A inteligência artificial já faz parte do dia a dia de muitas organizações. Está presente em ferramentas de produtividade, sistemas de apoio à tomada de decisão, atendimento ao cliente, análise de dados e processos de desenvolvimento de produtos e serviços.
Mas a rapidez com que essas tecnologias são adotadas levanta uma questão importante: será que as organizações sabem onde a inteligência artificial está sendo utilizada, quais dados são tratados e quais são os riscos associados?
Segundo o Global Cybersecurity Outlook 2026, 87% dos entrevistados identificaram as vulnerabilidades relacionadas à inteligência artificial como o risco cibernético que mais cresceu em 2025.
A preocupação não se limita à cibersegurança. O uso da IA também apresenta desafios relacionados à transparência, à qualidade dos dados, à supervisão humana, à responsabilidade pelas decisões e ao cumprimento de requisitos legais.
A ISO/IEC 42001:2023, primeira norma internacional para sistemas de gestão da inteligência artificial, foi desenvolvida para ajudar as organizações a enfrentar esses desafios, estabelecendo requisitos para o uso responsável e controlado dessa tecnologia.
Sua organização sabe como está utilizando a inteligência artificial?
Uma empresa pode utilizar IA em diferentes áreas sem ter uma visão completa dos sistemas existentes. Algumas ferramentas são adquiridas pela organização, outras estão integradas a softwares já utilizados e outras podem ser adotadas diretamente pelas equipes.
Essa diversidade dificulta a identificação das informações compartilhadas, dos responsáveis por cada aplicação e das medidas de controle implementadas.
Por isso, o primeiro passo para uma governança eficaz é identificar os sistemas e casos de uso de IA, compreender suas finalidades e avaliar os riscos e impactos associados.
É justamente nesse ponto que a ISO/IEC 42001 pode fazer a diferença.
A norma estabelece os requisitos para um Sistema de Gestão da Inteligência Artificial (Artificial Intelligence Management System – AIMS), permitindo definir políticas, responsabilidades, processos e controles adequados à realidade de cada organização.
É aplicável tanto às organizações que desenvolvem soluções de inteligência artificial quanto àquelas que utilizam produtos ou serviços baseados nessa tecnologia.
Do uso da IA à gestão dos riscos
Os riscos associados à inteligência artificial dependem da forma como a tecnologia é desenvolvida e utilizada.
Uma ferramenta de apoio à elaboração de documentos, por exemplo, apresenta desafios diferentes daqueles de um sistema utilizado para apoiar decisões de recrutamento, avaliar clientes ou analisar informações sensíveis.
Entre os aspectos que devem ser considerados estão a proteção e a qualidade dos dados, a transparência dos resultados, a supervisão humana, a dependência de fornecedores e os possíveis impactos sobre as pessoas.
A ISO/IEC 42001 permite integrar essas preocupações a um sistema de gestão, com critérios para avaliar riscos e impactos, definir medidas de controle e monitorar sua eficácia.
Essa avaliação não deve ocorrer apenas no momento da implementação. Os sistemas de IA podem ser atualizados, passar a utilizar novos dados ou ser aplicados a finalidades diferentes das inicialmente previstas.
Por esse motivo, a gestão deve acompanhar todo o ciclo de vida dos sistemas, desde o desenvolvimento ou aquisição até sua utilização, modificação e eventual descontinuação.
O objetivo não é limitar a adoção da inteligência artificial, mas garantir que as organizações consigam acompanhar seu uso e tomar decisões informadas sobre os riscos envolvidos.
Qual é a relação entre a ISO/IEC 42001 e o AI Act?
Com a entrada em vigor do Regulamento Europeu de Inteligência Artificial (AI Act), a governança da IA também passou a ter uma dimensão regulatória.
Embora estejam relacionados, o AI Act e a ISO/IEC 42001 têm naturezas distintas.
O AI Act estabelece obrigações legais para determinados sistemas e agentes, considerando fatores como o nível de risco e o papel desempenhado pela organização.
A ISO/IEC 42001 é uma norma internacional voluntária que define requisitos para implementar e manter um sistema de gestão da inteligência artificial.
A implementação da norma pode ajudar as organizações a estruturar processos, atribuir responsabilidades, avaliar riscos e reunir evidências relevantes para atender a obrigações regulatórias.
No entanto, a certificação ISO/IEC 42001 não garante, por si só, a conformidade com o AI Act. O cumprimento da legislação deve ser avaliado considerando os requisitos aplicáveis a cada organização e aos sistemas de IA envolvidos.
O que a certificação ISO/IEC 42001 acrescenta?
A implementação da ISO/IEC 42001 permite às organizações controlar o uso da inteligência artificial, definir responsabilidades e estabelecer mecanismos de avaliação e controle dos riscos.
Para organizações que já possuem sistemas de gestão, como a ISO/IEC 27001, a norma também oferece oportunidades de integração, aproveitando processos existentes de gestão de riscos, auditoria interna e melhoria contínua.
A certificação acrescenta uma avaliação independente do sistema de gestão, permitindo demonstrar sua conformidade com os requisitos da ISO/IEC 42001.
Em um contexto no qual clientes, parceiros e outras partes interessadas buscam maior transparência sobre o uso da inteligência artificial, essa avaliação contribui para reforçar a credibilidade das práticas adotadas.
Certificação ISO/IEC 42001 com a APCER
A APCER oferece serviços de certificação ISO/IEC 42001 e conta com competências nas áreas de sistemas de gestão, tecnologia, segurança da informação, riscos e conformidade.
Por meio de uma avaliação independente, a certificação permite demonstrar que a organização possui um sistema de gestão da inteligência artificial em conformidade com os requisitos da norma.
Quer saber mais sobre a ISO/IEC 42001 e o processo de certificação?
