A ISO/IEC 42001 é a norma internacional que define um sistema de gestão de inteligência artificial (AIMS): política, gestão de risco, ciclo de vida e governança de IA auditáveis. A Berghem prepara sua organização para a certificação — do gap analysis à auditoria interna — integrando a norma ao seu programa de segurança e compliance.
A ISO/IEC 42001 é a primeira norma internacional para Sistema de Gestão de Inteligência Artificial (AIMS). Ela define requisitos para governar o ciclo de vida da IA de forma responsável — política, avaliação de impacto, controles do Anexo A e melhoria contínua — permitindo que organizações demonstrem uso confiável e auditável de IA e busquem certificação acreditada.
Diferente de um checklist técnico pontual, o AIMS é um sistema de gestão: define como a organização governa IA de ponta a ponta, gera evidência auditável e sustenta a certificação por um organismo acreditado. A Berghem estrutura esse sistema e o conecta às suas iniciativas de segurança ofensiva de IA, garantindo que a governança no papel corresponda ao comportamento real dos modelos e agentes em produção.
A jornada até a ISO/IEC 42001 é um projeto de sistema de gestão, não um teste isolado: gap analysis › implementação do AIMS › auditoria interna › Stage 1 › Stage 2 › manutenção. Conduzimos as fases que levam do estado atual à prontidão para a auditoria de certificação.
Avaliamos a maturidade atual da sua governança de IA contra os requisitos da ISO/IEC 42001, mapeando lacunas de política, risco, documentação e controles operacionais. O resultado é um relatório de gaps priorizado por esforço e risco, com roadmap de adequação.
Definimos escopo, política de IA, papéis e responsabilidades, objetivos e a estrutura documental do AIMS. A governança é desenhada para o seu contexto — provedor, integrador ou usuário de IA — e alinhada aos objetivos de negócio, não a um modelo genérico.
Implantamos o processo de avaliação de risco de IA e a avaliação de impacto dos sistemas de IA sobre pessoas e sociedade, exigidos pela norma. Cada modelo, agente ou caso de uso passa a ter risco documentado, tratado e reavaliado ao longo do ciclo de vida.
Operacionalizamos os controles do Anexo A, geramos a evidência auditável e conduzimos a auditoria interna que antecede o organismo certificador. Fechamos as não conformidades antes das auditorias Stage 1 e Stage 2, reduzindo o risco de reprovação.
A ISO/IEC 42001 segue a estrutura de alto nível (HLS) comum às normas de sistema de gestão ISO. Os requisitos auditáveis estão nas cláusulas 4 a 10 — contexto da organização, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria —, a mesma espinha dorsal da ISO/IEC 27001.
O Anexo A da ISO/IEC 42001:2023 traz 38 controles, organizados em objetivos de controle, que a organização seleciona e justifica em uma declaração de aplicabilidade conforme os riscos de IA identificados. A Berghem mapeia cada cláusula e cada controle do Anexo A ao seu contexto, produzindo a evidência que o organismo certificador exige.
A ISO/IEC 42001 organiza a governança de IA em torno de um conjunto de domínios, refletidos nos controles do Anexo A. Estruturamos cada um deles com política, processo e evidência.
Política de IA aprovada pela liderança, com objetivos, princípios de uso responsável e comprometimento com melhoria contínua — a base do sistema de gestão.
Processo formal para identificar, analisar, tratar e monitorar riscos de IA ao longo do tempo, integrado à gestão de risco corporativa existente.
Análise do impacto dos sistemas de IA sobre indivíduos e grupos — vieses, transparência, contestabilidade e consequências — documentada e reavaliada.
Governança de dados, desenvolvimento, validação, implantação e monitoramento de modelos e agentes, com controles em cada etapa do ciclo de vida.
Documentação técnica, informação a partes interessadas e registros que sustentam a rastreabilidade das decisões automatizadas e a prestação de contas.
Definição de responsabilidades, competências necessárias e conscientização das equipes que projetam, operam e supervisionam os sistemas de IA.
As três normas compartilham a mesma estrutura de sistema de gestão e podem ser integradas. Cada uma governa um objeto diferente.
| Aspecto | ISO/IEC 42001 | ISO/IEC 27001 | ISO/IEC 27701 |
|---|---|---|---|
| Objeto | Gestão de inteligência artificial (AIMS) | Segurança da informação (SGSI) | Privacidade da informação (PIMS) |
| Foco | Governança responsável do ciclo de vida da IA | Confidencialidade, integridade e disponibilidade | Tratamento de dados pessoais e privacidade |
| Anexo de controles | Anexo A — 38 controles | Anexo A — 93 controles | Extensão de privacidade da ISO 27001 |
| Certificável | Sim, por organismo acreditado | Sim, por organismo acreditado | Sim, como extensão da ISO 27001 |
| Relação | Reaproveita o SGSI existente | Base de segurança da informação | Estende a ISO 27001/27002 |
A certificação não substitui a lei, mas cria a base de governança, risco e evidência que a regulação de IA passa a exigir — no Brasil e no exterior.
Projeto de lei brasileiro que propõe o marco legal da inteligência artificial, com deveres de governança, avaliação de risco e transparência. O AIMS antecipa grande parte desses requisitos.
As normas do Banco Central sobre gestão de risco e uso de tecnologia se aplicam a modelos e agentes de IA em instituições financeiras. O AIMS organiza a governança que a supervisão espera.
O regulamento europeu de IA classifica sistemas por risco e impõe obrigações de gestão. A ISO/IEC 42001 é o principal caminho de conformidade organizacional reconhecido pelo mercado.
O framework de gestão de risco de IA do NIST (EUA) é voluntário e complementa a ISO/IEC 42001: o AIMS operacionaliza as funções de governança que o RMF descreve.
O impacto do AIMS muda conforme o setor e o perfil de risco dos sistemas de IA em uso.
Bancos, fintechs e seguradoras usam IA em crédito, prevenção a fraude e atendimento. O AIMS estrutura a governança de modelos que a supervisão regulatória e os clientes passam a exigir, integrando-se ao SGSI e à gestão de risco existentes.
Sistemas de IA em diagnóstico, triagem e gestão clínica lidam com dados sensíveis e decisões de alto impacto. O AIMS documenta avaliação de impacto, supervisão humana e rastreabilidade, sustentando a conformidade com a LGPD e a segurança do paciente.
Use este checklist inicial para avaliar quão perto sua organização está da auditoria de certificação:
Termos-chave usados na norma e na jornada de certificação.
AI Management System — o sistema de gestão de inteligência artificial definido pela ISO/IEC 42001, análogo ao SGSI da ISO 27001.
Anexo normativo da ISO/IEC 42001:2023 com 38 controles de IA, dos quais a organização seleciona os aplicáveis na declaração de aplicabilidade.
Análise do impacto dos sistemas de IA sobre indivíduos, grupos e sociedade — vieses, transparência e consequências — exigida pela norma.
Entidade de certificação independente e acreditada que conduz as auditorias Stage 1 e Stage 2 e emite o certificado ISO/IEC 42001.
A ISO/IEC 42001 não substitui os demais controles — ela os organiza. Conectamos o AIMS ao restante do seu programa de segurança e conformidade.
O hub de segurança em IA — pentest de LLM, Red Team e monitoramento que a certificação precisa sustentar.
O pilar completo de governança, risco e conformidade para inteligência artificial.
Sistema de gestão de segurança da informação — a base sobre a qual o AIMS se apoia.
Auditoria de TI, GRC, gap analysis e testes regulatórios para os principais frameworks.
Controles e testes para agentes autônomos — o risco operacional que o AIMS precisa governar.
Ataque adversarial a modelos e agentes de IA para validar os controles na prática.
Teste de invasão de aplicações de IA e LLM, mapeado ao OWASP LLM Top 10.
Em uma conversa de 30 minutos mapeamos sua maturidade em governança de IA e desenhamos o caminho até a certificação ISO/IEC 42001 — do gap analysis à auditoria.
Falar com um especialista