ISO 42001: o que a norma de gestão de IA exige da sua empresa

Um fornecedor de IA te manda um formulário de compliance e a primeira pergunta é: “sua empresa segue a ISO 42001?”. Até pouco tempo, quase ninguém no mercado brasileiro sabia responder. Hoje essa pergunta aparece em RFP de multinacional, em due diligence de investidor e em questionário de segurança de cliente enterprise. A ISO 42001 virou o jeito mais direto de provar que sua empresa não está usando IA no escuro.

O que é a ISO 42001

A ISO/IEC 42001 é a primeira norma internacional específica para gestão de inteligência artificial, publicada pela ISO em dezembro de 2023, desenvolvida pelo subcomitê técnico dedicado a IA dentro do ISO/IEC JTC 1.

Ela segue a mesma lógica de outras normas de gestão que o mercado já conhece: em vez de ditar regra técnica fixa, ela exige que a empresa mantenha um sistema de gestão vivo, com política, papéis definidos, avaliação de risco e ciclo de melhoria contínua. A diferença está no objeto de cada norma.

Norma	Objeto	O que garante
ISO 27001	Segurança da informação	Dado protegido contra acesso indevido
ISO 9001	Qualidade de processo	Processo consistente e repetível
ISO 42001	Gestão de inteligência artificial	IA desenvolvida, comprada e operada com risco avaliado

Não é lei. É uma norma voluntária, com certificação feita por auditor independente pra quem quer, ou precisa, comprovar isso formalmente. Mas o conteúdo dela virou referência prática mesmo pra empresa que nunca vai atrás do certificado, porque descreve, com bastante precisão, o que significa “usar IA com responsabilidade”.

O que a norma exige na prática

Na prática, a ISO 42001 pede que a empresa consiga responder, com documento e evidência, um conjunto de perguntas básicas sobre cada sistema de IA que usa ou oferece.

• Política de IA formal. Quem aprova o uso de um novo modelo ou agente, e com base em qual critério.
• Avaliação de risco por sistema. Viés, robustez, segurança e transparência levantados antes do sistema entrar em produção, não depois de um incidente.
• Avaliação de impacto. Efeito sobre quem é atendido pelo sistema (cliente, funcionário, terceiro), documentado antes do lançamento.
• Gestão de dados e de fornecedores. De onde vêm os dados que treinam ou alimentam o sistema, e que controle a empresa tem sobre o modelo de terceiro que está usando.
• Monitoramento contínuo. Acompanhar o comportamento do sistema depois que ele já está no ar, não só na etapa de teste.
• Plano de resposta a incidente. O que a empresa faz quando o sistema erra, alucina ou expõe um dado que não devia.
• Auditoria interna e revisão periódica. O ciclo de planejar, executar, checar e ajustar que toda norma de gestão ISO exige, aplicado à IA.

Nenhum desses pontos é exclusivo de quem busca certificação. É, basicamente, a definição do que significa ter controle sobre a IA que roda dentro da empresa.

Quem precisa se certificar (e quem não)

Certificação formal na ISO 42001 não é obrigatória pra quase nenhuma empresa hoje, mas faz sentido pra um grupo específico.

Vale a pena buscar o certificado se sua empresa:

• Vende IA pra outras empresas (SaaS de IA, consultoria, integrador) e o cliente enterprise pede prova formal de governança no processo de compra.
• Atua em setor regulado (financeiro, saúde, órgão público) onde o regulador ou o auditor externo já cobra esse tipo de evidência.
• Participa de licitação ou RFP que lista a 42001 como critério de desempate ou pré-requisito.

Vale um alerta importante: a certificação prova maturidade de gestão, não substitui regulação específica. Uma empresa certificada na 42001 ainda precisa olhar separadamente pra LGPD, pra regras setoriais e, se atender a União Europeia, pro AI Act europeu. São coisas complementares, não intercambiáveis.

Se nenhum dos três casos acima é o seu, a certificação formal provavelmente não vale o esforço agora. O que vale, pra praticamente qualquer empresa que usa IA no dia a dia, é adotar a prática que a norma descreve, sem correr atrás do papel: política escrita, risco avaliado, auditoria de uso, dado sensível protegido. Isso resolve a maior parte do problema real, que é usar IA sem saber o que está acontecendo por dentro dela.

Onde a maioria das empresas trava antes de sequer pensar em certificação

O problema quase nunca é a norma ser complexa. É que a empresa não tem a informação básica organizada pra sequer começar a preencher o formulário de avaliação.

Sinais claros de que sua empresa está travada bem antes da 42001:

• Ninguém sabe listar, de cabeça, todas as ferramentas de IA que os times usam hoje.
• Não existe log de quem conversou com qual agente, sobre o quê.
• A avaliação de risco de um novo modelo, quando existe, mora numa planilha esquecida, não num processo repetido.
• Cada departamento contratou ou configurou IA do próprio jeito, sem padrão comum entre eles.

Isso é o retrato de uma operação de IA fragmentada. E fragmentação é o oposto exato do que qualquer norma de gestão, a 42001 inclusive, tenta corrigir. Não dá pra auditar o que nunca foi registrado, e não dá pra avaliar risco de uma ferramenta que a liderança nem sabe que existe.

Como a governança nativa facilita a conformidade

A saída mais rápida pra sair da fragmentação e chegar perto do que a 42001 pede é centralizar o uso de IA num ambiente que já nasce com governança embutida, em vez de tentar documentar manualmente uma dezena de ferramentas soltas depois do fato.

Isso significa, na prática:

• Um hub único, onde toda conversa com IA, interna ou externa, acontece dentro do controle da empresa, não em conta pessoal dispersa.
• Auditoria nativa de cada execução, com registro automático de quem pediu o quê, pra qual agente, com qual resultado. É a evidência que a norma pede, gerada sozinha, sem trabalho manual depois.
• Guardrails ativos contra alucinação e vazamento de dado sensível, aplicados antes da resposta sair, não descobertos depois num incidente.
• Papel e aprovação documentados por trás de cada agente publicado, em vez de “alguém no time configurou isso um dia e ninguém mais lembra por quê”.

É esse o desenho do SquadOS: um hub interno governado, com auditoria de cada conversa e guardrails nativos contra alucinação e PII, no lugar de IA solta em conta pessoal e planilha de risco esquecida. Não substitui a certificação formal pra quem realmente precisa dela, mas resolve, de cara, a parte que a maioria das empresas nem sequer tinha organizada: saber o que a própria IA está fazendo, com quem e com qual dado.