A inteligência artificial já faz parte do dia a dia de muitas organizações. Está presente em ferramentas de produtividade, sistemas de apoio à decisão, atendimento ao cliente, análise de dados e processos de desenvolvimento de produtos e serviços.
Mas a rapidez com que estas tecnologias são adotadas levanta uma questão importante: será que as organizações sabem onde está a ser utilizada inteligência artificial, que dados são tratados e quais os riscos associados?
Segundo o Global Cybersecurity Outlook 2026, 87% dos inquiridos identificaram as vulnerabilidades relacionadas com a inteligência artificial como o risco cibernético de crescimento mais rápido em 2025.
A preocupação não se limita à cibersegurança. A utilização de IA coloca também desafios relacionados com a transparência, a qualidade dos dados, a supervisão humana, a responsabilidade pelas decisões e o cumprimento de requisitos legais.
A ISO/IEC 42001:2023, primeira norma internacional para sistemas de gestão da inteligência artificial, foi desenvolvida para ajudar as organizações a responder a estes desafios, estabelecendo requisitos para uma utilização responsável e controlada da tecnologia.
A sua organização sabe como está a utilizar inteligência artificial?
Uma empresa pode utilizar IA em diferentes áreas sem ter uma visão completa dos sistemas existentes. Algumas ferramentas são adquiridas pela organização, outras estão integradas em software já utilizado e outras podem ser adotadas diretamente pelas equipas.
Esta diversidade torna mais difícil perceber que informação é partilhada, quem é responsável por cada utilização e que medidas de controlo estão implementadas.
O primeiro passo para uma governação eficaz passa, por isso, por identificar os sistemas e casos de uso de IA, compreender as suas finalidades e avaliar os riscos e impactos associados.
É precisamente neste ponto que a ISO/IEC 42001 pode fazer a diferença.
A norma estabelece os requisitos para um Sistema de Gestão da Inteligência Artificial (Artificial Intelligence Management System – AIMS), permitindo definir políticas, responsabilidades, processos e controlos adequados à realidade de cada organização.
É aplicável tanto a organizações que desenvolvem soluções de inteligência artificial como às que utilizam produtos ou serviços baseados nesta tecnologia.
Da utilização da IA à gestão dos riscos
Os riscos associados à inteligência artificial dependem da forma como a tecnologia é desenvolvida e utilizada.
Uma ferramenta de apoio à redação de documentos, por exemplo, apresenta desafios diferentes dos de um sistema utilizado para apoiar decisões de recrutamento, avaliar clientes ou analisar informação sensível.
Entre os aspetos que devem ser considerados encontram-se a proteção e qualidade dos dados, a transparência dos resultados, a supervisão humana, a dependência de fornecedores e os possíveis impactos sobre as pessoas.
A ISO/IEC 42001 permite integrar estas preocupações num sistema de gestão, com critérios para avaliar riscos e impactos, definir medidas de controlo e acompanhar a sua eficácia.
Esta avaliação não deve acontecer apenas no momento da implementação. Os sistemas de IA podem ser atualizados, passar a utilizar novos dados ou ser aplicados a finalidades diferentes das inicialmente previstas.
Por esse motivo, a gestão deve acompanhar o ciclo de vida dos sistemas, desde o desenvolvimento ou aquisição até à sua utilização, alteração e eventual retirada.
O objetivo não é limitar a adoção da inteligência artificial, mas garantir que as organizações conseguem acompanhar a sua utilização e tomar decisões informadas sobre os riscos envolvidos.
Qual é a relação entre a ISO/IEC 42001 e o AI Act?
Com a entrada em vigor do Regulamento Europeu da Inteligência Artificial (AI Act), a governação da IA ganhou também uma dimensão regulamentar.
Embora estejam relacionados, o AI Act e a ISO/IEC 42001 têm naturezas distintas.
O AI Act estabelece obrigações legais para determinados sistemas e intervenientes, tendo em conta fatores como o nível de risco e o papel desempenhado pela organização.
A ISO/IEC 42001 é uma norma internacional voluntária que define requisitos para implementar e manter um sistema de gestão da inteligência artificial.
A implementação da norma pode ajudar as organizações a estruturar processos, atribuir responsabilidades, avaliar riscos e reunir evidências relevantes para responder a obrigações regulamentares.
No entanto, a certificação ISO/IEC 42001 não garante, por si só, a conformidade com o AI Act. O cumprimento da legislação deve ser avaliado tendo em conta os requisitos aplicáveis a cada organização e aos sistemas de IA envolvidos.
O que acrescenta a certificação ISO/IEC 42001?
A implementação da ISO/IEC 42001 permite às organizações controlar a utilização da inteligência artificial, clarificar responsabilidades e estabelecer mecanismos de avaliação e controlo dos riscos.
Para organizações que já dispõem de sistemas de gestão, como a ISO/IEC 27001, a norma oferece também oportunidades de integração, aproveitando processos existentes de gestão do risco, auditoria interna e melhoria contínua.
A certificação acrescenta uma avaliação independente do sistema de gestão, permitindo demonstrar a sua conformidade com os requisitos da ISO/IEC 42001.
Num contexto em que clientes, parceiros e outras partes interessadas procuram maior transparência sobre a utilização da inteligência artificial, esta avaliação constitui uma forma de reforçar a credibilidade das práticas adotadas.
Certificação ISO/IEC 42001 com a APCER
A APCER disponibiliza serviços de certificação ISO/IEC 42001, contando com competências nas áreas de sistemas de gestão, tecnologia, segurança da informação, risco e conformidade.
Através de uma avaliação independente, a certificação permite demonstrar que a organização dispõe de um sistema de gestão da inteligência artificial conforme com os requisitos da norma.
Pretende saber mais sobre a ISO/IEC 42001 e o processo de certificação?
