ISO 42001 (IA): o que a plataforma cobre

A ISO 42001 é a norma internacional de gestão de inteligência artificial. Ela é a mais recente do catálogo, e a menos conhecida, então vale começar pelo que ela não é.

Ela não é uma norma técnica sobre como construir modelos. É uma norma de governança: como a empresa decide onde usa IA, com que cuidados, sob responsabilidade de quem, e como acompanha as consequências.

Para quem serve

Para dois perfis diferentes, e é comum a empresa se enquadrar no segundo sem perceber.

Quem desenvolve IA. Empresas que treinam, ajustam ou embarcam modelos no próprio produto.

Quem usa IA. Empresas que adotaram ferramentas de IA em processos que afetam pessoas: triagem de currículos, análise de crédito, atendimento, priorização de casos, moderação de conteúdo.

O segundo grupo é muito maior. Se a sua empresa usa IA em alguma decisão que afeta clientes ou candidatos, esta norma provavelmente conversa com você.

Os sinais de que ela entrou na pauta:

• Clientes começaram a perguntar como a empresa governa o uso de IA.
• A empresa adotou ferramentas de IA rapidamente, sem política definida.
• O jurídico levantou a questão por causa de regulação emergente.
• A empresa quer se antecipar a uma exigência que tende a se tornar comum.

O que ela cobra, em linhas gerais

Quatro frentes:

Governança e responsabilidade. Quem decide sobre o uso de IA na empresa, com que critério, e quem responde pelas consequências.

Inventário e classificação. Quais sistemas de IA a empresa usa ou desenvolve, para quê, e quais deles afetam pessoas de forma significativa.

Avaliação de impacto. Antes de usar IA em uma decisão relevante, entender os riscos: viés, erro, falta de transparência, uso de dados pessoais.

Ciclo de vida e monitoramento. Acompanhar o comportamento ao longo do tempo, com supervisão humana onde ela é necessária, e revisão periódica.

O que é comprovado automaticamente e o que não é

Seja realista: esta é a norma do catálogo em que a evidência manual pesa mais.

Não existe integração que confira governança de IA. O que a plataforma faz aqui é organizar, cobrar e guardar a comprovação.

A relação com privacidade

As duas coisas se cruzam com frequência, e vale não confundir.

Se o sistema de IA usa dados pessoais, você tem obrigações de privacidade além das de governança de IA. O tratamento entra no registro de atividades de tratamento, e um uso de maior risco pede relatório de impacto.

Na prática, empresas que habilitam a ISO 42001 costumam ter trabalho a fazer também no módulo Privacidade.

Por onde começar

1. Faça o inventário. Liste onde a empresa usa IA hoje, incluindo ferramentas adotadas por áreas sem passar pela tecnologia. Esta etapa quase sempre revela mais do que se esperava.
2. Classifique por impacto. Separe o que afeta pessoas de forma significativa do que é conveniência interna.
3. Publique a política de uso de IA. O que é permitido, o que exige aprovação, o que é proibido.
4. Avalie os casos de maior impacto, um por um.
5. Defina a supervisão humana onde ela é necessária, e registre como funciona.

O que costuma dar ressalva

• Inventário incompleto. Ferramentas de IA adotadas por marketing, RH ou atendimento sem registro central.
• Política que proíbe tudo e é ignorada. Pior que não ter política, porque a prática contradiz o documento.
• Nenhuma avaliação de impacto em uso que claramente afeta pessoas.
• Supervisão humana declarada e inexistente. Dizer que há revisão humana quando na prática ninguém revisa é o achado mais grave.

⚠️ Esta página descreve, em linguagem própria, o propósito e a estrutura geral da norma. Ela não reproduz o texto normativo. Para o conteúdo oficial, consulte a norma publicada pelo organismo responsável.