ISO 42001: da adoção improvisada de IA a um sistema de gestão auditável

A inteligência artificial já pode estar presente na empresa antes de existir uma decisão formal sobre sua governança. Uma área testa um assistente para resumir contratos. Outra automatiza uma análise. Um fornecedor incorpora IA a um serviço já contratado. Cada iniciativa parece isolada, mas todas criam responsabilidades, riscos e evidências que a liderança precisa administrar.

O problema não é apenas escolher uma ferramenta. É saber quem autorizou o uso, qual finalidade foi aprovada, quais dados podem entrar, quais riscos foram avaliados, quem acompanha o resultado e o que acontece quando o sistema, o fornecedor ou o processo muda. Sem essa estrutura, a adoção avança mais rápido que a capacidade de controle.

A ISO/IEC 42001 trata essa lacuna como um problema de gestão. Em vez de olhar somente para uma aplicação, a norma estabelece requisitos para criar, implementar, manter e melhorar continuamente um sistema de gestão de inteligência artificial. O objetivo deste artigo não é ensinar um processo de certificação. É mostrar ao gestor como sair de iniciativas improvisadas e construir uma rotina auditável para o uso de IA.[1]

O que muda quando a IA passa a ser um sistema de gestão

Uma política de IA, sozinha, não forma um sistema de gestão. O documento pode declarar princípios importantes e ainda deixar dúvidas na operação: quem aprova um novo uso, como o risco é registrado, quando a avaliação deve ser refeita e qual evidência comprova que uma decisão foi cumprida.

Um sistema de gestão conecta políticas, objetivos, processos, responsabilidades e controles. Segundo a ISO, a ISO/IEC 42001 se aplica a organizações que desenvolvem, fornecem ou utilizam sistemas de IA e propõe uma estrutura para gerenciar riscos e oportunidades de forma consistente.[1]

Na prática, a mudança aparece em perguntas que deixam de depender da memória de uma pessoa:

• Quais sistemas de IA são usados pela organização e para quais finalidades?
• Quem responde pela decisão de adotar, manter, alterar ou retirar cada uso?
• Quais riscos foram identificados e quais controles foram definidos?
• Que dados, documentos e fornecedores participam do processo?
• Como mudanças de modelo, configuração, integração ou finalidade são avaliadas?
• Quais registros demonstram que a política foi aplicada?
• Como incidentes, desvios e resultados insatisfatórios geram correções?

A governança deixa de ser uma intenção e passa a produzir uma sequência verificável de decisões.

Por que a adoção improvisada se torna difícil de auditar

O uso disperso de IA costuma começar com ganhos locais. Uma equipe encontra uma ferramenta útil, testa em pequena escala e incorpora o recurso à rotina. O risco cresce quando a experiência deixa de ser um teste, mas continua sem dono, sem critérios e sem documentação.

Responsabilidade difusa

Tecnologia pode contratar a solução, uma área de negócio pode definir o uso e um fornecedor pode operar parte do sistema. Se não houver responsabilidades formais, cada participante presume que outra pessoa avaliou privacidade, segurança, qualidade, impacto e limitações.

Políticas desconectadas da operação

A empresa aprova uma política corporativa, mas não vincula cada caso de uso a procedimentos, responsáveis e registros. Quando alguém pergunta como a regra foi aplicada a uma decisão concreta, a resposta exige procurar e-mails, apresentações e conversas antigas.

Mudanças sem nova avaliação

Sistemas de IA mudam. O fornecedor atualiza o serviço, a empresa inclui uma nova fonte de dados, a área amplia a finalidade ou uma automação passa a influenciar uma decisão mais sensível. Se a mudança não aciona uma revisão, o risco avaliado no início já não representa a operação atual.

Evidências espalhadas

A aprovação está no e-mail, a análise de risco em uma planilha, o contrato em outra pasta e o registro do incidente em um sistema separado. Cada arquivo pode existir, mas a empresa não consegue demonstrar com facilidade a relação entre política, decisão, versão e responsável.

Esse é o ponto em que qualidade e governança de dados para IA precisam se conectar a uma camada mais ampla. Uma base documental confiável ajuda a IA a consultar fontes adequadas. O sistema de gestão, por sua vez, organiza como a própria organização decide, acompanha e melhora o uso da tecnologia.

Os elementos que tornam a governança de IA auditável

A ISO descreve o sistema de gestão de IA como um conjunto estruturado de políticas, processos e controles. Seu guia prático destaca responsabilidades, riscos, governança de dados, monitoramento e melhoria contínua entre os fundamentos para administrar a IA de forma consistente.[2]

Para o gestor, essa estrutura pode ser entendida por meio de seis elementos conectados.

1. Inventário de usos e finalidades

A organização precisa saber onde a IA está sendo usada, por quem, com qual objetivo e em qual processo. O inventário não deve ser apenas uma lista de ferramentas. Ele precisa relacionar cada uso à área responsável, aos dados envolvidos, aos usuários afetados e às decisões que o sistema apoia.

2. Papéis e responsabilidades definidos

Cada caso de uso precisa de um responsável de negócio. Tecnologia, jurídico, segurança, privacidade, qualidade e outras áreas podem participar da avaliação, mas alguém deve responder pela finalidade, pelos resultados esperados e pela decisão de continuar ou interromper o uso.

Também é necessário definir quem aprova mudanças, quem monitora indicadores, quem recebe relatos de problema e quem acompanha ações corretivas.

3. Políticas traduzidas em critérios de decisão

Princípios como transparência, supervisão humana e proteção de dados precisam se transformar em critérios aplicáveis. Em quais situações a revisão humana é obrigatória? Que informação não pode ser enviada a um serviço externo? Que tipo de decisão exige uma avaliação mais profunda? Que aviso deve ser dado a usuários ou pessoas afetadas?

A política orienta. O procedimento mostra como cumprir. O registro demonstra que foi cumprido.

4. Avaliação e tratamento de riscos

A avaliação deve considerar o contexto de uso, e não apenas a tecnologia. Um recurso usado para organizar ideias tem um impacto diferente do mesmo recurso usado para priorizar candidatos, recomendar crédito ou orientar uma decisão clínica.

Depois de identificar o risco, a empresa define o tratamento: limitar a finalidade, reduzir dados, exigir validação humana, testar resultados, restringir acesso, melhorar a informação oferecida ao usuário ou até não adotar o sistema.

5. Controle de mudanças e versões

Uma governança auditável preserva a história. A política vigente precisa ser distinguida das versões anteriores. A aprovação de um caso de uso deve apontar para a avaliação considerada naquele momento. Uma mudança relevante precisa gerar nova análise, nova decisão e novos registros.

Sem versionamento, a empresa pode ter os documentos certos e ainda não conseguir provar quais regras estavam válidas quando uma decisão foi tomada.

6. Monitoramento, correção e melhoria

O sistema de gestão não termina na aprovação. A organização acompanha desempenho, incidentes, reclamações, exceções, mudanças de fornecedor e sinais de que o uso se afastou da finalidade original.

Quando encontra uma falha, registra a causa, define a ação corretiva, atribui um responsável e verifica o resultado. Esse ciclo aproxima a governança da operação e evita que a política seja revisada apenas quando uma auditoria se aproxima.

Que evidências a liderança deve conseguir apresentar

Uma gestão auditável não significa guardar todos os arquivos possíveis. Significa preservar evidências suficientes para explicar o que foi decidido e como a decisão foi aplicada.

Para cada uso relevante de IA, a empresa deve conseguir localizar:

• descrição da finalidade e do processo apoiado;
• responsável de negócio e participantes da avaliação;
• versão da política e dos procedimentos aplicáveis;
• análise de riscos e decisão sobre o tratamento;
• critérios de aprovação, restrição ou rejeição;
• origem dos dados e documentos autorizados;
• registros de testes, validações e monitoramento;
• mudanças realizadas no sistema ou no contexto de uso;
• incidentes, exceções e ações corretivas;
• aprovações e revisões com data e responsável.

Esse conjunto cria uma trilha de evidências de compliance que permite reconstruir a decisão sem depender de lembranças individuais. A empresa passa a responder não apenas “temos uma política”, mas “esta era a regra, esta foi a avaliação, esta pessoa aprovou, esta mudança ocorreu e esta correção foi concluída”.

ISO/IEC 42001 não é um selo automático de conformidade

A ISO/IEC 42001 fornece uma estrutura de gestão. Ela não substitui leis, regulações ou obrigações contratuais aplicáveis a cada organização. Também não elimina a necessidade de análise jurídica, técnica e setorial.[2]

A organização pode adotar a norma sem buscar certificação. Se decidir por uma avaliação independente, a certificação é realizada por um organismo certificador externo. A própria ISO não certifica empresas.[3]

Mesmo sem transformar o projeto em uma corrida imediata por certificação, a liderança pode usar a lógica do sistema de gestão para reduzir improvisos: conhecer seus usos de IA, definir responsabilidades, documentar riscos, controlar mudanças e preservar evidências. A maturidade aparece na capacidade de repetir o processo, acompanhar resultados e corrigir desvios.

Checklist: a governança de IA já funciona como sistema?

• A empresa mantém um inventário atualizado dos usos de IA?
• Cada caso de uso tem finalidade, escopo e responsável definidos?
• As políticas corporativas foram traduzidas em procedimentos aplicáveis?
• Os riscos são avaliados de acordo com o contexto e o impacto do uso?
• Aprovações, restrições e rejeições ficam registradas?
• Mudanças de fornecedor, modelo, dados ou finalidade acionam nova análise?
• Políticas, avaliações e registros têm controle de versões?
• Acesso a documentos e evidências segue o perfil de cada responsável?
• Incidentes e desvios geram ações corretivas com dono e prazo?
• A liderança consegue reconstruir uma decisão sem depender de e-mails soltos?

Se várias respostas forem negativas, o primeiro passo não precisa ser mapear toda a organização de uma vez. Escolha um caso de uso relevante, organize seu ciclo completo e transforme a experiência em um padrão para as próximas iniciativas.

Como o iGED™ organiza políticas e evidências de governança de IA

Considere o departamento de qualidade de uma indústria que já usa IA para apoiar a análise de documentos de fornecedores. A empresa precisa controlar a política de uso, a avaliação de riscos, os critérios de revisão humana, as aprovações e os registros de mudanças do processo.

No iGED™, a área organiza cada tipo de documento em uma estrutura própria, com acesso restrito aos responsáveis. Quando a política é atualizada, a nova edição passa a ser a versão vigente sem apagar o histórico anterior. Avaliações, atas, registros de teste e planos de ação permanecem relacionados ao processo e podem ser localizados com seus responsáveis e datas.

Um fluxo encaminha a proposta de novo uso para qualidade, tecnologia, jurídico e área de negócio, conforme as etapas definidas pela empresa. Cada aprovação tem um responsável. Se o fornecedor alterar o serviço ou a área quiser ampliar a finalidade, a documentação volta ao fluxo de análise. A liderança consegue acompanhar o que está pendente e consultar quem acessou ou alterou os documentos.

O iGED™ não certifica a organização na ISO/IEC 42001 e não substitui a avaliação de riscos nem a decisão dos responsáveis. Seu papel é organizar políticas, versões, acessos, aprovações e evidências para que a governança definida pela empresa seja executada e possa ser demonstrada.

A uan® apoia empresas na estruturação desses fluxos documentais. Para avaliar como organizar as evidências de um sistema de gestão de IA, entre em contato.

FAQ — ISO 42001 e sistema de gestão de IA

1. O que é a ISO/IEC 42001?

É uma norma internacional com requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de inteligência artificial em organizações que desenvolvem, fornecem ou utilizam sistemas de IA.

2. O que é um sistema de gestão de IA?

É o conjunto conectado de políticas, objetivos, processos, responsabilidades e controles usado para administrar riscos e oportunidades relacionados à IA de forma consistente.

3. A norma serve apenas para empresas que desenvolvem IA?

Não. Ela também se aplica a organizações que fornecem ou utilizam produtos e serviços baseados em IA, inclusive soluções de terceiros.

4. Qual é a diferença entre uma política de IA e um sistema de gestão?

A política declara diretrizes. O sistema de gestão transforma essas diretrizes em responsabilidades, procedimentos, avaliações, aprovações, monitoramento e evidências verificáveis.

5. A ISO/IEC 42001 substitui leis e regulações sobre IA?

Não. A norma oferece uma estrutura de gestão, mas a empresa continua responsável por identificar e cumprir as obrigações legais, regulatórias e contratuais aplicáveis.

6. A certificação na ISO/IEC 42001 é obrigatória?

A certificação é voluntária. A organização pode adotar a estrutura de gestão e também pode buscar uma avaliação independente, conforme seus objetivos e contexto.

7. A ISO certifica empresas?

Não. A certificação é realizada por organismos certificadores independentes. A ISO desenvolve e publica normas.

8. Quais documentos ajudam a demonstrar a governança de IA?

Políticas, inventários de uso, avaliações de risco, aprovações, registros de testes, controles de mudança, relatórios de monitoramento, incidentes e ações corretivas ajudam a formar a evidência.

9. Como começar sem mapear toda a empresa?

Escolha um caso de uso relevante, defina finalidade e responsáveis, reúna os documentos aplicáveis, avalie riscos, formalize aprovações e acompanhe mudanças e resultados.

10. Como o iGED™ apoia um sistema de gestão de IA?

O iGED™ organiza documentos, versões, acessos e fluxos com responsáveis, ajudando a manter políticas, registros e evidências sob controle. A plataforma não certifica a empresa nem substitui suas decisões de governança.

Sources

[1] https://www.iso.org/standard/42001.html — ISO/IEC 42001:2023 — AI management systems [2] https://committee.iso.org/es/sites/isoorg/home/insights-news/resources/iso-42001-explained-what-it-is.html — ISO/IEC 42001 explained [3] https://www.iso.org/certification.html — ISO — Certification