ISO/IEC 42001 consolida a era da governança de IA auditável

Publicada em dezembro de 2023 pelo comitê conjunto ISO/IEC JTC 1/SC 42, a ISO/IEC 42001 é a primeira norma internacional de sistema de gestão dedicada à inteligência artificial — um SGIA (Sistema de Gestão de Inteligência Artificial, na sigla consagrada em português) na mesma família estrutural da ISO 9001 (qualidade) e da ISO/IEC 27001 (segurança da informação). Diferentemente de princípios éticos voluntários, ela é auditável e certificável por organismos independentes acreditados, com ciclo de três anos e auditorias anuais de acompanhamento. A norma abrange três perfis de atuação no ecossistema: produtoras (que desenvolvem modelos de base, como OpenAI e Anthropic), fornecedoras (que constroem soluções sobre plataformas de terceiros) e usuárias (que empregam IA em processos internos). Seus 38 controles do Anexo A cobrem gestão de riscos específicos de IA, mitigação de vieses, transparência, supervisão humana e monitoramento contínuo. Em julho de 2025, a ISO publicou a norma complementar ISO/IEC 42006, que regula os próprios organismos de certificação — sinal de maturação da infraestrutura de auditoria.

A existência de um padrão certificável muda a economia da confiança em IA. Governança responsável deixa de ser discurso autorreferido e passa a ser atestável por terceiros — o que pressiona todo o mercado: compradores corporativos já tratam o certificado como artefato de due diligence em processos de contratação de fornecedores. Há, porém, um ponto crítico frequentemente mal compreendido: a certificação não equivale a conformidade legal com o AI Act europeu (Regulamento UE 2024/1689), que regula cada sistema de alto risco como produto, e não o sistema de gestão da organização. A norma harmonizada europeia específica (prEN 18286) só deve sair no fim de 2026, e as obrigações de alto risco foram adiadas para dezembro de 2027 e agosto de 2028 pelo pacote Digital Omnibus. Mesmo assim, o caminho pragmático emergente é em camadas: ISO/IEC 42001 como governança organizacional, sobreposta por normas regulatórias por sistema. Para o Brasil e outras jurisdições com marcos de IA em tramitação, a tendência é que a ISO/IEC 42001 seja referenciada explicitamente como âncora portátil de conformidade — vantagem para quem se antecipa, custo de adaptação para quem esperar.

De: ética de IA como compromisso declaratório, verificável apenas pela autodeclaração das empresas → Para: governança de IA como sistema de gestão auditável, certificável por terceiros e exigível em cadeias de suprimento e processos regulatórios. Estágio da transição: acelerando — a norma saiu da invisibilidade para 36% de citação entre os marcos regulatórios mais mencionados por empresas no AI Index Report 2026, acima do NIST AI RMF (quadro de gestão de riscos de IA do Instituto Nacional de Padrões e Tecnologia dos EUA), e o ecossistema de certificação já inclui gigantes de nuvem, modelos de fundação e a primeira certificada latino-americana (Softtek, novembro de 2025).