ISO 42001 e EU AI Act: guia de adequação

A ISO/IEC 42001 é a norma internacional que define um sistema de gestão de inteligência artificial (AIMS); o EU AI Act é a lei da União Europeia que impõe obrigações por nível de risco. Uma é voluntária e sistêmica; a outra é obrigatória e jurídica. Implementar o AIMS é o caminho prático para demonstrar conformidade com o AI Act.

As duas nascem do mesmo problema — organizações passaram a construir e operar sistemas de IA mais rápido do que a governança conseguiu acompanhar — mas respondem a ele de formas diferentes. A norma dá um método para gerir IA com responsabilidade ao longo do tempo; a lei estabelece o que é obrigatório para quem coloca sistemas de IA no mercado europeu. Entender onde uma termina e a outra começa é o que evita construir dois programas paralelos quando um só, bem estruturado, atende às duas.

O que é a ISO/IEC 42001 e o que é um AIMS?

A ISO/IEC 42001 é o primeiro padrão internacional de sistema de gestão dedicado à inteligência artificial. Ela não certifica que um modelo é "seguro" ou "ético" — certifica que existe um sistema que identifica os riscos do uso e do desenvolvimento de IA, decide o que fazer com eles e mantém essas decisões vivas ao longo do ciclo de vida dos sistemas.

Um AIMS (Artificial Intelligence Management System) segue a mesma estrutura de alto nível das demais normas de gestão da ISO — a mesma lógica da ISO/IEC 27001 para segurança da informação. Isso significa cláusulas de contexto, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria, organizadas em torno de um ciclo de planejar, executar, verificar e agir. Quem já opera um ISMS reconhece o formato de imediato, e boa parte da estrutura de governança pode ser reaproveitada.

O que a 42001 acrescenta é o conteúdo específico de IA. O Anexo A da norma traz objetivos de controle e controles voltados para as questões que sistemas de IA levantam: políticas de uso responsável, papéis e responsabilidades, gestão de dados ao longo do ciclo de vida, avaliação de impacto dos sistemas sobre pessoas e grupos, transparência, supervisão humana e gestão de fornecedores de IA. A organização seleciona os controles aplicáveis a partir da sua avaliação de risco — não é uma lista obrigatória a marcar item por item.

A ideia central: a 42001 governa como você desenvolve, adquire e opera IA, não um sistema isolado. Ela cobre o modelo comprado de terceiros, o agente construído internamente e o pipeline de dados que alimenta ambos, sob um mesmo conjunto de regras de gestão.

Quais obrigações o EU AI Act impõe e a quem?

O EU AI Act — o Regulamento (UE) 2024/1689 — é uma lei de alcance extraterritorial: aplica-se a quem desenvolve, distribui ou usa sistemas de IA cujo resultado seja utilizado na União Europeia, independentemente de onde a empresa esteja sediada. Uma organização brasileira que ofereça um produto de IA a clientes europeus entra no escopo. Ele classifica os sistemas por nível de risco e impõe obrigações proporcionais a cada nível:

• Risco inaceitável — práticas proibidas. Alguns usos de IA são vedados por serem considerados incompatíveis com direitos fundamentais, como certos sistemas de pontuação social e de manipulação comportamental. Não há conformidade possível: o uso é proibido.

• Alto risco — o núcleo regulatório. Sistemas usados em contextos sensíveis (como componentes de segurança, seleção de pessoas, crédito ou serviços essenciais) precisam cumprir requisitos rigorosos: sistema de gestão de risco, governança de dados, documentação técnica, registro de eventos (logs), transparência para o usuário, supervisão humana efetiva e robustez, precisão e segurança cibernética. Antes de entrar no mercado, passam por avaliação de conformidade.

• Risco limitado — obrigações de transparência. Sistemas que interagem com pessoas (chatbots), que geram conteúdo sintético ou que produzem deepfakes precisam deixar claro que o conteúdo ou a interação é gerado por IA.

• Risco mínimo — a maioria das aplicações. Sem obrigações específicas além das boas práticas gerais.

Há ainda uma camada própria para modelos de IA de propósito geral (GPAI): obrigações de documentação técnica, informação para quem integra o modelo e respeito a direitos autorais, com exigências adicionais para os modelos que apresentem risco sistêmico. A aplicação do regulamento é escalonada: as proibições entram em vigor primeiro, seguidas das obrigações para GPAI e, por último, dos requisitos para sistemas de alto risco. O descumprimento sujeita a organização a multas administrativas significativas, calculadas como percentual do faturamento global.

Como a ISO/IEC 42001 e o EU AI Act se relacionam?

A relação é de meio e fim. O AI Act diz o que é obrigatório; a ISO/IEC 42001 dá um método reconhecido de como chegar lá e sustentar no tempo. Os requisitos do AI Act para sistemas de alto risco — gestão de risco, governança de dados, documentação, logs, supervisão humana, robustez — têm correspondência direta com os controles do AIMS. Um sistema de gestão bem implementado produz a evidência que a lei exige.

A leitura correta não é escolher entre uma e outra. Para quem tem exposição ao mercado europeu, o AI Act é inegociável; a 42001 é a forma mais eficiente de organizar a casa para atendê-lo — e serve igualmente a quem não está sob o AI Act mas precisa demonstrar governança de IA a clientes, reguladores setoriais ou parceiros. Vale a mesma ressalva de qualquer norma de gestão: a certificação 42001 não é, por si só, presunção de conformidade legal com o AI Act. Ela estrutura e evidencia a governança; o enquadramento jurídico exige a análise dos requisitos específicos aplicáveis a cada sistema.

Qual é o caminho prático para se adequar?

Adequar-se é transformar princípios em um sistema que opera e produz evidência. Os passos abaixo servem tanto para implementar a 42001 quanto para atender o AI Act, porque atacam os mesmos pontos.

1. Inventariar e classificar os sistemas de IA. Nenhuma governança começa sem saber o que existe. Levante todos os sistemas de IA — desenvolvidos, adquiridos e embarcados em produtos de terceiros — e classifique cada um pelo nível de risco do AI Act. Esse inventário define o escopo do AIMS e revela onde estão as obrigações mais pesadas.

2. Definir governança, política e papéis. Estabeleça a política de IA responsável, o comitê ou os responsáveis pela governança e as responsabilidades ao longo do ciclo de vida. É o requisito de liderança da norma e a base para a supervisão humana que o AI Act exige.

3. Avaliar riscos e impactos. Conduza a avaliação de risco de cada sistema e, para os de maior impacto, a avaliação de impacto sobre pessoas e grupos afetados. Aqui a governança de dados entra em cena: origem, qualidade e representatividade dos dados de treinamento e operação.

4. Implementar os controles do AIMS. Coloque em operação os controles selecionados — gestão de dados, transparência, supervisão humana, robustez e segurança cibernética dos sistemas de IA, gestão de fornecedores. Testar a resiliência técnica dos modelos e agentes contra abuso faz parte desta etapa.

5. Documentar e evidenciar. Produza a documentação técnica, os registros de eventos e as instruções de uso que a lei exige para sistemas de alto risco e que a norma pede como evidência. Documentação ausente é a não conformidade mais comum, e a mais cara de corrigir na última hora.

6. Monitorar, auditar e melhorar. Meça o desempenho dos controles, conduza a auditoria interna, trate incidentes e não conformidades e leve os resultados à análise crítica pela direção. É o ciclo que mantém o sistema vivo e pronto para uma auditoria de certificação ou uma fiscalização.

Os passos não são estritamente sequenciais. Inventário, avaliação de risco e controles formam um núcleo que se retroalimenta à medida que novos sistemas de IA entram em produção.

Quanto tempo leva e o que determina o esforço?

Não existe prazo padrão. O tempo de adequação depende de quantos sistemas de IA a organização opera, de quantos caem nas categorias de maior risco e de quanto de governança já existe — não do setor isoladamente.

Os principais fatores de esforço e custo são o tamanho e a diversidade do portfólio de IA (mais sistemas e mais fornecedores ampliam o inventário e a avaliação de risco), a quantidade de sistemas de alto risco no escopo (que concentram os requisitos mais pesados do AI Act), a maturidade da governança de dados já existente e a distância entre a documentação atual e a exigida. Descrever esses fatores é mais honesto do que prometer um número: são eles que definem quantos meses o projeto ocupa.

Como a Berghem executa

A Berghem estrutura a adequação a partir do inventário e da classificação de risco dos sistemas de IA, e não de um modelo genérico. Começamos mapeando o que a organização desenvolve, adquire e opera, enquadramos cada sistema no AI Act e medimos a distância real entre a governança atual e os requisitos da 42001 — para que o plano de tratamento ataque as lacunas que importam, na ordem que reduz mais risco.

A partir daí, apoiamos a política de IA, a avaliação de risco e de impacto, a implementação dos controles do AIMS e a documentação técnica, deixando o sistema pronto para auditoria e para demonstrar conformidade. O detalhamento da abordagem e dos entregáveis está na nossa página de consultoria e governança de IA sob a ISO/IEC 42001.

Como governança sem verificação técnica é papel, conectamos a trilha da 42001 a testes que produzem a evidência de robustez que o AI Act exige — segurança em agentes de IA e exercícios de Red Team — e às demais frentes de conformidade da mesma organização, como a adequação à LGPD, a ISO/IEC 27001 e a diretiva NIS2. Como empresa de segurança da informação em São Paulo, ajustamos escopo, profundidade e cronograma ao perfil de risco de cada operação.

A Berghem é uma empresa de pentest brasileira, sediada em São Paulo, que executa testes de invasão manuais orientados por objetivo adversarial.

Perguntas frequentes

A ISO 42001 substitui a conformidade com o EU AI Act?

Não. A 42001 é uma norma de gestão voluntária e o AI Act é lei obrigatória. Certificar-se na 42001 estrutura e evidencia a governança de IA, o que facilita muito atender às obrigações do AI Act, mas não é, por si só, presunção legal de conformidade. O enquadramento jurídico de cada sistema continua sendo necessário.

Minha empresa está fora da União Europeia. O AI Act se aplica a mim?

Pode se aplicar. O regulamento tem alcance extraterritorial: se o resultado do seu sistema de IA é utilizado na UE, ou se você oferece o sistema a usuários europeus, você entra no escopo, independentemente de onde a empresa esteja sediada. Uma organização brasileira com produtos de IA voltados ao mercado europeu precisa avaliar seu enquadramento.

Já temos ISO 27001. Quanto disso aproveita para a ISO 42001?

Bastante. As duas normas compartilham a mesma estrutura de sistema de gestão, então liderança, gestão de risco, auditoria interna e análise crítica pela direção são reaproveitáveis. O que a 42001 acrescenta é o conteúdo específico de IA: governança de dados de treinamento, avaliação de impacto, transparência e supervisão humana. Integrar os dois sistemas costuma ser mais eficiente do que operá-los em paralelo.