Iso IEC 42001 2023: Brasil acelera certificação de IA em 2026

Inteligência Artificial

Empresas brasileiras iniciam processo para certificação conforme a nova norma ISO/IEC 42001:2023, garantindo segurança e conformidade em IA.

Leia também: PolinizAI: alunos usam IA para mapear polinizadores no Piauí

Empresas brasileiras com dez ou mais empregados que usam inteligência artificial começam a estruturar sistemas formais de governança com base na ISO/IEC 42001:2023, norma internacional para gestão de IA. A consultoria VGrid, liderada por Rafael Lotfi Marrocos Leite, está à frente da implementação em organizações de vários setores, conectando diagnóstico de riscos, políticas e capacitação à preparação para certificação voluntária.

Uso crescente de IA pressiona por regras claras

O movimento acontece em meio ao avanço do uso de inteligência artificial no país. A proporção de empresas com dez ou mais empregados que utilizam IA passou de 13% em 2024 para 17% em 2025, de acordo com a pesquisa TIC Empresas 2025. Entre as companhias que já adotam a tecnologia, 80% compraram softwares ou sistemas prontos, o que amplia a dependência de fornecedores e a necessidade de supervisão estruturada.

Nesse cenário, a ISO/IEC 42001, publicada em 2023, ganha espaço como referência para criar um Sistema de Gestão de Inteligência Artificial (SGIA). A norma vale tanto para quem desenvolve e fornece sistemas quanto para quem apenas utiliza soluções contratadas, e estabelece requisitos para diagnosticar usos de IA, avaliar riscos e impactos, definir responsabilidades, controles e evidências de funcionamento.

Para Rafael Lotfi Marrocos Leite, fundador e CEO da VGrid, a norma só faz sentido se sair do papel. “Governança de IA precisa funcionar na decisão, no contrato e na rotina das equipes”, afirma. “A empresa precisa conseguir explicar por que autorizou aquele uso de IA, quais limites estabeleceu e quais evidências sustentam a decisão.”

Entenda o contexto

A ISO/IEC 42001:2023 foi criada para dar às organizações um framework semelhante ao de normas consolidadas de gestão, como as de segurança da informação, mas voltado especificamente para sistemas de inteligência artificial. Na prática, ela exige que a companhia saiba onde usa IA, com quais dados, para influenciar quais decisões e com quais salvaguardas.

O avanço da tecnologia em áreas sensíveis — como seleção de candidatos, concessão de crédito, tarifação, atendimento ao público e tomada de decisão automatizada — expõe empresas a riscos legais, reputacionais e sociais. A norma busca reduzir esses riscos ao exigir governança estruturada, supervisão humana e registro de como resultados inadequados são identificados e tratados.

Diagnóstico, riscos e impactos sociais

O ponto de partida do trabalho da VGrid é um diagnóstico de maturidade que identifica todos os usos de IA, inclusive aqueles contratados diretamente por áreas de negócio sem envolvimento prévio de tecnologia ou jurídico. O mapeamento inclui inventário de ferramentas, fontes de dados, decisões que sofrem influência dos modelos e regras atuais, formais ou informais.

“Antes de escrever uma política, precisamos saber quais ferramentas estão em uso, quais dados recebem e quais decisões influenciam. Esse diagnóstico mostra onde a empresa precisa agir primeiro”, explica Rafael. A partir daí, a norma orienta dois eixos centrais: avaliação de riscos e avaliação de impactos.

A avaliação de riscos se volta aos objetivos da organização: continuidade de negócios, imagem, resultados financeiros, relacionamento com clientes e conformidade regulatória. Já a avaliação de impactos mira diretamente as pessoas e a sociedade, analisando potenciais efeitos discriminatórios ou injustos, além de eventuais violações de direitos.

Mestrando em Direito, Justiça e Desenvolvimento, Rafael pesquisa devido processo algorítmico e viés discriminatório em sistemas de IA e leva essa discussão para o chão da fábrica. Decisões como aprovação de crédito, triagem de currículos ou priorização de atendimentos precisam ter critérios claros de supervisão humana e trilhas de auditoria que mostrem como a empresa reage quando um resultado da IA é considerado inadequado.

Integração com segurança da informação e privacidade

Na implementação da ISO/IEC 42001, a VGrid não parte do zero. A consultoria integra o sistema de gestão de IA a processos existentes de segurança da informação e privacidade de dados, usando normas como a ISO/IEC 27001 e a ISO/IEC 27701 como base. O objetivo é aproveitar estruturas já conhecidas por times de TI, jurídico e compliance.

O escopo do SGIA pode abarcar desde a avaliação de fornecedores e regras para dados inseridos em ferramentas de IA até análises de risco técnico, acompanhamento de mudanças em modelos e processos de revisão periódica de desempenho. A cada novo projeto com IA, a decisão deixa de ser apenas tecnológica para se tornar multidisciplinar.

“Quando uma área contrata uma IA, a decisão envolve negócio, tecnologia, jurídico, segurança e privacidade. Nosso trabalho é organizar essas responsabilidades e transformar os riscos identificados em controles que possam ser demonstrados”, diz o CEO da VGrid. Isso inclui definir quem aprova o uso, quem monitora, quem responde por incidentes e como tudo fica registrado.

Capacitação traz governança para o dia a dia

Outro eixo central da implementação é a formação das equipes. A VGrid desenvolve programas específicos para lideranças e para usuários diretos da IA, com foco em proteção de dados, limites de uso, verificação de resultados, reporte de incidentes e boas práticas de contratação e teste de sistemas.

Na prática, o treinamento traduz o SGIA em tarefas concretas: quais campos preencher ao registrar um novo uso de IA, quais checagens fazer antes de colocar um modelo em produção, como documentar exceções, onde registrar evidências e como acionar os responsáveis em caso de falha.

Rafael também atua na formação de consultores credenciados pela própria VGrid, em um modelo que busca escalar a implementação da ISO/IEC 42001 em empresas de portes e setores diferentes, sem perder a aderência ao contexto de cada organização.

Como funciona a Iso 42001 certificação?

A certificação na ISO/IEC 42001 é voluntária, não obrigatória, e se refere ao sistema de gestão de IA em um escopo definido pela própria organização. A VGrid apoia empresas que desejam dar esse passo com análise de lacunas, avaliação de prontidão, auditoria interna e tratamento de não conformidades, mantendo independência entre quem implementa e quem audita.

Na etapa de preparação, são verificados não só a existência de políticas e procedimentos, mas principalmente evidências de que eles funcionam: registros de avaliação de riscos e impactos, atas de comitês, relatórios de supervisão humana, logs de tratamento de incidentes e revisões periódicas de desempenho dos sistemas de IA.

O certificado é emitido por organismos independentes e não dispensa a empresa de atender leis, regulamentos setoriais ou exigências de proteção de dados. Ele indica que o SGIA atende aos requisitos da norma para o escopo aprovado, mas não substitui a análise contínua da qualidade e dos riscos dos algoritmos utilizados.

Impactos para competitividade e regulação

A adoção da ISO/IEC 42001 tende a se tornar um diferencial competitivo nas relações entre empresas. Em contratos que envolvem processamento intensivo de dados, decisões automatizadas ou uso de IA em serviços sensíveis, a exigência de um sistema de gestão certificado pode aparecer como critério de seleção de fornecedores ou condição de continuidade de parcerias.

Consultorias especializadas, como a VGrid, relatam aumento de demanda por projetos que vão além de um documento de política e incluem governança contínua: revisão de modelos, monitoramento de vieses, criação de painéis de indicadores e envolvimento regular de jurídico, TI, negócio, segurança e privacidade.

No médio e longo prazo, a expectativa é que a maturidade trazida pela ISO/IEC 42001 influencie discussões regulatórias sobre IA no Brasil, oferecendo às empresas um caminho prático para demonstrar diligência, responsabilidade e capacidade de resposta em um cenário de uso acelerado da tecnologia.