O que é ISO/IEC 42001?

A ISO/IEC 42001 é a primeira norma internacional de sistema de gestão para Inteligência Artificial. Ela define como uma organização deve governar o desenvolvimento, o fornecimento e o uso de IA de forma responsável.

Conceito

Publicada em dezembro de 2023 (ISO/IEC 42001:2023), a norma cria o SGIA, Sistema de Gestão de Inteligência Artificial (em inglês, AIMS).

Ela usa a mesma estrutura das outras normas de gestão, como a ISO 27001: cláusulas de contexto, liderança, planejamento, suporte, operação, avaliação e melhoria, mais um anexo de controles específicos para IA. Por isso, quem já tem um SGSI consegue integrar os dois sistemas.

A norma vale tanto para quem desenvolve IA quanto para quem só usa IA em seus processos, inclusive ferramentas de terceiros.

Na prática

Os primeiros passos de governança de IA costumam ser:

• Inventário: listar todos os sistemas de IA em uso, inclusive IA embutida em ferramentas SaaS;
• Dono: definir um responsável para cada sistema;
• Riscos e impactos: avaliar o que pode dar errado para a empresa e para as pessoas afetadas (vieses, privacidade, decisões automatizadas);
• Política de IA: regras claras de uso, aprovadas pela direção;
• Monitoramento: acompanhar desempenho, incidentes e mudanças nos modelos.

A norma também ajuda a se preparar para regulações como o AI Act europeu e o projeto de lei brasileiro de IA (PL 2338/2023).

⚠️ Erros comuns

• Achar que uma “política de uso do ChatGPT” já é governança de IA.
• Não ter inventário: não dá para governar o que não se conhece.
• Ignorar a IA que vem dentro de ferramentas de fornecedores.
• Deixar o tema só com TI ou só com o jurídico, sem envolver as áreas de negócio.

Perguntas frequentes

Preciso desenvolver IA para usar a ISO 42001?

Não. A norma também se aplica a organizações que apenas usam sistemas de IA de terceiros.

A ISO 42001 é certificável?

Sim. Assim como a 27001, ela pode ser certificada por um organismo acreditado.

Qual a relação com a ISO 27001?

As duas têm a mesma estrutura de sistema de gestão. A 27001 cuida da segurança da informação; a 42001, dos riscos e impactos específicos da IA. Elas se complementam.

📚 Onde se aprofundar

Página oficial da norma: ISO/IEC 42001 (ISO).

Defina quem responde por cada sistema de IA

A Matriz RACI do kit gratuito ajuda a definir os donos e aprovadores de cada sistema de IA.

Baixar o kit grátis

Ver todo o glossário

Veja também: ISO/IEC 27001 · Matriz RACI · Process Mining