Consultoria em ISO/IEC 42001 e Governança de IA

Não. A ISO/IEC 42001 é uma norma voluntária: nenhuma lei brasileira obriga a certificação. A obrigatoriedade vem por outras vias: exigência contratual de clientes B2B e multinacionais, due diligence de investidores, e regulações como o EU AI Act e o PL 2338/23, que exigem governança, classificação de risco e documentação de sistemas de IA. Nesses casos, a ISO 42001 é a forma reconhecida de demonstrar que essas obrigações estão cumpridas, com ou sem certificado emitido.

As três compartilham a mesma estrutura de sistema de gestão (Harmonized Structure), o que permite reaproveitar contexto, liderança, gestão de risco, auditoria interna e análise crítica. A ISO 27001 cobre segurança da informação, a ISO 27701 cobre privacidade e ajuda a demonstrar conformidade com a LGPD, e a ISO 42001 cobre especificamente os riscos de IA: viés, explicabilidade, ciclo de vida do modelo, dados de treinamento e supervisão humana. Na prática, empresas com 27001 implementada reduzem de forma significativa o esforço da 42001. Para LGPD, a 42001 endereça pontos que a 27001 não cobre, em especial decisões automatizadas (art. 20) e avaliação de impacto de sistemas de IA.

A ISO/IEC 42001 se aplica aos dois casos, mudando a distribuição de responsabilidades. Quem apenas usa modelos públicos (ChatGPT, Copilot, Gemini, APIs de terceiros) responde principalmente por controles de uso: política, aprovação de ferramentas, classificação de dados permitidos, gestão de fornecedores, supervisão humana e monitoramento de Shadow AI. Quem desenvolve ou faz fine-tuning de modelos proprietários responde adicionalmente pelo ciclo de vida completo: governança de dados de treinamento, documentação do modelo (model card), teste de viés e desempenho, versionamento, validação antes de produção e monitoramento de deriva. A maior parte das empresas brasileiras está no primeiro grupo, e é justamente onde o Shadow AI concentra o risco.

A VGrid faz a implementação e a auditoria interna. O certificado ISO/IEC 42001 só pode ser emitido por organismo de certificação acreditado (BSI, Bureau Veritas, DNV, TÜV, DQS, entre outros), e nenhuma consultoria pode acumular as duas funções. A VGrid implementa o SGIA, conduz a auditoria interna exigida pela cláusula 9.2 por Lead Auditor certificado, corrige as não conformidades e acompanha a empresa durante as fases 1 e 2 da auditoria do organismo certificador.

Não trabalhamos com prazo padrão. O cronograma depende do escopo, da maturidade atual, da complexidade e do número de sistemas de IA, da disponibilidade de evidências e, quando há certificação envolvida, da agenda do organismo certificador. O projeto cobre diagnóstico e mapeamento de Shadow AI, inventário de sistemas de IA, avaliação de riscos e impacto, políticas e framework ético, implementação dos controles pertinentes do Anexo A, treinamento, geração de evidências e auditoria interna. O dimensionamento é feito na avaliação inicial.

Depende do porte, do número de sistemas de IA em uso, da maturidade atual e do objetivo (readiness ou certificação). Escopo e investimento são definidos após a avaliação inicial e a VGrid não publica faixa de preço. Programas integrados com ISO 27001 e 27701 reaproveitam controles já implantados, reduzindo esforço e duplicidade.

Sim. A VGrid atende empresas em todo o Brasil em modelo remoto, com visitas presenciais quando necessário. Para empresas de outros países, o atendimento é em português, espanhol e inglês.