Consultoria em ISO/IEC 42001 e Governança de IA

Não. A ISO/IEC 42001 é uma norma voluntária e nenhuma lei brasileira obriga a certificação. A pressão vem por outras vias: exigência contratual de clientes B2B e multinacionais, due diligence de investidores e o EU AI Act, aplicável de forma escalonada a quem coloca sistemas de IA no mercado europeu. No Brasil, o PL 2338/2023 segue em tramitação no Congresso e ainda não gera obrigação vigente. A ISO 42001 organiza governança, controles e evidências que apoiam a demonstração de diligência, mas não substitui análise jurídica nem comprova, por si, o cumprimento de qualquer lei.

A ISO/IEC 42001 estrutura a gestão de IA; a ISO/IEC 27001, a segurança da informação. A ISO/IEC 27701:2025 estabelece um sistema de gestão de privacidade independente, que pode ser integrado aos demais. A LGPD é uma lei, com obrigações próprias relativas ao tratamento de dados pessoais. A integração dos sistemas pode reaproveitar processos, responsabilidades e evidências, mas a aderência à LGPD precisa ser avaliada conforme os tratamentos e o contexto da organização.

Fontes: ISO/IEC 42001 (ISO) · ISO/IEC 27701:2025 (ISO) · Lei 13.709/2018 — LGPD (Planalto)

A ISO/IEC 42001 se aplica aos dois casos, mudando a distribuição de responsabilidades. Quem apenas usa modelos públicos (ChatGPT, Copilot, Gemini, APIs de terceiros) responde principalmente por controles de uso: política, aprovação de ferramentas, classificação de dados permitidos, gestão de fornecedores, supervisão humana e monitoramento de Shadow AI. Quem desenvolve ou faz fine-tuning de modelos proprietários responde adicionalmente pelo ciclo de vida completo: governança de dados de treinamento, documentação do modelo (model card), teste de viés e desempenho, versionamento, validação antes de produção e monitoramento de deriva. A maior parte das empresas brasileiras está no primeiro grupo, e é justamente onde o Shadow AI concentra o risco.

A VGrid é consultoria independente: faz a implementação e a auditoria interna, nunca a certificação. O certificado ISO/IEC 42001 só pode ser emitido por organismo de certificação acreditado (BSI, Bureau Veritas, DNV, TÜV, DQS, entre outros) e nenhuma consultoria pode acumular as duas funções. A VGrid implementa o SGIA, conduz a auditoria interna exigida pela cláusula 9.2 com competência e independência frente ao escopo auditado, apoia a correção das não conformidades e acompanha a empresa durante as fases 1 e 2 da auditoria do organismo certificador.

Não trabalhamos com prazo padrão. O cronograma depende do escopo, da maturidade atual, da complexidade e do número de sistemas de IA, da disponibilidade de evidências e, quando há certificação envolvida, da agenda do organismo certificador. O projeto cobre diagnóstico e mapeamento de Shadow AI, inventário de sistemas de IA, avaliação de riscos e impacto, políticas e framework ético, implementação dos controles pertinentes do Anexo A, treinamento, geração de evidências e auditoria interna. O dimensionamento é feito na avaliação inicial.

Depende do porte, do número de sistemas de IA em uso, da maturidade atual e do objetivo (readiness ou certificação). Escopo e investimento são definidos após a avaliação inicial e a VGrid não publica faixa de preço. Programas integrados com ISO 27001 e 27701 reaproveitam controles já implantados, reduzindo esforço e duplicidade.

Sim. A VGrid atende empresas em todo o Brasil em modelo remoto, com visitas presenciais quando necessário. Para empresas de outros países, o atendimento é em português, espanhol e inglês.