ISO/IEC 42001 e governança de IA: o que é a norma e como começar
O que a norma de sistema de gestão de IA pede, para quem serve, como se organiza, como conversa com a ISO/IEC 27001, o NIST AI RMF e a regulação, e o que é governar IA no dia a dia.
Em resumo: A ISO/IEC 42001 é a norma internacional de sistema de gestão de inteligência artificial (AIMS, na sigla em inglês). Ela define requisitos para estabelecer, implementar, manter e melhorar continuamente a gestão da IA em organizações que desenvolvem, fornecem ou usam IA. Foi publicada pela ISO e pela IEC em dezembro de 2023, e a certificação é voluntária. Governança de IA é essa gestão na prática: inventário dos sistemas de IA, avaliação de risco e de impacto, papéis, políticas e monitoramento. A norma não substitui leis como a LGPD e o AI Act.
O que é a ISO/IEC 42001?
A ISO/IEC 42001:2023 especifica os requisitos de um sistema de gestão de inteligência artificial, o AIMS (Artificial Intelligence Management System). Foi publicada em dezembro de 2023, elaborada pelo subcomitê de inteligência artificial do comitê técnico conjunto da ISO e da IEC (ISO/IEC JTC 1/SC 42), e a ISO a apresenta como a primeira norma de sistema de gestão de IA do mundo.
Um sistema de gestão de IA é o conjunto de políticas, processos e controles com que a organização governa os seus sistemas de IA, do projeto ao uso (ISO). A norma pede que ele funcione em ciclo, no modelo planejar, fazer, checar e agir (PDCA): a empresa define as regras, aplica, mede e corrige.
A norma trata de riscos como viés, falhas de segurança e uso indevido, e de temas como transparência, dados e fornecedores. Ela não é lei nem norma técnica de proteção de modelos: a própria ISO diz que a ISO/IEC 42001 não substitui leis e regulamentos, mas ajuda a cumprir as obrigações. Os controles técnicos, como guardrails e DLP para IA, estão no guia Segurança de IA.
A ISO/IEC 42001 faz parte de uma família de normas de IA da ISO e da IEC. Algumas que se ligam a ela:
- ISO/IEC 23894:2023: orientação sobre gestão de risco de IA.
- ISO/IEC 42005:2025: orientação para avaliar o impacto de sistemas de IA em pessoas, grupos e na sociedade.
- ISO/IEC 42006:2025: requisitos para os organismos que auditam e certificam sistemas de gestão de IA, em complemento à ISO/IEC 17021-1.
- ISO/IEC 38507:2022: orientação ao conselho sobre as implicações do uso de IA na organização.
Para quem serve a ISO/IEC 42001?
Para organizações de qualquer porte e setor, inclusive órgãos públicos e entidades sem fins lucrativos, que se encaixam em pelo menos um destes casos (ISO).
- Desenvolve IA Cria modelos, aplicações ou agentes de IA, para uso próprio ou para clientes.
- Põe IA em produtos e serviços Oferece ao mercado algo que tem IA dentro, própria ou de terceiros.
- Usa IA para decidir ou automatizar Coloca IA em processos que afetam clientes, empregados ou a operação.
- Contrata IA de terceiros Usa modelos, plataformas ou assistentes de fornecedores e responde pelo uso.
A certificação é voluntária, e clientes e contratos podem pedi-la. Mesmo sem certificar, a norma serve de roteiro para organizar a governança de IA.
Como a ISO/IEC 42001 está organizada?
A norma segue a estrutura dos sistemas de gestão da ISO: dez cláusulas, com os requisitos nas cláusulas 4 a 10, e quatro anexos. O resumo abaixo parte do sumário publicado; o texto completo é vendido pela ISO e pelos organismos nacionais de normalização.
| Parte | O que trata |
|---|---|
| 4 · Contexto da organização | A organização e o contexto em que usa IA, as necessidades das partes interessadas e o escopo do sistema de gestão de IA |
| 5 · Liderança | Compromisso da direção, política de IA e papéis, responsabilidades e autoridades |
| 6 · Planejamento | Riscos e oportunidades: avaliação e tratamento de riscos de IA e avaliação de impacto dos sistemas de IA; objetivos de IA e planejamento de mudanças |
| 7 · Apoio | Recursos, competência, conscientização, comunicação e informação documentada |
| 8 · Operação | Planejamento e controle da operação, com a avaliação de riscos, o tratamento de riscos e a avaliação de impacto feitos na rotina |
| 9 · Avaliação de desempenho | Monitoramento, medição, análise e avaliação; auditoria interna; análise crítica pela direção |
| 10 · Melhoria | Melhoria contínua, não conformidade e ação corretiva |
| Anexo A (normativo) | Objetivos de controle e controles de referência para a gestão de IA |
| Anexo B (normativo) | Orientação para implementar os controles do Anexo A |
| Anexo C (informativo) | Objetivos da organização e fontes de risco que podem estar ligados à IA |
| Anexo D (informativo) | Uso do sistema de gestão de IA em diferentes domínios e setores |
As cláusulas 1 a 3 trazem escopo, referências normativas e termos e definições. A avaliação de impacto do sistema de IA (6.1.4 e 8.4) é o requisito que a ISO/IEC 27001 não tem.
Que temas os controles do Anexo A cobrem?
O Anexo A lista objetivos de controle e controles de referência, e o Anexo B explica como aplicar cada um. A empresa escolhe os que se aplicam a partir da avaliação e do tratamento de riscos de IA (cláusula 6). Os temas, pelos títulos dos controles citados no crosswalk publicado pelo NIST:
O crosswalk foi feito sobre a versão final de rascunho da norma (FDIS). A lista oficial dos controles está no texto publicado.
ISO/IEC 42001, ISO/IEC 27001 e NIST AI RMF: qual a diferença?
As três referências se completam. A ISO/IEC 27001 protege a informação, a ISO/IEC 42001 governa o uso de IA e o NIST AI RMF organiza a gestão de risco de IA, sem certificação.
| Aspecto | ISO/IEC 42001 | ISO/IEC 27001 | NIST AI RMF |
|---|---|---|---|
| O que é | Requisitos de um sistema de gestão de IA | Requisitos de um sistema de gestão de segurança da informação (SGSI) | Framework do NIST para gerir riscos de IA |
| Foco | Uso responsável de IA: risco, impacto em pessoas e na sociedade, ciclo de vida, dados e terceiros | Confidencialidade, integridade e disponibilidade da informação | IA digna de confiança: válida e confiável, segura, protegida e resiliente, responsável e transparente, explicável, com privacidade e justa |
| Estrutura | Cláusulas 4 a 10 e controles de IA no Anexo A | Cláusulas 4 a 10 e controles de segurança da informação no Anexo A | Quatro funções: governar, mapear, medir e gerenciar, com categorias e subcategorias |
| Certificação | Voluntária, por organismo independente | Voluntária, por organismo independente | Não há; o uso é voluntário |
| Versão | Edição de dezembro de 2023 | Edição de outubro de 2022, com uma emenda de 2024 | Versão 1.0, de 26/1/2023, em revisão pelo NIST |
As duas normas ISO têm as mesmas cláusulas de 4 a 10, com os mesmos títulos (sumário da 42001 e sumário da 27001). Quem já tem a ISO/IEC 27001 pode levar ao sistema de gestão de IA processos que já funcionam, como informação documentada, auditoria interna, análise crítica pela direção e ação corretiva. O NIST publica, na sua base de crosswalks, um mapeamento do AI RMF para a ISO/IEC 42001, feito pela Microsoft sobre a versão FDIS da norma. Fontes: ISO/IEC 42001, ISO/IEC 27001, NIST AI RMF e AI RMF 1.0.
Como a ISO/IEC 42001 se relaciona com o AI Act, o PL 2338/2023 e a LGPD?
A norma é voluntária; as leis, não. A ISO lembra que a ISO/IEC 42001 não substitui leis e regulamentos. Na Europa, a primeira norma harmonizada do AI Act, a EN 18286:2026, publicada no Jornal Oficial em 19/10/2026, traz o sistema de gestão da qualidade exigido dos fornecedores de IA de alto risco (art. 17) e foi feita para se somar a normas internacionais como a ISO/IEC 42001, sem substituí-las. Situação conferida nas fontes oficiais em 08/11/2026.
| Regulação | O que exige | Situação | Onde a ISO/IEC 42001 ajuda |
|---|---|---|---|
| EU AI Act (Regulamento (UE) 2024/1689) | Regras por nível de risco para quem oferece ou usa IA no mercado europeu, inclusive empresas de fora da UE: práticas proibidas, transparência, alfabetização em IA e, no alto risco, gestão de risco, dados de qualidade, registro de atividade, documentação, supervisão humana e monitoramento depois da venda | Em vigor desde 1º/8/2024 e aplicável desde 2/8/2026, com exceções: as primeiras práticas proibidas e a alfabetização em IA desde 2/2/2025; IA de propósito geral desde 2/8/2025; alto risco em 2/12/2027 (Anexo III) e 2/8/2028 (Anexo I), pelo Omnibus Digital de IA (Regulamento (UE) 2026/1744) | Dá a base de gestão: política, papéis, risco, impacto, ciclo de vida, dados e registros. A presunção de conformidade vem das normas harmonizadas, como a EN 18286:2026 no sistema de gestão da qualidade |
| PL 2338/2023 (marco legal da IA no Brasil) | No texto aprovado pelo Senado: níveis de risco, estruturas internas de governança para os agentes de IA, avaliação de impacto algorítmico no alto risco e um sistema nacional coordenado pela ANPD | Ainda não é lei. Aprovado no Senado em 10/12/2024; na Câmara desde 17/3/2025, aguardando o parecer do relator na comissão especial | Estruturas de governança, inventário e avaliação de impacto adiantam o que o texto pede, que ainda pode mudar na Câmara |
| LGPD (Lei 13.709/2018) | Regras para dado pessoal em treino, prompts e decisões, como medidas de segurança (art. 46) e revisão de decisões automatizadas (art. 20) | Em vigor | Os controles de dados, de impacto em pessoas e de informação às partes interessadas ajudam a mostrar como a IA trata dado pessoal |
Fontes: Comissão Europeia, AI Act, Regulamento (UE) 2026/1744, EN 18286:2026, Câmara, Agência Senado, LGPD e ISO.
O que é governança de IA na prática?
Governança de IA é o conjunto de decisões, papéis, políticas e controles que define como a empresa usa inteligência artificial e quem responde por ela. A segurança de IA protege modelos, aplicações, agentes e dados contra ataques; a governança diz o que proteger e com que regras, e a segurança faz valer. Os controles de proteção estão no guia Segurança de IA.
Na prática, quatro frentes se repetem na ISO/IEC 42001, no NIST AI RMF e nos primeiros passos que a ISO recomenda.
Inventário
Que IA existe aqui?
NIST GOVERN 1.6 · ISO/IEC 42001: recursosUma lista viva dos sistemas de IA em uso, próprios, contratados e sem aprovação, com dono, finalidade e os dados que cada um acessa.
Na prática
- Modelos, aplicações, agentes e assistentes
- Fornecedores e contratos de IA
- Atualizado a cada caso de uso novo
Risco e impacto
O que pode dar errado, e para quem?
ISO/IEC 42001: 6.1.2 a 6.1.4 · NIST MAP e MEASURECada caso de uso é classificado pelo dado que usa, pela decisão que influencia e pelo que executa. A avaliação de impacto olha as pessoas e a sociedade, não só a empresa.
Na prática
- Avaliação e tratamento de riscos de IA
- Avaliação de impacto em pessoas e grupos
- Critérios para aceitar ou não um risco
Papéis e políticas
Quem decide, e com que regras?
ISO/IEC 42001: 5.2 e 5.3 · NIST GOVERN 2.1A direção aprova a política de IA e nomeia responsáveis, e um comitê de IA pode aprovar os casos de maior risco. A política diz o que é permitido, com que ferramentas e com que dados.
Na prática
- Política de IA e de uso aceitável
- Fluxo de aprovação de casos de uso
- Treinamento e canal para relatar preocupações
Monitoramento
Os controles funcionam?
ISO/IEC 42001: cláusulas 9 e 10 · NIST MANAGE 4.1Os sistemas em produção são acompanhados: desempenho, desvios, incidentes, mudanças e desativação. A auditoria interna e a análise crítica pela direção fecham o ciclo.
Na prática
- Indicadores e revisão periódica
- Resposta a incidentes de IA
- Auditoria interna e ação corretiva
Os fornecedores entram em todas as frentes: o NIST AI RMF pede políticas para os riscos de IA de terceiros (GOVERN 6.1), e a ISO/IEC 42001 tem controles para dividir responsabilidades com fornecedores e clientes.
O que é shadow AI e como a governança responde?
Shadow AI é o uso de ferramentas de IA sem aprovação da empresa, fora do inventário e dos controles: o assistente aberto no navegador, a extensão que lê e-mails, o recurso de IA ligado num sistema já contratado ou o agente montado por uma área de negócio. O risco principal é o dado da empresa sair sem que segurança, jurídico e privacidade saibam.
Para a governança, shadow AI é sintoma: falta inventário, falta política ou falta uma opção aprovada para quem precisa de IA. Só bloquear não resolve a causa, porque a necessidade continua e o uso pode ir para onde ninguém vê.
Os controles técnicos, como a descoberta de apps de IA, o DLP para IA e o bloqueio ou alerta de app não aprovado, estão no guia Segurança de IA. O que a governança faz:
- Descobrir e inventariar o uso, inclusive o não aprovado, e registrar no inventário o que for mantido.
- Oferecer uma opção aprovada, com contrato que diga o que o fornecedor pode fazer com os dados.
- Publicar a política de uso aceitável: ferramentas permitidas, dados que não podem ir para a IA e como pedir uma ferramenta nova.
- Treinar as pessoas. Na Europa, o AI Act pede que quem fornece ou usa IA tome medidas para que a equipe tenha um nível suficiente de alfabetização em IA (art. 4), obrigação aplicada desde 2/2/2025 (Comissão Europeia).
- Abrir um canal para relatar preocupações e usos de risco, um dos controles da ISO/IEC 42001.
- Repetir a descoberta a cada revisão do inventário.
Como começar a implantar a ISO/IEC 42001?
Um caminho em sete passos, do patrocínio da direção à melhoria contínua. A certificação é opcional e vem depois.
- Passo 1 Quem patrocina?
Patrocínio e escopo
A direção assume o tema, nomeia um responsável e define o escopo: que unidades, sistemas e processos entram no sistema de gestão de IA.
Cláusulas 4 e 5 - Passo 2 Que IA existe aqui?
Inventário de IA
Levante os sistemas de IA em uso, próprios, contratados e sem aprovação, com dono, finalidade e dados.
NIST GOVERN 1.6 - Passo 3 Onde estamos?
Análise de lacunas
Compare o que existe com os requisitos da norma e com as leis que valem para a empresa, como a LGPD e, se for o caso, o AI Act, e priorize o que falta.
Cláusulas 4 a 10 e Anexo A - Passo 4 Quem decide?
Política de IA e papéis
Aprove a política de IA e a de uso aceitável, defina papéis e responsabilidades e o fluxo de aprovação de casos de uso novos.
Cláusulas 5.2 e 5.3 - Passo 5 O que pode dar errado?
Riscos, impacto e controles
Avalie o risco e o impacto de cada caso de uso, escolha os controles a partir do Anexo A e defina objetivos de IA que possam ser medidos.
Cláusulas 6.1 e 6.2 - Passo 6 Os controles estão em uso?
Operação e pessoas
Ponha os controles na rotina, treine quem desenvolve, compra e usa IA e mantenha a informação documentada.
Cláusulas 7 e 8 - Passo 7 Funciona?
Monitorar, auditar e melhorar
Acompanhe indicadores e incidentes, faça auditoria interna e análise crítica pela direção e corrija as não conformidades.
Cláusulas 9 e 10 - Opcional Precisamos de prova independente?
Certificação
Um organismo de certificação independente audita o sistema de gestão. A ISO não certifica empresas, e a ISO/IEC 42006:2025 define os requisitos para esses organismos.
ISO/IEC 42006
Quem já tem a ISO/IEC 27001 aproveita a estrutura do SGSI nos passos 1, 6 e 7.
Como a Vortex apoia a governança de IA?
O Vortex AI Journey é a oferta da Vortex Security para governança e segurança de IA, em três pilares. A empresa pode entrar por qualquer um; o ponto de partida recomendado é o diagnóstico.
A Vortex é certificada ISO/IEC 27001, ISO/IEC 27701 e ISO 22301 e é Líder no ISG Provider Lens® 2026 em Next-Gen SOC/MDR Services (Midmarket), no Brasil.
Perguntas frequentes
O que é a ISO/IEC 42001?
É a norma internacional que define os requisitos de um sistema de gestão de inteligência artificial (AIMS): políticas, processos e controles para estabelecer, implementar, manter e melhorar continuamente a gestão da IA em organizações que desenvolvem, fornecem ou usam IA. Foi publicada pela ISO e pela IEC em dezembro de 2023.
O que é um AIMS, ou sistema de gestão de IA?
É o conjunto de políticas, processos e controles com que a organização governa os seus sistemas de IA, do projeto ao uso. Funciona em ciclo (planejar, fazer, checar e agir) e cobre contexto, liderança, planejamento de riscos e de impacto, apoio, operação, avaliação de desempenho e melhoria, como pede a ISO/IEC 42001.
A ISO/IEC 42001 é obrigatória?
Não. A certificação é voluntária, e a ISO diz que a norma não substitui leis e regulamentos (ISO). Clientes e contratos podem pedi-la. As obrigações legais vêm de leis como a LGPD e, para quem oferece ou usa IA no mercado europeu, o AI Act.
Quem certifica a ISO/IEC 42001?
A ISO não certifica empresas. A certificação é feita por organismos de certificação independentes, que podem ser acreditados por organismos nacionais de acreditação. A ISO/IEC 42006:2025 define os requisitos para quem audita e certifica sistemas de gestão de IA.
Qual a diferença entre a ISO/IEC 42001 e a ISO/IEC 27001?
A ISO/IEC 27001 trata da segurança da informação: confidencialidade, integridade e disponibilidade. A ISO/IEC 42001 trata do uso responsável de IA, com risco e impacto em pessoas e na sociedade, ciclo de vida dos sistemas, dados e terceiros. As duas têm as mesmas cláusulas de 4 a 10, o que ajuda a integrar os dois sistemas de gestão; a 42001 acrescenta a avaliação de impacto do sistema de IA.
ISO/IEC 42001 ou NIST AI RMF: qual usar?
Os dois se completam. O NIST AI RMF é um framework de uso voluntário, sem certificação, que organiza a gestão de risco de IA em quatro funções: governar, mapear, medir e gerenciar. A ISO/IEC 42001 traz requisitos que podem ser auditados e certificados. O NIST publica um mapeamento entre os dois.
A certificação ISO/IEC 42001 garante conformidade com o AI Act?
Não. A norma organiza a gestão que ajuda a cumprir obrigações, mas não substitui a lei. No AI Act, a presunção de conformidade vem das normas harmonizadas publicadas no Jornal Oficial da UE. A primeira, a EN 18286:2026, trata do sistema de gestão da qualidade dos fornecedores de IA de alto risco (art. 17) e foi feita para se somar a normas como a ISO/IEC 42001 (Comissão Europeia).
O que é governança de IA?
É o conjunto de decisões, papéis, políticas e controles que define como a empresa usa IA e quem responde por ela. Na prática: inventário dos sistemas de IA, avaliação de risco e de impacto, responsáveis e fluxo de aprovação, política de uso aceitável e monitoramento contínuo. A ISO/IEC 42001 e o NIST AI RMF são referências para organizar esse trabalho.
O que é shadow AI?
É o uso de ferramentas de IA sem aprovação da empresa, fora do inventário e dos controles. O risco principal é o vazamento de dados. A governança responde com descoberta e inventário, uma opção aprovada, política de uso aceitável, treinamento e um canal para relatar usos de risco. Os controles técnicos estão no guia Segurança de IA.
O Brasil já tem lei de inteligência artificial?
Ainda não há uma lei geral de IA. O PL 2338/2023, o marco legal da IA, foi aprovado pelo Senado em 10/12/2024 e está na Câmara desde 17/3/2025, aguardando o parecer do relator na comissão especial (Câmara, 08/11/2026). A LGPD já vale para todo uso de IA com dado pessoal, e há regras setoriais, como a Resolução CFM nº 2.454/2026 na medicina.
Por onde começar a governança de IA?
Pelo patrocínio da direção e pelo inventário: que sistemas de IA a empresa usa, com ou sem aprovação, quem é o dono e que dados acessam. Depois, compare com a ISO/IEC 42001, defina política e papéis e avalie o risco e o impacto dos casos de maior exposição. Na Vortex, o ponto de partida recomendado é o Assessment AI Journey.
Fontes
Páginas consultadas em 08/11/2026.
- ISO/IEC 42001:2023 e ISO/IEC 42001 explained, ISO.
- ISO/IEC 27001:2022, ISO/IEC 23894:2023, ISO/IEC 42005:2025, ISO/IEC 42006:2025 e ISO/IEC 38507:2022, ISO.
- Sumário da ISO/IEC 42001:2023 e sumário da DIN EN ISO/IEC 27001:2024-01 (ISO/IEC 27001:2022), DIN.
- NIST AI Risk Management Framework e AI RMF 1.0 (NIST AI 100-1), 26/1/2023.
- NIST AI RMF to ISO/IEC FDIS 42001 AI Management System Crosswalk, Microsoft, na base de crosswalks do AI RMF, NIST.
- AI Act: regulatory framework on AI, Comissão Europeia, atualizada em 19/10/2026.
- First harmonised standard supporting the AI Act published in the Official Journal, Comissão Europeia, 19/10/2026.
- Regulamento (UE) 2024/1689 e Regulamento (UE) 2026/1744, EUR-Lex.
- PL 2338/2023 na Câmara dos Deputados, ficha de tramitação.
- Senado aprova regulamentação da inteligência artificial, Agência Senado, 10/12/2024.
- Lei nº 13.709/2018 (LGPD), texto atualizado na Câmara dos Deputados.
Quer saber onde a governança de IA da sua empresa está hoje?
Conte o momento da sua empresa com IA e um especialista da Vortex entra em contato.
Atualizado em