O que é a ISO/IEC 42001? O sistema de gestão de inteligência artificial
A ISO/IEC 42001:2023 é a norma internacional que define os requisitos de um sistema de gestão de inteligência artificial (SGIA): políticas, papéis, avaliação de riscos e de impactos, controles e melhoria contínua para desenvolver, fornecer ou usar sistemas de IA de forma responsável. Publicada em dezembro de 2023, segue a mesma estrutura da ISO 27001 (cláusulas 4 a 10) e traz um Anexo A com 38 controles de referência.
Para quem é a ISO 42001?
Ela se aplica a qualquer organização que desenvolve, fornece ou usa sistemas de IA, de qualquer porte ou setor: da empresa que usa um chatbot no atendimento ou uma ferramenta de triagem de currículos ao fornecedor que treina seus próprios modelos.
- Empresas que incorporam IA de terceiros aos seus processos e precisam controlar riscos e responsabilidades.
- Empresas de software que embutem IA e recebem perguntas dos clientes sobre governança de IA.
- Organizações que já têm ISO 27001 e querem estender o sistema de gestão para a IA.
- Equipes que precisam demonstrar uma gestão responsável da IA a clientes, auditores ou reguladores.
Estrutura da norma: cláusulas 4 a 10
| Cláusula | Tema | O que significa na prática |
|---|---|---|
| 4 | Contexto da organização | Definir o escopo, as partes interessadas e o papel da organização em relação à IA (fornecedor, usuário etc.) |
| 5 | Liderança | Compromisso da alta direção, política de IA, papéis e responsabilidades |
| 6 | Planejamento | Avaliar e tratar os riscos de IA, avaliar impactos nas pessoas, definir objetivos e preparar a Declaração de Aplicabilidade |
| 7 | Apoio | Recursos, competência, conscientização, comunicação e informação documentada |
| 8 | Operação | Executar o plano: avaliações de riscos e de impactos e tratamento ao longo do ciclo de vida do sistema |
| 9 | Avaliação de desempenho | Indicadores, auditoria interna e análise crítica pela direção |
| 10 | Melhoria | Não conformidades, ações corretivas e melhoria contínua |
Anexo A: 38 controles em 9 objetivos
O Anexo A agrupa os controles de referência em nove áreas. Como na ISO 27001, a organização decide quais precisa com base nos seus riscos e justifica isso em uma Declaração de Aplicabilidade.
| Área | Foco |
|---|---|
| A.2 | Políticas relacionadas à IA |
| A.3 | Organização interna: papéis, responsabilidades e relato de preocupações |
| A.4 | Recursos para sistemas de IA: dados, ferramentas, capacidade computacional e pessoas |
| A.5 | Avaliação dos impactos dos sistemas de IA nas pessoas e na sociedade |
| A.6 | Ciclo de vida do sistema de IA: projeto, verificação, implantação e operação |
| A.7 | Dados para sistemas de IA: qualidade, origem e preparação |
| A.8 | Informações para as partes interessadas: transparência e documentação |
| A.9 | Uso responsável de sistemas de IA |
| A.10 | Relações com terceiros e clientes: fornecedores e responsabilidades compartilhadas |
A norma também inclui o Anexo B (orientações para implementar os controles), o Anexo C (objetivos e fontes de risco relacionados à IA) e o Anexo D (uso do sistema de gestão em diferentes setores).
ISO 42001 x ISO 27001
| Aspecto | ISO/IEC 27001:2022 | ISO/IEC 42001:2023 |
|---|---|---|
| Assunto | Segurança da informação | Desenvolvimento, fornecimento e uso responsáveis de IA |
| Estrutura | Cláusulas 4 a 10 | Cláusulas 4 a 10 (mesma estrutura) |
| Controles do Anexo A | 93 controles em 4 temas | 38 controles em 9 objetivos |
| Avaliação específica | Riscos de segurança da informação | Riscos de IA e avaliação de impacto de cada sistema |
| Declaração de Aplicabilidade | Obrigatória | Obrigatória |
Como a estrutura é a mesma, uma organização com ISO 27001 pode reaproveitar seus processos de controle de documentos, auditoria interna, análise crítica e ação corretiva, acrescentando apenas o que é específico da IA.
ISO 42001, LGPD e regulação de IA
No Brasil, sistemas de IA que tratam dados pessoais já estão sujeitos à LGPD, e a regulação específica de IA está em discussão no Congresso (PL 2338/2023). Empresas que vendem para a Europa também precisam considerar o Regulamento (UE) 2024/1689 (AI Act), em vigor desde 1º de agosto de 2024. A ISO 42001 não substitui nenhuma dessas leis e, sozinha, não equivale a conformidade, mas oferece um método organizado para inventariar sistemas, avaliar riscos e impactos, atribuir responsabilidades e guardar evidências.
Passos para implantar um SGIA
- Inventariar os sistemas de IA desenvolvidos, fornecidos ou usados e definir o escopo.
- Aprovar uma política de IA e atribuir papéis (inclusive quem decide sobre cada sistema).
- Definir critérios e avaliar os riscos de IA e o impacto de cada sistema nas pessoas.
- Escolher os controles e documentar a Declaração de Aplicabilidade frente aos 38 controles do Anexo A.
- Treinar as pessoas, operar os controles e medir com indicadores.
- Fazer auditorias internas e análises críticas pela direção e corrigir o que for encontrado.
Perguntas frequentes
A ISO 42001 é certificável?
Sim. É uma norma de requisitos, então uma organização pode ser auditada por um organismo de certificação. O resultado depende de como o sistema é implementado e operado em cada organização.
Quantos controles tem a ISO 42001?
O Anexo A tem 38 controles agrupados em 9 objetivos (A.2 a A.10). A organização decide quais se aplicam com base nos riscos e justifica isso na Declaração de Aplicabilidade.
Preciso da ISO 27001 para implantar a ISO 42001?
Não. As normas são independentes, mas compartilham a estrutura, e organizações com SGSI podem reaproveitar boa parte do sistema de gestão.
A ISO 42001 vale a pena se só usamos IA de terceiros?
Sim. A norma considera diferentes papéis em relação à IA, inclusive o uso de sistemas de outros fornecedores, e as relações com terceiros têm uma área própria de controles (A.10).
Guias relacionados
- Declaração de Aplicabilidade ISO 27001 (SoA): o que é e como elaborar
- Documentos obrigatórios da ISO 42001 (sistema de gestão de IA)
- O que é um SGSI e como implementá-lo com a ISO 27001?
Atualizado: 2026-10-20