A ISO/IEC 42001:2023 é a primeira norma internacional para sistema de gestão de inteligência artificial (AIMS, na sigla em inglês). Ela não descreve como construir um modelo nem define o que é IA aceitável: define como uma organização se estrutura para governar o uso e o desenvolvimento de IA de forma responsável e auditável.
A distinção importa. Norma de sistema de gestão trata de papéis, processos, controles e melhoria contínua — o mesmo espírito da ISO 9001 para qualidade ou da ISO/IEC 27001 para segurança da informação.
O que a norma pede, em linguagem direta
Sem entrar na numeração das cláusulas, o que a 42001 cobra de uma organização é reconhecível:
- Contexto e partes interessadas. Onde a IA é usada, quem é afetado e quais expectativas e obrigações incidem.
- Liderança e política. Compromisso da direção e uma política de IA aprovada e comunicada.
- Papéis e responsabilidades. Quem responde pelo quê — inclusive quem aprova exceção e quem responde por incidente.
- Avaliação de riscos e de impacto. Riscos da IA para a organização e, o ponto distintivo desta norma, o impacto sobre pessoas e sociedade.
- Controles operacionais. As medidas efetivamente aplicadas ao ciclo de vida: dados, desenvolvimento, uso, fornecedores, monitoramento.
- Evidência e melhoria. Registro, auditoria interna, análise crítica e correção do que não funcionou.
O que a diferencia da ISO 27001
A ISO/IEC 27001 protege a informação: confidencialidade, integridade e disponibilidade. A 42001 acrescenta uma preocupação que a segurança da informação não cobre — o efeito do sistema sobre as pessoas: viés, transparência, explicabilidade, supervisão humana e uso pretendido versus uso real.
Na prática, as duas se somam. Quem já tem um sistema de gestão de segurança maduro aproveita boa parte da estrutura — análise crítica pela direção, gestão de fornecedores, tratamento de incidentes, auditoria interna — e adiciona o que é específico de IA.
Como isso conversa com a realidade brasileira
Para uma empresa no Brasil, a 42001 funciona como espinha dorsal técnica que se encaixa no que a LGPD já exige e no que a regulação específica de IA tende a cobrar. Inventário de uso, classificação por risco, política aplicada, supervisão humana em decisões sensíveis e trilha de evidência aparecem nos três lugares.
É por isso que estruturar pela norma raramente é trabalho perdido, mesmo para quem não pretende certificar no curto prazo.
Certificar ou apenas se alinhar?
São decisões diferentes, com custos diferentes.
Alinhar-se significa adotar a estrutura da norma sem passar por auditoria de certificação. Resolve organização interna e responde bem à maioria das due diligences, desde que a empresa seja honesta sobre o status.
Certificar significa submeter-se a auditoria de terceira parte e obter o certificado. Faz sentido quando o mercado exige — cliente grande, setor regulado, licitação — ou quando o certificado é diferencial comercial concreto.
Aqui cabe um alerta que vale para qualquer norma: descrever conformidade como se fosse certificação é o erro mais caro de um trust center. Quem audita verifica, e a descoberta contamina a credibilidade de todo o resto da página. "Alinhado à ISO/IEC 42001, não certificado" é uma frase que aumenta confiança, não que a reduz.
Por onde começar
A sequência que funciona é a mesma da governança em geral, com a norma dando o vocabulário:
- Inventário do uso de IA, incluindo o que ninguém aprovou.
- Classificação por risco e por impacto sobre pessoas, separando o que é assistência do que influencia decisão.
- Política aprovada e traduzida em regra aplicada no ambiente.
- Controles no ciclo de vida: dados, fornecedores, uso, monitoramento.
- Evidência: registro que nasce do fluxo, auditoria interna e análise crítica periódica.
Cada etapa dessa lista é executável antes de qualquer decisão sobre certificar. E as três primeiras já resolvem a maior parte das perguntas que chegam de cliente e de auditoria.
Onde a NOBUG entra
A implantação de IA conduz do inventário à política aplicada e ao rollout com auditoria ligada; o NOBUG STUDIO sustenta os controles operacionais e a trilha de evidência sobre Claude, ChatGPT, Gemini e Copilot. A postura da própria NOBUG está publicada no Trust Center.
