Política de IA
Documento que declara princípios, escopo e responsáveis. É a âncora do AIMS.
ISO/IEC 42001: governe a IA da sua organização
A primeira norma certificável para sistemas de gestão de IA: como sua organização desenvolve, fornece ou usa inteligência artificial, com evidência e supervisão humana.
Onde cada coisa se resolve
- Norma
- ISO/IEC 42001:2023
- Entrada
- Diagnóstico orientativo de governança de IA. Esta norma não entra por cotação.
- Via e estado
- São publicados na ficha da norma, com sua fonte e sua data. Esta página não os duplica.
- Escopo desta via
- Orientação inicial e formação separada. Não é análise de lacunas, pré-auditoria nem avaliação de conformidade.
Cinco cláusulas essenciais
A ISO/IEC 42001:2023 estabelece requisitos para um sistema de gestão de IA (AIMS). Cada cláusula revela o que a organização precisa poder demonstrar.
O que uma organização precisa poder demonstrar
- AI Impact Assessment formal por sistema de IA
- Governança de IA com papéis, políticas e responsabilidades
- Gestão do ciclo de vida do sistema de IA (desenvolvimento, implantação, monitoramento, desativação)
- Rastreabilidade de dados de treinamento e modelos
- Due diligence de fornecedores de IA terceiros
- Transparência com usuários finais e partes interessadas
Quem exige issoBancosSaúdeTelecomunicaçõesSetor públicoExportadores de serviços com IA
Organizações que desenvolvem produtos com IA, integram modelos de terceiros, usam IA em decisões críticas ou precisam preparar evidências de governança diante de requisitos regulatórios e de clientes.
Base de conhecimento por norma da G-CERTI · ISO/IEC 42001:2023 · 2026-09-09
Meça seu ponto de partida
Oito afirmações para revisar escopo, responsabilidades, riscos e evidências de governança de inteligência artificial. As respostas permanecem no navegador de quem as escreve.
Inventário
Existe um inventário de sistemas e casos de uso de IA sob responsabilidade da organização.
Propósito e responsáveis
Cada sistema de IA tem propósito, responsável e limites de uso documentados.
Riscos e impactos
São avaliados riscos e impactos antes de introduzir ou alterar um sistema de IA.
Dados e fornecedores
Há critérios para dados, fornecedores, modelos de terceiros e supervisão humana.
Registro
São registradas decisões, mudanças, incidentes e exceções relevantes.
Competências
As pessoas que operam ou supervisionam IA conhecem suas responsabilidades.
Monitoramento
O desempenho é monitorado e há ação quando surge desvio, dano ou uso não previsto.
Análise crítica pela direção
A direção revisa objetivos, riscos e evidências de governança de IA.
O que diz
- Onde está o ponto de partida. Organiza em um só lugar o inventário de sistemas, propósito e responsáveis, avaliação de riscos e impactos, critérios de dados e fornecedores, registro de decisões, competências, monitoramento e revisão pela direção.
- Que informações convém reunir. Aponta os temas sobre os quais a organização ainda não tem evidências organizadas, para que a próxima conversa comece por aí.
- Uma leitura orientativa, com sua faixa. O percentual e sua faixa são uma referência orientativa do que foi declarado.
O que não diz
- Se o sistema cumpre a norma. O resultado vem do que alguém declara sobre sua própria organização, sem evidência examinada nem contraste independente.
- Se a organização está pronta para uma auditoria. Preencher o questionário não prepara, não adianta e não antecipa o resultado de nenhuma avaliação posterior.
- Nada sobre um certificado emitido. Um certificado de sistema de gestão se verifica pelo seu código no verificador, que é outro documento, outro registro e outra página.
A leitura útil é feita por uma pessoa
O questionário organiza o ponto de partida, mas não examina evidências nem conhece o contexto da organização. Essa leitura é feita por uma pessoa da equipe, com o escopo e os sistemas de IA à vista. As respostas do questionário não são anexadas sozinhas: quem escreve decide o que contar.
As respostas ficam no navegador de quem as escreve: não são enviadas, não são salvas e nenhum resultado é publicado. Compartilhar informações com a G-CERTI é uma decisão à parte, com seu próprio formulário.
As regulamentações que a exigem
O Regulamento europeu de IA já aplica suas obrigações de transparência desde 2 de agosto de 2026. Para um exportador, é um requisito de mercado indireto. A norma é mapeada contra esse marco, não o substitui: não concede presunção de conformidade.
- União EuropeiaRegulamento vigenteAI Act (Regulamento 2024/1689)
Sua aplicação é gradual e depende da categoria do sistema. A ISO/IEC 42001 pode ajudar a organizar evidências de governança, mas não substitui a avaliação legal.
- Estados UnidosMarco voluntárioNIST AI Risk Management Framework
Marco voluntário para gerenciar riscos de IA; confirmar também as obrigações federais e estaduais aplicáveis.
- BrasilProjeto em tramitaçãoPL 2338/2023
Projeto de lei em tramitação; verificar seu status nas fontes oficiais antes de afirmar obrigações.
- ArgentinaReferência orientativaRecomendações para uma IA confiável
Referência orientativa; confirmar o marco vigente e as obrigações setoriais aplicáveis.
- GlobalPrincípiosOECD AI Principles + NIST AI RMF
Marcos de referência voluntários complementares.
A norma é mapeada contra cada marco; não o substitui nem concede presunção de conformidade. Registro de vias e posicionamento por norma · 2026-08-13
Formação para auditar ISO/IEC 42001
Três trilhas acadêmicas sobre governança de inteligência artificial: interpretar os requisitos, auditar o sistema por dentro e percorrer as duas coisas de forma integrada. A trilha é acadêmica e não implementa o sistema de uma organização.
Formação em gestão de IA sobre a ISO/IEC 42001
Interpretar os requisitos do sistema de gestão de IA e traduzi-los em política, papéis, avaliação de impacto e ciclo de vida.
Auditor interno de sistemas de gestão de IA
Planejar e executar auditorias internas do AIMS: evidências, constatações e acompanhamento.
Pós-graduação ISO/IEC 42001
O percurso integrado: implementação e auditoria interna em um só pagamento, com dois certificados acadêmicos.
FormaçãoFormação e prática acadêmica
A G-CERTI Formação trabalha interpretação, exercícios e auditoria interna por meio de um programa comum. Não desenha nem implementa o sistema de uma organização dentro dessa trilha.
CertificaçãoCertificação posterior, se aplicável
Uma organização que depois consulta sobre certificação entra por um expediente distinto. Antes de cotar, escopo e imparcialidade são revisados; qualquer assessoria incompatível bloqueia a via certificadora.
GovernançaComo se sustenta a separação
A política que mantém separados os dois expedientes, suas equipes e suas decisões é publicada no Trust Center.
Ver a política de separaçãoA formação desenvolve capacidades para interpretar requisitos e praticar auditoria interna. Não certifica o sistema de uma organização nem decide sua verificação: são processos distintos, com expedientes e equipes separados, e ter cursado não antecipa nenhum resultado.
Portfólio acadêmico da G-CERTI formação · 2026-09-02
As perguntas mais frequentes
Pode ser relevante se a empresa usa IA mas não a desenvolve?
Sim, pode ser relevante quando uma organização utiliza sistemas de IA próprios ou de terceiros. A aplicabilidade e o escopo dependem do uso, do contexto, das responsabilidades e dos impactos associados.
Cobre o AI Act da União Europeia?
A ISO/IEC 42001 pode se relacionar com o AI Act e outros marcos regulatórios, mas não substitui a avaliação legal aplicável.
É compatível com a ISO/IEC 27001?
Ambas as normas seguem uma estrutura de sistemas de gestão compatível. Integrá-las pode reduzir duplicações quando o escopo e os processos permitem; o esforço real depende do contexto e das evidências disponíveis.
Esta via avalia a conformidade de um sistema de IA?
Não. Esta via oferece orientação inicial e formação separada. Não é análise de lacunas, pré-auditoria, avaliação de conformidade, preparação técnica nem uma oferta de certificação.
Formar-se na norma adianta a certificação da organização?
Não. A formação desenvolve capacidades para interpretar requisitos e praticar auditoria interna. Não certifica o sistema de uma organização nem decide sua verificação: são processos distintos, com expedientes e equipes separados.
Onde é publicado o estado da ISO/IEC 42001?
Na ficha da norma, com sua via, sua fonte e sua data. Esta página não a duplica.
Comece pelo diagnóstico
O diagnóstico reúne escopo, responsáveis, riscos e evidências em um só lugar. Serve para decidir com que informação seguir; a conformidade é determinada em uma auditoria.