Guias

Análise de lacunas ISO 42001: onde está o seu sistema de gestão de IA?

Pela Equipe NexoDocs · como fazemos e revisamos o conteúdo

A análise de lacunas ISO 42001 (gap analysis ou diagnóstico inicial) compara o que a organização já faz com o que a ISO/IEC 42001:2023 exige de um sistema de gestão de inteligência artificial (SGIA). Cada requisito das seções 4 a 10 e cada controle do Anexo A recebe um status (implementado, parcialmente implementado, não implementado ou não aplicável), com a evidência atual e a ação necessária. O resultado é um percentual de avanço por seção e uma lista priorizada de lacunas que vira o plano do projeto. A norma não a exige, mas é o jeito mais rápido de saber o ponto de partida.

A análise de lacunas é obrigatória na ISO 42001?

Não. Nenhuma seção da ISO/IEC 42001:2023 pede análise de lacunas, e o auditor de certificação não vai exigi-la como informação documentada. Mesmo assim, quase todo projeto começa por ela: dimensiona o trabalho, permite priorizar com critério e dá à direção uma linha de base para acompanhar o avanço.

Se a organização já tem ISO 27001, o diagnóstico costuma mostrar que boa parte das seções 4 a 10 (contexto, liderança, informação documentada, auditoria interna, análise crítica pela direção, melhoria) pode ser ampliada em vez de criada do zero. As lacunas grandes costumam estar no que é próprio da IA: avaliação de impacto dos sistemas de IA (6.1.4 e 8.4), ciclo de vida, dados e relação com terceiros.

O que é avaliado: 27 requisitos e 38 controles

O autodiagnóstico do kit NexoDocs (AIMS-GAP-01) divide a norma em duas abas. Títulos e resumos são redação própria: a norma é citada pelo número da seção e do controle, nunca copiada.

O maior grupo do Anexo A é o ciclo de vida de sistemas de IA (A.6, 9 controles), seguido de recursos (A.4) e dados (A.7), com 5 controles cada. São também os que mais tomam tempo quando a organização desenvolve ou treina modelos próprios.

O modelo, pronto para usar

Kit ISO 42001: a documentação do seu sistema de gestão de IA

30 documentos Word · 31 ferramentas Excel · 38 controles do Anexo A

Ver o kit ISO 42001 em português

Como fazer a análise de lacunas passo a passo

1. Defina um escopo provisório: quais sistemas de IA, processos e locais entram. Sem escopo, o diagnóstico mistura coisas que depois ficarão de fora.
2. Reúna quem conhece a prática real: responsável pelo SGIA, quem desenvolve ou compra os sistemas de IA, dados, jurídico ou compliance, segurança da informação.
3. Para cada requisito e controle, escolha um de quatro status: implementado, parcialmente implementado, não implementado ou não aplicável.
4. Registre a evidência atual (documento, registro, ferramenta). Sem evidência, o status não é «implementado», mesmo que a prática exista de boca.
5. Escreva a ação necessária em uma frase verificável e defina um responsável.
6. Confira o painel: avanço por seção e por grupo de controles, quantidade de itens não implementados e de linhas sem avaliação.
7. Transforme as lacunas em tarefas do plano do projeto, começando pelas seções 4 a 6, das quais todo o resto depende.

Como o avanço é pontuado

No modelo, cada linha recebe uma pontuação conforme o status, e o percentual de cada seção é a média das suas linhas:

Exemplo: se a seção 7 (5 requisitos) tem 2 linhas implementadas, 2 parciais e 1 não implementada, o avanço é (100 + 100 + 50 + 50 + 0) / 5 = 60%. As seções 4 a 10 não admitem «não aplicável»: valem para qualquer organização que queira se certificar. As exclusões do Anexo A são justificadas depois na Declaração de Aplicabilidade.

O que fazer com o resultado

• Priorize por dependência, não por facilidade: sem contexto (4.1), escopo (4.3) e política de IA (5.2) não dá para fazer bem a avaliação de riscos nem a de impacto.
• Agrupe as lacunas em pacotes de trabalho (governança, riscos e impactos, ciclo de vida e dados, fornecedores, avaliação e melhoria) e leve-os ao plano do projeto com datas.
• Use o diagnóstico como insumo do inventário de sistemas de IA e da avaliação de riscos, não como substituto deles.
• Repita o autodiagnóstico a cada trimestre: o mesmo arquivo mostra o avanço à direção sem relatórios extras.
• Antes da auditoria de certificação, compare-o com uma auditoria interna (9.2): autodiagnósticos tendem a ser otimistas.

Erros comuns

• Marcar «implementado» porque «a gente faz», sem evidência.
• Usar «não aplicável» nas seções 4 a 10, que não admitem exclusões.
• Fazer o diagnóstico só pelo compliance, sem quem desenvolve ou compra os sistemas de IA.
• Confundir a avaliação de riscos de IA (6.1.2) com a avaliação de impacto do sistema de IA (6.1.4): a primeira olha para a organização, a segunda para as pessoas e grupos afetados.
• Engavetar o diagnóstico: sem um plano com responsáveis e prazos, ele não serve.

Modelo: o autodiagnóstico do kit ISO 42001

O kit ISO 42001 da NexoDocs inclui o autodiagnóstico de lacunas AIMS-GAP-01 em português: um Excel sem macros com os 27 requisitos das seções 4 a 10 e os 38 controles do Anexo A já preenchidos com resumos próprios, lista suspensa de status com cores, cálculo automático da pontuação e um painel por seção e por grupo de controles. Ele se conecta ao plano do projeto com gráfico de Gantt (AIMS-PRJ-01), onde o diagnóstico é a segunda tarefa, e ao guia de implementação do mesmo kit. Para começar de graça, baixe o modelo de política de uso de IA.

Próximo passo

Teste grátis ou vá direto à solução completa.

Kit ISO 42001: a documentação do seu sistema de gestão de IA

30 documentos Word · 31 ferramentas Excel · 38 controles do Anexo A

Ver o kit ISO 42001 em português

Amostra grátis

Baixe gratuitamente uma versão reduzida da matriz de riscos do kit (Excel, 10 cenários, mapa de calor; amostra em inglês). Veja como o nível e a categoria são calculados antes de decidir.

Baixar a amostra grátis (em inglês)

Perguntas frequentes

Guias relacionados

Atualizado: 2026-10-29