ISO/IEC 42001.

O que a norma ISO/IEC 42001 realmente rege

A ISO/IEC 42001 é a primeira norma de sistema de gestão certificável dedicada à inteligência artificial. Ela não diz qual modelo treinar nem como ajustar uma rede neural. Em vez disso, define um sistema de gestão de IA (AIMS): as políticas, os papéis, os processos e os controles que uma organização implementa para desenvolver, fornecer ou utilizar a IA de forma responsável. Se você já conhece a ISO 27001, o modelo mental se transfere diretamente. Onde o SGSI protege a informação, o AIMS governa o ciclo de vida dos sistemas de IA, desde a finalidade prevista e a obtenção de dados até a implantação, o monitoramento e a desativação.

A norma segue a mesma estrutura de alto nível (High-Level Structure) da ISO 27001 e da ISO 9001: contexto da organização, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria. Essa espinha dorsal compartilhada é deliberada. Ela permite acoplar o AIMS a um sistema de gestão integrado existente em vez de operar um silo de governança paralelo. A substância específica da IA está nos anexos, que estabelecem controles de referência e orientações de implementação que abrangem questões como responsabilização, qualidade dos dados, transparência para os usuários, supervisão humana e avaliação de impacto.

Como ela difere da ISO 27001 e de uma política de risco genérica

Os profissionais oriundos da segurança muitas vezes presumem que um SGSI já cobre a IA. Não cobre. A ISO 27001 é construída em torno da confidencialidade, integridade e disponibilidade da informação. A ISO 42001 acrescenta preocupações que não têm lugar natural em um framework de segurança: se um sistema se comporta de forma justa, se suas saídas são explicáveis, se um humano pode intervir de maneira significativa e se a IA é usada apenas para a finalidade declarada. O raciocínio sobre risco também é mais amplo. Uma apreciação de risco segundo a 42001 pondera os impactos sobre as pessoas e a sociedade, não apenas sobre a organização, razão pela qual uma avaliação de impacto da IA constitui uma atividade distinta e nomeada dentro da norma.

Por que isso importa para o Regulamento Europeu de IA (EU AI Act)

A ISO 42001 alinha-se com precisão às expectativas do AI Act para sistemas de alto risco. O regulamento exige que os fornecedores de IA de alto risco operem um sistema de gestão de riscos, mantenham uma governança de dados, conservem documentação técnica, assegurem supervisão humana e realizem um monitoramento pós-comercialização. Essas são exatamente as disciplinas que um AIMS institucionaliza. Um sistema de gestão certificado não substitui a conformidade jurídica, e a certificação por si só não torna um sistema conforme. O que ela oferece é uma estrutura auditável e repetível que demonstra a devida diligência e transforma o cumprimento das obrigações do AI Act em uma questão de operar um sistema existente, em vez de improvisar sob a pressão dos prazos.

Como é a implementação na prática

As equipes que adotam a 42001 geralmente percorrem uma sequência reconhecível:

1. Definir o escopo: quais sistemas de IA, usados por quem, para qual finalidade prevista e onde a organização se situa na cadeia de fornecimento (desenvolvedor, fornecedor, implantador).
2. Realizar a apreciação de risco da IA e a avaliação de impacto, identificando os riscos para as pessoas e para a organização e selecionando controles para tratá-los.
3. Atribuir responsabilização clara para que um responsável nomeado responda por cada sistema de IA ao longo de todo o seu ciclo de vida.
4. Estabelecer governança de dados, mecanismos de transparência e supervisão humana adequados ao nível de risco.
5. Monitorar os sistemas em operação, registrar incidentes e retornos, e reintegrá-los à melhoria contínua.

A certificação é opcional, mas cada vez mais solicitada por compradores corporativos e equipes de aquisição que desejam garantia de terceiros de que um fornecedor de IA governa seus sistemas em vez de entregá-los às cegas.