre os fornecedores de IA — contratos, configurações de privacidade e monitoramento. Se a sua equipe usa copilotos e assistentes no dia a dia, você já tem um parque de IA para governar.

Precisamos da 27001 antes?

Não é pré-requisito formal, mas a combinação é poderosa e economiza muito esforço: as duas normas compartilham a mesma estrutura de sistema de gestão, e riscos, controles, auditorias internas e análise crítica podem operar num ciclo único. Quem já tem 27001 acrescenta a camada de IA (inventário, impactos, ciclo de vida, transparência) sobre uma fundação pronta; quem parte do zero pode implantar o par em conjunto. Segurança da informação é, na prática, um dos pilares de qualquer IA confiável — dados de treinamento e modelos são ativos a proteger.

Como se audita ‘IA responsável’?

Com evidências objetivas, como qualquer sistema de gestão. O auditor examina o inventário de sistemas de IA e sua atualização; as avaliações de impacto (vieses, segurança, direitos das pessoas afetadas) e as decisões que geraram; os registros de validação e monitoramento dos modelos — desempenho, deriva, incidentes; as regras de supervisão humana e os casos em que ela interveio; e a transparência praticada com usuários e afetados. ‘Responsável’ deixa de ser adjetivo de marketing e vira trilha auditável de decisões documentadas.

É cedo para certificar?

Ao contrário — é o momento de maior vantagem. O AI Act europeu já está em vigor com aplicação escalonada, o marco brasileiro avança no Congresso e grandes contratantes já incluem governança de IA em due diligences. Quem certifica agora constrói o sistema com calma, na frente da curva regulatória, e colhe o diferencial comercial de um selo ainda raro no mercado. Quem espera a obrigação chegar fará o mesmo trabalho — correndo, e sem o benefício de ser pioneiro.

O que é uma avaliação de impacto de IA?

É a análise estruturada, por caso de uso, das consequências que o sistema pode ter sobre pessoas, grupos e a própria organização: vieses e discriminação, erros e seus efeitos, segurança, privacidade, transparência das decisões e impactos a direitos. Dela saem as medidas de mitigação — ajustes no modelo ou nos dados, supervisão humana, limites de uso, comunicação aos afetados — e a decisão documentada de seguir, ajustar ou não seguir. Na 42001 ela conversa com o RIPD da LGPD e com o DPIA do GDPR, evitando retrabalho entre as agendas de IA e privacidade.

Como tratar o uso de IA não autorizado (shadow AI)?

Primeiro reconheça: ele já existe — colaboradores usam assistentes públicos com dados da empresa sem ninguém saber. O sistema da 42001 responde com três movimentos: descoberta (inventário ativo, canais para declarar uso, monitoramento razoável), regras viáveis (política clara do que é permitido, com alternativas corporativas seguras — proibir tudo só empurra o uso para baixo do radar) e controles proporcionais (classificação de dados que podem ou não alimentar cada ferramenta, contratos e configurações adequadas). A auditoria valoriza organizações que governam o fenômeno real, não as que fingem que ele não ocorre.

Pronto para certificar a ISO/IEC 42001?

Solicite o orçamento com dimensionamento personalizado para o seu escopo.

Solicitar orçamento

Acessibilidade