Menos fricção em vendas enterprise
Evidência auditada para os questionários de IA que clientes grandes, editais e parceiros já estão cobrando.
Certificações · Governança de IA
Consultoria ISO 42001 para empresas que usam inteligência artificial.
A ISO/IEC 42001 é a primeira norma internacional certificável de governança de inteligência artificial. A DataGuide conduz a implementação ISO 42001 na sua empresa, do diagnóstico à certificação, e mantém o Sistema de Gestão de Inteligência Artificial (SGIA) vivo depois dela.
ISO 42001 em 30 segundos
- Dez/2023
- Publicada pela ISO e IEC, comitê JTC 1/SC 42
- Qualquer
- empresa que desenvolve, fornece ou usa IA
- 38
- controles no Anexo A, em 9 categorias (A.2 a A.10)
- ≈ 6 meses
- prazo típico do diagnóstico ao certificado
- 3 anos
- de validade, com auditorias anuais de manutenção
- Acreditado
- organismo independente emite o certificado
O que é a ISO 42001
Governança de IA auditável, não um código de ética na gaveta.
A ISO/IEC 42001 é a norma internacional de governança de inteligência artificial que define os requisitos para estabelecer, implementar, manter e melhorar um Sistema de Gestão de Inteligência Artificial (SGIA, ou AIMS em inglês). Ela organiza como a empresa decide quem pode desenvolver, aprovar, operar e monitorar cada sistema de IA, como avalia riscos como viés, opacidade e alucinação, e como comprova esse controle de forma auditável.
A norma não avalia se a sua IA é boa. Avalia se existe um sistema de gestão robusto, documentado e praticado no dia a dia para governar riscos e decisões ligados à IA.
Sobre a certificaçãoEla é concedida por um organismo de certificação acreditado e independente, depois de uma auditoria externa em dois estágios. A DataGuide conduz sua empresa por todo o processo de implementação e preparação. A certificação em si é emitida por esse organismo, não pela DataGuide.
Para quem serve a certificação ISO 42001
- Empresas de tecnologia e SaaS que embutem IA nos produtos e enfrentam questionários de governança de IA em vendas B2B
- Empresas que desenvolvem modelos próprios para decidir sobre pessoas: crédito, triagem de currículos, precificação, apoio diagnóstico
- Empresas que usam IA generativa de terceiros (copilotos, chatbots, APIs de LLM) e precisam controlar o shadow AI
- Fornecedores de clientes europeus ou multinacionais, que já cobram alinhamento ao EU AI Act na cadeia
- Empresas com ISO 27001 que querem integrar a governança de IA ao sistema de gestão existente
O que a consultoria ISO 42001 contempla
- Mapeamento dos sistemas de IA e definição do escopo do SGIA
- Diagnóstico e gap analysis ISO 42001
- Gestão de riscos de IA e Avaliação de Impacto de IA (AI Impact Assessment)
- Política de IA, Declaração de Aplicabilidade (SoA) e procedimentos do ciclo de vida
- Controles de viés, transparência, explicabilidade e resposta a incidentes de IA
- Treinamento e conscientização das equipes
- Auditoria interna ISO 42001 e preparação para a auditoria de certificação
- Gestão contínua do SGIA
Metodologia
Como funciona a implementação da ISO 42001
Seis etapas, cerca de seis meses até o certificado. O prazo real varia com o porte da empresa, o número de sistemas de IA no escopo e a disponibilidade das equipes.
1
Planejamento e escopo
Kickoff com a direção e os líderes de IA, mapeamento dos sistemas de IA e das partes interessadas, escopo formal do SGIA.
2
Diagnóstico e gap analysis
Aderência às cláusulas 4 a 10 e ao Anexo A, avaliação de riscos e de impacto de IA, plano de ação priorizado.
3
Implementação dos controles
Política de IA, Declaração de Aplicabilidade, procedimentos de ciclo de vida, transparência, viés e incidentes com IA.
4
Auditoria interna ISO 42001
Verificação independente do SGIA, testes de eficácia dos controles e simulação da auditoria externa.
5
Auditoria de certificação ISO 42001
Conduzida pelo organismo acreditado em Estágio 1 (documental) e Estágio 2 (implementação e eficácia).
6
Gestão contínua do SGIA
Ciclo PDCA, auditorias de manutenção no 2º e 3º anos e recertificação a cada 3 anos.
Cronograma de referência. Cada projeto recebe o seu após o diagnóstico.
Comparativo
ISO 42001 x ISO 27001: o que muda
As duas seguem a mesma Estrutura de Alto Nível (Anexo SL) e podem ser integradas. Quem já tem ISO 27001 reaproveita boa parte da governança, da gestão de riscos e da gestão de fornecedores.
O esforço novo está nos controles exclusivos de IA: avaliação de impacto (A.5), ciclo de vida (A.6), dados (A.7) e uso responsável (A.9).
| Aspecto | ISO/IEC 42001 | ISO/IEC 27001 |
|---|---|---|
| Objeto | Sistemas de inteligência artificial | Segurança da informação |
| Sistema de gestão | SGIA (AIMS) | SGSI |
| Controles no Anexo A | 38, em 9 categorias | 93, em 4 temas |
| Foco principal | Viés, transparência, qualidade de dados, supervisão humana e impacto sobre pessoas | Confidencialidade, integridade e disponibilidade |
| Guia de implementação | Anexo B da própria norma | ISO/IEC 27002 |
| Certificável | Sim | Sim |
Regulação
ISO 42001, EU AI Act e o Marco Legal da IA no Brasil
A ISO 42001 é voluntária, mas virou a linguagem comum para provar governança de IA enquanto as leis amadurecem.
Certificação não é conformidade legalEla não substitui obrigações legais. Cria a estrutura de gestão de risco, documentação, supervisão humana e transparência que essas regras cobram, para que a empresa não comece do zero quando elas chegarem.
- Brasil · PL 2338/2023Marco Legal da IA aprovado no Senado. Segue em comissão especial na Câmara.
- EU AI Act · Regra geralMaior parte das regras passa a valer, incluindo transparência (art. 50), e começa a fiscalização.
- EU AI Act · Alto riscoAlto risco do Anexo III, no novo prazo do Digital Omnibus. IA embarcada em produtos: ago/2028.
- LGPDJá se aplica sempre que um sistema de IA trata dados pessoais ou decide sobre pessoas.
Benefícios
O que sua empresa ganha com a ISO 42001
Gestão de riscos de IA
Método para identificar e tratar viés, opacidade, alucinação e falhas algorítmicas antes que virem incidente.
Compliance de IA
Uma base única de compliance de IA para responder ao EU AI Act, à LGPD e ao futuro Marco Legal da IA.
Por que a DataGuide
Consultoria de governança de IA, sem silos.
Mais que uma assessoria ISO 42001 pontual: a adequação à ISO 42001 integrada à LGPD e à ISO 27001.
Equipe multidisciplinar
LGPD, ISO 27001 e ISO 42001 tratadas de forma integrada, não por um único consultor.
Auditoria Líder ISO 42001
Profissionais com formação de Auditor Líder nas normas ISO/IEC 27001, 27701 e 42001.
Metodologia orientada a resultado
O SGIA entra no fluxo de produto e engenharia e funciona no dia a dia, não só no dia da auditoria.
Experiência em setores regulados
Saúde, tecnologia, finanças, indústria, educação e setor público, sem pacote genérico.
Investimento
Quanto custa a certificação ISO 42001?
O preço da implementação ISO 42001 depende do escopo do SGIA. Três fatores pesam mais: quantos sistemas de IA entram no escopo, o papel da empresa (desenvolve, fornece ou só usa IA) e a maturidade atual em governança, riscos e segurança da informação.
- Consultoria de implementação: diagnóstico, estruturação do SGIA, controles do Anexo A e auditoria interna.
- Organismo certificador: auditoria ISO 42001 em Estágio 1 e 2, manutenção anual e recertificação, contratadas à parte.
- Esforço interno: horas das equipes de produto, dados, jurídico e segurança.
Orçamento ISO 42001Quem já tem ISO 27001 reaproveita parte da estrutura e investe menos. Peça seu orçamento.
Material gratuito
Guia Prático de Governança de IA e ISO/IEC 42001
Os 38 controles do Anexo A explicados um a um, um exemplo guiado do diagnóstico à certificação e um kit de modelos prontos para adaptar.
Baixar o guia gratuitoO que é a ISO 42001?
A ISO/IEC 42001:2023 é a primeira norma internacional certificável para Sistemas de Gestão de Inteligência Artificial (SGIA, ou AIMS em inglês). Publicada em dezembro de 2023 pela ISO e pela IEC, ela define requisitos para desenvolver, fornecer ou usar IA de forma responsável, com gestão de riscos, avaliação de impacto e melhoria contínua auditáveis.
Para que serve a certificação ISO 42001?
Serve para comprovar, por meio de uma auditoria independente, que a empresa governa seus sistemas de IA com processos documentados e efetivamente praticados. Na prática, reduz fricção em vendas enterprise, questionários de fornecedores, licitações e due diligence, e prepara a empresa para regulações como o EU AI Act.
A ISO 42001 é obrigatória no Brasil?
Não, a norma é voluntária. Mesmo assim, vem sendo exigida com frequência crescente por clientes corporativos, investidores e editais, e funciona como preparação para o Marco Legal da IA (PL 2338/2023), que segue em tramitação na Câmara dos Deputados.
Quanto tempo leva para certificar uma empresa na ISO 42001?
Em geral, cerca de 6 meses entre o diagnóstico e a emissão do certificado. O prazo varia conforme o porte da empresa, o número de sistemas de IA no escopo e a disponibilidade das equipes internas. O certificado vale 3 anos, com auditorias anuais de manutenção.
Só usamos IA de terceiros, como ChatGPT, Copilot ou APIs. A norma se aplica?
Sim. A ISO 42001 vale para quem desenvolve, fornece ou apenas usa IA. Quem consome IA de terceiros precisa governar inventário de ferramentas, regras de uso aceitável, avaliação de fornecedores e riscos como vazamento de dados por prompts e alucinações.
A ISO 42001 garante conformidade com o EU AI Act?
Não automaticamente. A certificação não substitui obrigações legais, mas cria a estrutura de gestão de risco, documentação, supervisão humana e transparência que o AI Act exige. Para sistemas de alto risco do Anexo III, as obrigações do AI Act passam a valer em 2 de dezembro de 2027.
Qual a relação entre ISO 42001 e LGPD?
A LGPD regula o tratamento de dados pessoais; a ISO 42001 governa sistemas de IA. Elas se cruzam sempre que um modelo usa dados pessoais para treinar ou decidir sobre pessoas: a norma exige registrar a origem dos dados, avaliar o impacto sobre indivíduos e garantir canais de revisão, pontos que reforçam a conformidade com a LGPD.
Como funciona a auditoria ISO 42001?
A auditoria de certificação ISO 42001 é feita por um organismo acreditado em dois estágios: no Estágio 1, o auditor revisa a documentação do SGIA (escopo, política de IA, avaliação de riscos e Declaração de Aplicabilidade); no Estágio 2, verifica se os controles funcionam na prática. Antes disso, a empresa precisa de uma auditoria interna e de uma análise crítica pela direção.
A DataGuide certifica empresas na ISO 42001?
A certificação é emitida por um organismo de certificação acreditado e independente. A DataGuide é uma empresa de consultoria ISO 42001: conduz a empresa por todo o processo de implementação, gap analysis, estruturação do SGIA, auditoria interna e preparação até essa auditoria externa.
Próximo passo
Sua IA já toma decisões. Falta provar que ela é governada.
Uma conversa de diagnóstico mostra o escopo, o prazo e o esforço para a sua empresa chegar à certificação.
Prefere e-mail? contato@dataguide.com.br