A ISO/IEC 42001:2023 é a primeira norma internacional certificável para Sistemas de Gestão de Inteligência Artificial (AIMS). Publicada em dezembro de 2023, ela faz pela IA o que a ISO 27001 fez pela segurança da informação: cria uma estrutura auditável, comparável globalmente e reconhecida por reguladores, clientes e investidores.
Este guia mostra, na prática, como uma empresa brasileira implementa a ISO 42001, cláusula por cláusula, controle por controle do Anexo A, com prazos realistas, evidências esperadas pelo auditor e os erros mais frequentes.
Estrutura da ISO 42001 em 30 segundos
A norma segue a estrutura HLS (High Level Structure) comum às ISOs de gestão. São 10 cláusulas, sendo 4 a 10 obrigatórias para certificação, e um Anexo A com 38 controles distribuídos em 9 categorias.
- Cláusula 4, Contexto da organização
- Cláusula 5, Liderança
- Cláusula 6, Planejamento (incluindo avaliação de risco e impacto de IA)
- Cláusula 7, Suporte (recursos, competência, comunicação)
- Cláusula 8, Operação (ciclo de vida do sistema de IA)
- Cláusula 9, Avaliação de desempenho (auditoria interna, análise crítica)
- Cláusula 10, Melhoria
Passo 1, Decisão executiva e escopo
ISO 42001 não é projeto de TI: é projeto de governança corporativa. O patrocinador deve ser C-Level (CEO, COO, CIO ou CISO), com mandato claro e orçamento. O escopo é uma das decisões mais estratégicas: você certifica a empresa toda, uma unidade de negócio, um produto específico, ou os sistemas de IA de uma família?
Empresas com múltiplos produtos com IA frequentemente começam pelo de maior risco regulatório (ex.: o que é exportado para União Europeia e cai no EU AI Act) ou maior peso comercial (o que clientes enterprise estão exigindo).
Passo 2, Cláusula 4: contexto da organização
O auditor vai querer ver, em documento formal:
- Quais questões internas e externas afetam o uso de IA na empresa
- Quem são as partes interessadas (clientes, reguladores, sociedade, colaboradores, fornecedores)
- Requisitos de cada parte interessada (LGPD, AI Act, contratos, expectativas éticas)
- Escopo do AIMS, o que está dentro e o que está fora, com justificativa
Passo 3, Cláusula 5: liderança e política de IA
Política corporativa de IA assinada pela alta direção, papéis e responsabilidades formalizados (AI Owner, AI Risk Officer, comitê de IA), comprometimento com recursos. Política deve incluir, no mínimo: princípios éticos, abordagem para risco, conformidade legal, melhoria contínua e compromisso com partes interessadas.
Passo 4, Cláusula 6: avaliação de risco e impacto de IA
Aqui está o coração técnico da norma. São dois processos distintos e obrigatórios:
AI Risk Assessment
Para cada sistema de IA no escopo, identificar riscos (vieses, robustez, segurança, privacidade, transparência, accountability), analisar e avaliar contra critérios definidos, planejar tratamento. Use frameworks como NIST AI RMF e ISO/IEC 23894 como apoio metodológico.
AI System Impact Assessment
Avaliação de impacto em indivíduos e na sociedade, distinta da avaliação de risco para a organização. Aproxima-se da AIPD do Marco Legal da IA e da DPIA da LGPD/GDPR. Documente claramente.
Passo 5, Cláusula 7: suporte
- Recursos humanos e técnicos disponibilizados
- Matriz de competência: quem precisa saber o quê (data scientists, devs, jurídico, negócio)
- Conscientização de toda a empresa (não só time de IA)
- Comunicação interna e externa estruturada
- Gestão de informação documentada (todos os artefatos do AIMS)
Passo 6, Cláusula 8: operação (o ciclo de vida)
Aqui você define e executa o processo end-to-end de gerenciamento de sistemas de IA:
- Concepção e justificativa (por que este sistema?)
- Coleta e preparação de dados (qualidade, representatividade, base legal LGPD)
- Desenvolvimento e treinamento
- Verificação e validação (incluindo testes de viés, robustez, AI Security)
- Implantação (deployment com aprovação formal)
- Operação e monitoramento (drift, degradação, abuso)
- Retreinamento, descomissionamento e descarte de dados
Passo 7, Anexo A: os 38 controles
O Anexo A organiza controles em 9 categorias. Você precisa avaliar a aplicabilidade de cada um e produzir uma Declaração de Aplicabilidade (SoA, Statement of Applicability).
- A.2, Políticas relacionadas a IA
- A.3, Estrutura organizacional interna
- A.4, Recursos para sistemas de IA
- A.5, Avaliação de impactos de sistemas de IA
- A.6, Ciclo de vida do sistema de IA
- A.7, Dados para sistemas de IA
- A.8, Informação para partes interessadas
- A.9, Uso de sistemas de IA
- A.10, Relacionamentos com terceiros e clientes
Passo 8, Cláusula 9: auditoria interna e análise crítica
Antes de chamar a certificadora, você precisa ter rodado pelo menos um ciclo completo de auditoria interna cobrindo todo o escopo, com não conformidades tratadas, e uma análise crítica pela direção formalmente registrada.
Passo 9, Cláusula 10: melhoria
Procedimento de não conformidade e ação corretiva, ciclo PDCA documentado, evidência de melhoria contínua. Auditor experiente pergunta: "me mostre uma melhoria que vocês fizeram nos últimos 6 meses motivada por uma falha detectada".
Quanto tempo leva
Implementação típica em empresas brasileiras de médio porte: 9 a 14 meses do diagnóstico ao certificado, divididos em:
- Diagnóstico de gap: 4–6 semanas
- Estruturação do AIMS (cláusulas e Anexo A): 4–6 meses
- Operação assistida + auditoria interna: 2–3 meses
- Pré-auditoria de certificação: 4–6 semanas
- Auditoria estágio 1 + 2 pela certificadora: 6–10 semanas
Empresas que já têm ISO 27001 e ISO 27701 implementadas reduzem o esforço em 30–40%, pois muitos controles e processos são compartilhados.
Erros mais comuns na implementação
- Copiar políticas de internet sem adaptar ao contexto da empresa (auditor identifica em 5 minutos)
- Tratar avaliação de risco como exercício teórico desconectado da operação
- Não envolver áreas de negócio (o AIMS vira documento de TI sem aderência)
- Esquecer Shadow AI e IA contratada (SaaS com IA embarcada também está no escopo)
- Subestimar o esforço de evidência: tudo precisa de registro objetivo
- Tentar fazer com analista júnior sem mentor Lead Implementer experiente
Como a VGrid acelera o processo
A VGrid é Lead Implementer e Lead Auditor ISO/IEC 42001, com experiência prévia em ISO 27001 e ISO 27701, o que permite integrar o AIMS aos sistemas de gestão já existentes, evitando retrabalho. Atuamos via consultoria ISO 42001, readiness assessment ou AI Governance as a Service contínuo.
Solicite um diagnóstico inicial e receba um plano realista de implementação aderente ao seu setor, escopo e nível de maturidade.
Quanto sua empresa pode economizar com Governança de IA?
Calculadora gratuita: multas evitadas, ganhos de produtividade e redução de risco em 5 minutos.
Conteúdo produzido pela equipe da VGrid, consultoria brasileira especializada em monitoramento corporativo, insider risk, DLP, governança operacional e conformidade.