A ISO/IEC 42001 é a norma internacional para sistemas de gestão de inteligência artificial (AIMS), publicada em 2023. A Privacy Tools organiza o inventário de sistemas de IA, as avaliações de impacto, os controles e as evidências exigidos para a certificação.
A norma define requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de IA, na mesma estrutura das demais normas de sistema de gestão da ISO, como a ISO/IEC 27001. Fonte oficial: página da norma no site da ISO.
Os principais requisitos da norma são:
O que a norma define e o que a certificação envolve:
A Governança de IA mantém o inventário dos projetos e sistemas de IA, a biblioteca de modelos e tecnologias, as políticas e diretrizes, a associação com normas e frameworks e os controles e planos de ação de cada projeto. Os Diagnósticos e Avaliações medem a aderência a cada controle da norma, e a Gestão de Auditorias planeja as auditorias internas e guarda as evidências.
A Gestão de Riscos trata os riscos de IA com matriz e planos de ação; o Data Mapping mostra quais dados pessoais alimentam cada sistema; a Gestão de Riscos de Terceiros avalia os fornecedores de IA; e o relatório de impacto algorítmico documenta a avaliação de impacto. A PrIA, copiloto de IA da plataforma, sugere riscos, medidas e controles para cada projeto, sempre com revisão humana.
Inventário de sistemas de IA com riscos e responsáveis
Diagnósticos com os controles do anexo A
Avaliação de impacto dos sistemas de IA
Auditorias internas com evidências e planos de ação
Fornecedores de IA avaliados e monitorados
É a norma internacional que especifica os requisitos de um sistema de gestão de inteligência artificial (AIMS, na sigla em inglês). Publicada em 2023 pela ISO e pela IEC, foi a primeira norma certificável de gestão de IA e se aplica a quem desenvolve, fornece ou usa sistemas de IA.
Não. É uma norma voluntária. O AI Act europeu e o PL 2338/2023 cobram gestão de riscos, documentação e supervisão humana, e a norma oferece um modelo reconhecido para organizar essas obrigações e demonstrá-las a clientes e autoridades.
As três seguem a mesma estrutura de sistema de gestão (contexto, liderança, planejamento, suporte, operação, avaliação e melhoria), o que permite auditorias integradas. A 27001 trata a segurança da informação, a 27701 a privacidade e a 42001 a inteligência artificial. Ter as outras não é pré-requisito.
A implantação costuma levar de 6 a 12 meses, conforme a maturidade da governança de IA, seguida da auditoria de certificação em duas etapas. O certificado vale por 3 anos, com auditorias de manutenção anuais.
A Governança de IA mantém o inventário dos sistemas e os controles de cada projeto, os Diagnósticos medem a aderência à norma, a Gestão de Auditorias guarda as evidências e os planos de ação, e os demais módulos geram os registros que o auditor pede: riscos, dados pessoais usados, fornecedores e avaliações de impacto.
Fale com um de nossos especialistas e veja como organizar os sistemas de IA, os controles e as evidências da norma na plataforma.
