Resposta rápida: A ISO/IEC 42001, publicada no fim de 2023, é a primeira norma internacional certificável para sistema de gestão de inteligência artificial, construída na mesma estrutura da ISO 27001 e da ISO 9001, o que permite integrá-la a certificações existentes com esforço bem menor do que começar de zero. Ela exige política, papéis definidos, avaliação de risco, avaliação de impacto dos sistemas sobre pessoas e sociedade, gestão do ciclo de vida, governança de dados, controle de fornecedores e documentação para usuários. Certificar faz sentido para empresas que vendem para clientes corporativos exigentes, atuam em setores regulados ou incorporam inteligência artificial no próprio produto. Para a maioria das empresas de porte médio, adotar o conteúdo da norma sem buscar o certificado entrega quase todo o benefício de governança por uma fração do custo, deixando a certificação para quando um cliente ou um edital efetivamente exigir.
O diretor comercial de uma empresa de tecnologia médica me trouxe um questionário de dois clientes diferentes recebidos na mesma quinzena. Ambos perguntavam se a empresa possuía certificação ISO/IEC 42001 ou plano documentado para obtê-la. Um deles indicava que a resposta comporia a pontuação técnica da renovação do contrato.
A reação inicial dele foi a que eu vejo com frequência: buscar orçamento de certificadora e tratar o assunto como urgência de compliance. Eu propus uma conversa anterior a essa, com uma pergunta mais simples. Antes de decidir sobre certificar, valia entender o que a norma pede, quanto disso a empresa já fazia e qual parcela do benefício dependia realmente do certificado emitido por terceiro.
O levantamento levou duas semanas e mudou a decisão. A empresa descobriu que já cumpria uma parte considerável dos requisitos por causa da certificação de segurança da informação que mantinha havia anos, e que a lacuna real se concentrava em dois blocos específicos. A conversa deixou de ser sobre gastar com auditoria e passou a ser sobre fechar duas lacunas concretas de gestão.
O que a ISO 42001 exige na prática?
- Política e papéis de IA definidos e assinados pela liderança.
- Avaliação de risco por sistema, revisada em cadência fixa.
- Avaliação de impacto sobre pessoas e sociedade, não só sobre a empresa.
- Ciclo de vida documentado: concepção, dados, operação e descontinuação.
- Governança de dados e controle da cadeia de fornecedores de modelo.
- Evidência auditável de supervisão humana e tratamento de incidentes.
O que a norma é, em termos práticos
A ISO/IEC 42001 estabelece requisitos para um sistema de gestão de inteligência artificial, e a expressão sistema de gestão carrega o significado exato que ela tem nas outras normas da família: um conjunto de políticas, processos, papéis e registros que a organização mantém e melhora de forma cíclica, com evidência auditável.
Vale desfazer um equívoco comum de imediato. A norma jamais certifica um modelo, um algoritmo ou um resultado. Ela certifica a forma como a organização governa o uso e o desenvolvimento de inteligência artificial. Uma empresa certificada continua podendo produzir um resultado ruim, e o que a certificação atesta é a existência de processo para identificar, tratar e corrigir esse tipo de ocorrência.
A norma foi construída na estrutura harmonizada que a ISO adota para sistemas de gestão, a mesma da ISO 27001 para segurança da informação e da ISO 9001 para qualidade. Essa escolha tem consequência prática importante: empresas que já mantêm alguma dessas certificações reaproveitam a estrutura de contexto organizacional, liderança, planejamento, suporte, operação, avaliação de desempenho e melhoria, precisando construir apenas o conteúdo específico de inteligência artificial.
O que a norma pede na prática, traduzido para linguagem de gestão.
O que ela exige de fato
Os requisitos se organizam em blocos que eu descrevo na linguagem da operação em vez da linguagem da norma.
O primeiro bloco é política e compromisso da liderança. A empresa precisa ter uma política de inteligência artificial aprovada pela direção, com princípios explícitos, e evidência de que a liderança acompanha o assunto com regularidade.
O segundo bloco é papéis e responsabilidades definidos, com nomes designados para decidir, revisar e responder por incidentes.
O terceiro bloco é avaliação de risco, seguindo a lógica que a família de normas já usa: identificar, analisar, tratar e monitorar riscos, com registro das decisões.
O quarto bloco é a avaliação de impacto dos sistemas de inteligência artificial sobre pessoas, grupos e sociedade, e ele é a novidade mais relevante em relação às normas anteriores. Enquanto a avaliação de risco olha para a organização, a avaliação de impacto olha para quem é afetado pelo sistema.
O quinto bloco é gestão do ciclo de vida, cobrindo concepção, desenvolvimento ou aquisição, verificação, implantação, monitoramento em operação e desativação.
O sexto bloco é governança de dados, tratando origem, qualidade, adequação ao propósito e proteção.
O sétimo bloco é gestão de terceiros, alcançando fornecedores de modelo, de plataforma e de serviço, com responsabilidades distribuídas de forma explícita.
O oitavo bloco é informação para usuários e partes interessadas, incluindo transparência sobre o uso de inteligência artificial quando ela afeta pessoas.
Leia também
A avaliação de impacto merece atenção separada
Esse é o requisito que produz mais dúvida e mais valor. Ele pede que a organização examine, para cada sistema relevante, quem pode ser afetado e de que forma, considerando efeitos sobre direitos, tratamento equitativo, saúde, segurança e acesso a serviços.
Na prática, isso se traduz num documento por sistema, com uma estrutura previsível: descrição do que o sistema faz, quem interage com ele, quem sofre consequência das decisões que ele apoia, quais efeitos adversos são plausíveis, qual a probabilidade e a gravidade de cada um, quais medidas de mitigação existem e como o efeito real será monitorado depois da implantação.
Empresas que fazem esse exercício com seriedade relatam um benefício que a norma jamais prometeu: a conversa força clareza sobre o propósito do sistema. Vários casos de uso morrem nessa avaliação, porque o exercício revela que o benefício esperado era pequeno diante do incômodo criado. Matar um caso de uso ruim antes da implantação vale mais do que qualquer certificado.
Como ela conversa com o que a empresa já tem
Três interfaces importam.
Com a ISO 27001, a sobreposição é grande na estrutura de gestão, na análise de risco e nos controles de acesso e proteção de informação. Empresas certificadas em segurança da informação partem com vantagem considerável, e a integração dos dois sistemas de gestão evita manter duas burocracias paralelas.
Com a Lei Geral de Proteção de Dados, a interface é forte e parcial. O registro de operações de tratamento, a base legal, os direitos dos titulares e o relatório de impacto à proteção de dados conversam diretamente com os requisitos de governança de dados e de avaliação de impacto. A norma pede mais do que a lei em alguns pontos, sobretudo no exame de efeitos sobre tratamento equitativo, e pede coisa diferente em outros. Cumprir uma jamais dispensa a outra. Eu tratei dessa interface em proteção de dados na adoção de IA.
Com as discussões regulatórias em curso no Brasil e no exterior, a norma funciona como preparação razoável. Marcos legais em construção tendem a exigir documentação de risco, transparência e responsabilização, e uma empresa com sistema de gestão implantado atravessa essas exigências com ajustes em vez de projetos. O contexto legislativo brasileiro aparece em PL 2338 e o marco legal da IA.
Framework de ISO 42001: O que a ISO 42001 exige na prática e O que a norma é, em termos práticos.
Quem realmente precisa certificar
Eu vejo quatro perfis com necessidade concreta do certificado emitido por terceiro.
O primeiro perfil é a empresa que vende para clientes corporativos grandes com processo de qualificação formal de fornecedores. Nesses processos, a certificação vale pontuação e às vezes vale acesso, e o argumento de que a empresa cumpre requisitos equivalentes sem certificar raramente atravessa uma planilha de avaliação.
O segundo perfil é a empresa em setor regulado, como saúde, serviços financeiros e infraestrutura crítica, onde o supervisor valoriza atestação independente.
O terceiro perfil é a empresa que incorpora inteligência artificial no próprio produto, sobretudo quando esse produto apoia decisões sobre pessoas. Aqui a certificação funciona como diferencial comercial legítimo e como redução de exposição.
O quarto perfil é a empresa em processo de captação ou venda, para quem a certificação encurta a diligência de forma tangível, assunto que eu tratei em due diligence de IA.
Leia também
Quem ganha mais adotando sem certificar
Para a maior parte das empresas de porte médio que usam inteligência artificial internamente, sem embarcá-la em produto e sem clientes exigindo certificado, a recomendação que eu faço é adotar o conteúdo e dispensar a auditoria.
O raciocínio é econômico. A parcela do benefício que vem da organização interna, ou seja, política clara, papéis definidos, risco avaliado, impacto examinado, fornecedores controlados e ciclo de vida gerido, é obtida integralmente pela adoção. A parcela que depende do certificado é a sinalização a terceiros, valiosa apenas quando existe um terceiro cobrando.
Existe uma posição intermediária que funciona bem, e é a que eu recomendei àquele diretor comercial: implantar o sistema de gestão alinhado à norma, documentar essa implantação e responder aos questionários com um plano datado de certificação condicionado à demanda. Essa resposta atende a maior parte dos questionários corporativos e preserva a decisão de investir na auditoria para o momento em que ela virar requisito de fato.
Custo e prazo realistas
Os números variam com porte, complexidade e quantidade de sistemas no escopo, e vale trabalhar com faixas em vez de precisão falsa.
O trabalho de implantação costuma consumir de seis a doze meses em empresa de porte médio, com dedicação parcial de três a cinco pessoas e apoio externo em partes específicas. A auditoria de certificação acrescenta custo de organismo certificador, com valor proporcional ao escopo, mais as auditorias de manutenção nos anos seguintes.
O erro de estimativa mais comum recai sobre o esforço interno em vez do custo externo. Empresas orçam a certificadora e subestimam as horas de gente própria necessárias para produzir política, avaliações de impacto, registros e evidências. Esse desequilíbrio produz projetos que travam no meio, com contrato de auditoria assinado e documentação inacabada.
Empresas que já mantêm ISO 27001 costumam reduzir esse esforço de forma expressiva, porque a estrutura de gestão, os rituais de análise crítica e a cultura de evidência já existem.
Os quatro erros de quem certifica por pressão
O primeiro erro é definir escopo grande demais na primeira tentativa. Incluir toda a organização e todos os sistemas multiplica o trabalho sem multiplicar o benefício comercial. Escopo inicial concentrado no produto ou na área que o cliente questiona entrega o certificado que resolve a demanda real.
O segundo erro é tratar o projeto como tarefa de documentação, produzindo políticas que descrevem uma operação que jamais existiu. Auditores verificam evidência de prática, e sistema de gestão de papel falha na primeira auditoria ou, pior, passa e deixa a empresa com burocracia inútil.
O terceiro erro é deixar a liderança de fora. A norma exige envolvimento da direção com evidência, e delegar inteiramente ao time técnico produz uma lacuna que aparece na auditoria e, mais importante, esvazia o valor do exercício.
O quarto erro é desconectar o sistema de gestão da operação real de inteligência artificial. Quando a governança fica num braço da empresa e o uso cresce em outro, a certificação atesta um sistema que governa uma fração do que acontece de fato. Esse é o mesmo padrão de dissociação que eu descrevi em governança de IA para quem detesta burocracia.
Leia também
O que a certificação deixa de resolver
Vale ser explícito sobre os limites, porque expectativa inflada produz decepção com um instrumento que é útil dentro do próprio escopo.
A certificação deixa de garantir qualidade de resultado, deixa de eliminar risco de erro do modelo, deixa de substituir avaliação jurídica caso a caso e deixa de responder pela conformidade com leis específicas de cada jurisdição. Ela atesta a existência e o funcionamento de um sistema de gestão, o que é valioso e limitado.
Existe também um risco de conforto indevido. Empresas certificadas podem desenvolver a sensação de que o assunto está resolvido, reduzindo a atenção justamente quando a tecnologia muda mais rápido do que o ciclo de auditoria. O antídoto é manter os rituais internos de revisão com frequência maior que a exigida.
Matriz de decisão de ISO 42001: A avaliação de impacto merece atenção separada e Quem realmente precisa certificar.
Como o escopo é definido na prática
A definição de escopo determina o custo, o prazo e a utilidade comercial do certificado, e ela costuma ser tratada com pressa justamente por ser a decisão mais consequente do projeto.
O escopo de um sistema de gestão descreve quais partes da organização e quais sistemas de inteligência artificial estão cobertos. Uma empresa pode certificar apenas a unidade que desenvolve o produto, apenas os sistemas que apoiam decisões sobre clientes, ou a organização inteira. O certificado emitido menciona esse escopo, e o cliente que pediu a certificação vai ler exatamente essa linha.
O erro que produz mais frustração consiste em definir escopo pela facilidade de implantação em vez de definir pela demanda comercial. Empresas certificam a área mais organizada, obtêm o certificado com esforço menor, e descobrem que o cliente perguntava sobre outra área. Eu recomendo começar a discussão de escopo pela pergunta do cliente ou do edital, escrita nas palavras dele, e desenhar a cobertura mínima que responde àquela exigência com honestidade.
Existe uma consideração adicional sobre expansão futura. Sistemas de gestão crescem por ampliação de escopo em auditorias subsequentes, o que permite começar concentrado e ampliar conforme a demanda apareça. Esse caminho custa menos que o inverso, porque reduzir escopo depois de certificar levanta perguntas desconfortáveis no mercado.
A relação com outras referências do mercado
A ISO/IEC 42001 convive com um conjunto de referências que geram confusão frequente, e vale distinguir a natureza de cada uma.
A própria família ISO oferece documentos complementares que orientam sem certificar, tratando de terminologia e de gestão de risco específica de inteligência artificial. Eles ajudam na implantação e dispensam auditoria, funcionando como material de apoio para quem constrói o sistema de gestão.
Existem também frameworks de origem governamental, sendo o do instituto americano de padrões o mais citado. Ele oferece uma estrutura de gestão de risco de adoção voluntária, sem certificação associada, e é frequentemente usado como referência técnica por empresas que atuam no mercado dos Estados Unidos.
E existem as legislações em construção em várias jurisdições, que estabelecem obrigações em vez de recomendações. A diferença fundamental está na natureza: norma técnica certificável atesta gestão, framework orienta prática, e lei obriga sob pena de sanção. Uma empresa pode estar certificada e ainda assim descumprir uma obrigação legal específica, e o inverso também acontece.
A escolha prática que eu recomendo evita o excesso de referências simultâneas. Adote a norma certificável como espinha dorsal do sistema de gestão, use os documentos complementares como apoio técnico na implantação, e trate as obrigações legais aplicáveis como requisitos que o sistema precisa contemplar de forma explícita. Tentar implantar três referências em paralelo produz documentação redundante e um time exausto antes do primeiro resultado.
O critério que separa quem precisa do certificado de quem ganha mais adotando o conteúdo.
Leia também
Como decidir
Eu resolvo essa decisão com quatro perguntas em sequência.
Existe cliente, edital ou regulador pedindo o certificado hoje, ou com probabilidade alta nos próximos doze meses? Resposta afirmativa move a conversa para planejamento de certificação com escopo enxuto.
A empresa embarca inteligência artificial em produto que apoia decisões sobre pessoas? Resposta afirmativa recomenda certificação mesmo sem demanda explícita, pela redução de exposição.
A empresa já mantém ISO 27001? Resposta afirmativa reduz custo e prazo o suficiente para tornar a certificação atraente mesmo em cenário de demanda incerta.
Nenhuma das três? Então adote o conteúdo, documente a implantação, mantenha a decisão de certificar em aberto e revise a cada semestre.
Existe uma consideração de sequência que ajuda quem responde afirmativamente a alguma dessas perguntas. Buscar certificação com o uso de inteligência artificial ainda imaturo na casa produz um sistema de gestão que governa muito pouco, e a auditoria seguinte encontra uma estrutura formal sobre uma operação incipiente. Eu prefiro ver a empresa com dois ou três casos de uso em produção estável antes de iniciar o projeto de certificação, porque nessa altura ela já sabe quais riscos são reais na prática dela, e a avaliação de impacto sai concreta em vez de sair teórica. Certificar cedo demais gera documentação genérica; certificar depois de operar gera documentação que a própria empresa consulta.
Aquela empresa de tecnologia médica seguiu o segundo caminho por causa do produto e do setor, com escopo restrito à linha que os clientes questionavam. O projeto levou nove meses. O efeito comercial que o diretor relatou depois interessou mais que o certificado: as duas contas que perguntavam avançaram, e a preparação produziu documentação que passou a ser usada no processo de vendas inteiro, encurtando a etapa de qualificação técnica em outras negociações. O certificado abriu duas portas, e o trabalho de organização que ele exigiu abriu várias outras.
Eu guardo dessa experiência uma recomendação que vale para qualquer empresa avaliando o assunto hoje. Trate a norma como um índice de perguntas bem formuladas em vez de tratá-la como um obstáculo de conformidade. Cada requisito dela corresponde a uma pergunta que a sua diretoria vai enfrentar em algum momento dos próximos anos, vinda de um cliente, de um regulador, de um investidor ou de um incidente. Responder essas perguntas com calma, antes de alguém cobrar, custa uma fração do que custa responder sob pressão, e a resposta fica melhor. O certificado é uma consequência opcional desse trabalho, e o trabalho vale por si mesmo em qualquer cenário.
ISO 42001 no contexto brasileiro
- LGPD (Lei 13.709/2018) segue sendo a régua legal de qualquer uso de IA que toque dado pessoal, com a ANPD como autoridade fiscalizadora.
- PL 2338/2023, o marco legal da IA aprovado pelo Senado em dezembro de 2024, adota classificação por nível de risco e antecipa exigências de documentação e supervisão humana.
- Na Groovia, a operação que sustenta essa agenda combina 6 humanos e 78 agentes próprios, e o trabalho com 100 sócios em 2 turmas de imersão mostra o mesmo padrão: o gargalo raramente é a tecnologia, é o desenho de gestão.
- Sanção prevista na LGPD: multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (art. 52), o que dá preço concreto ao uso de IA fora do perímetro.
- Na prática, o ciclo curto funciona melhor: 90 dias por onda de implementação, com revisão trimestral dos números.
Leituras que complementam este tema
- O comitê de IA virou gargalo: como aprovar rápido sem perder controle: aprofunda comitê de ia.
- Dependência de fornecedor de IA: o lock-in que aparece no segundo ano: aprofunda dependência de fornecedor de ia.
- Trilha de auditoria de IA: logs, prompts e rastreabilidade explicados para o board: aprofunda trilha de auditoria de ia.
- Política de uso de IA: o documento que 59% das empresas deixam pra depois: aprofunda política de uso de ia.
Para transformar leitura em execução, veja o método de transformação AI-Native e as frentes de implementação de IA na empresa. Em 30 minutos, o diagnóstico gratuito de IA aponta onde começar.