A ISO/IEC 42001 é a primeira norma internacional de sistema de gestão específico para inteligência artificial, publicada em dezembro de 2023, e define os requisitos para uma empresa desenvolver, fornecer ou usar sistemas de IA de forma responsável, com avaliação de risco, controles de vieses e rastreabilidade de decisões automatizadas. Este guia é para quem decide governança de IA — diretoria, jurídico, compliance, segurança da informação — e precisa entender, na prática, o que a norma exige, quem realmente precisa se certificar e como ela se conecta com obrigações que já existem hoje, como a LGPD.
O que é a ISO/IEC 42001, em termos práticos
A ISO/IEC 42001:2023 organiza como a empresa desenvolve, adquire, implementa e monitora sistemas de inteligência artificial, definindo critérios para avaliação de riscos, controle de vieses, monitoramento de desempenho, rastreabilidade de decisões automatizadas e gestão de impactos, segundo descreve a QMS Brasil. Na prática, ela faz pelo governo de IA o que a ISO 27001 já faz pela segurança da informação: transforma um conjunto de boas intenções ("vamos usar IA com responsabilidade") em um sistema de gestão auditável, com processo, dono e evidência.
A norma se aplica a qualquer organização — de qualquer porte ou setor, pública, privada ou sem fins lucrativos — que desenvolva, forneça ou use sistemas de IA, segundo a Bureau Veritas. Isso inclui tanto uma empresa de tecnologia que constrói modelos quanto uma empresa de qualquer outro setor que apenas usa ferramentas de IA generativa no dia a dia — o nível de exigência varia conforme o papel e o risco, mas a lógica de gestão é a mesma para ambas.
Para quem a ISO/IEC 42001 realmente importa
Nem toda empresa que usa IA precisa correr para se certificar — mas toda empresa que usa IA se beneficia de conhecer a estrutura da norma como checklist. A diferença está em três perfis:
| Perfil da empresa | Relevância da ISO/IEC 42001 |
|---|---|
| Desenvolve ou vende produtos de IA para terceiros | Alta — a certificação vira diferencial competitivo e, cada vez mais, exigência de clientes corporativos e do setor público |
| Usa IA em processos que afetam clientes (crédito, seguro, saúde, RH) | Alta — decisões automatizadas de alto impacto são justamente o que a norma endereça |
| Usa IA generativa internamente, sem produto de IA próprio | Média — a norma funciona como referência estruturada de governança, mesmo sem buscar a certificação formal |
| Ainda não tem política de uso de IA formalizada | A norma é cedo demais — o passo anterior é montar a política de uso de IA na empresa |
O guia geral de governança já trata a ISO/IEC 42001 como um dos dois referenciais de maturidade avançada (ao lado dos princípios de IA da OCDE) — veja o contexto completo em governança de IA na prática: política, segurança e LGPD. Este artigo aprofunda especificamente a norma: o que ela cobre, como funciona a certificação e quando faz sentido buscar formalmente.
O que a norma cobre, na prática
Como sistema de gestão, a ISO/IEC 42001 segue a mesma lógica de outras normas ISO de gestão (como a 27001, de segurança da informação, e a 9001, de qualidade): define requisitos organizacionais e um conjunto de controles de referência, reunidos em um anexo. Na prática, isso se traduz em processos que a empresa precisa ter documentados e em funcionamento:
- Avaliação de risco de sistemas de IA — antes de colocar um modelo em produção, mapear o que pode dar errado e o impacto de cada risco.
- Controle de vieses e monitoramento de desempenho — processo contínuo, não checagem única no lançamento.
- Rastreabilidade de decisões automatizadas — capacidade de explicar por que um sistema de IA chegou a determinado resultado, essencial quando a decisão afeta uma pessoa.
- Gestão de impactos ao longo do ciclo de vida — do design ao descomissionamento do sistema, não apenas na fase de desenvolvimento.
- Papéis e responsabilidades definidos — quem aprova o uso de um sistema de IA, quem monitora, quem responde por incidente.
Essa estrutura conversa diretamente com o que já é obrigação legal no Brasil: quando uma decisão automatizada afeta uma pessoa, a LGPD garante ao titular o direito de solicitar revisão humana (art. 20) — um direito que a rastreabilidade exigida pela ISO/IEC 42001 ajuda a cumprir na prática, não só no papel. O detalhamento completo de bases legais, papel do DPO e exigências contratuais com fornecedores está em LGPD e IA generativa.
Como funciona o processo de certificação
O caminho até a certificação segue o padrão de outras normas de sistema de gestão ISO, operado por organismos certificadores acreditados (como Bureau Veritas, DNV, Vanzolini ou QMS Brasil no mercado brasileiro):
- Gap analysis (opcional, mas recomendado). Avaliação inicial que compara a governança de IA atual da empresa contra os requisitos da norma, mapeando o que falta antes da auditoria formal.
- Implementação do sistema de gestão. Documentação de políticas, processos de avaliação de risco, papéis e controles — a parte que mais consome tempo, porque exige que a governança já esteja funcionando, não só descrita.
- Auditoria de certificação. Conduzida pelo organismo certificador, avalia se o sistema de gestão implementado atende aos requisitos da norma.
- Certificação e manutenção. Uma vez certificada, a empresa passa por auditorias de acompanhamento periódicas para manter o certificado válido — a certificação não é um evento único, é um compromisso contínuo, como em qualquer outra norma ISO de gestão.
O prazo típico varia com a maturidade de governança que a empresa já tem antes de começar: uma empresa que já opera com política de uso, papéis definidos e revisão de risco chega à certificação bem mais rápido do que uma que ainda está montando a governança do zero.
ISO/IEC 42001 e o Marco Legal da IA no Brasil: como as duas peças se conectam
O Brasil ainda não tem uma lei específica e detalhada para IA em vigor. O PL 2338/2023 — o Marco Legal da IA — foi aprovado no Senado em dezembro de 2024 e segue em tramitação na Câmara dos Deputados, com votação final prevista para 2026. O projeto segue o modelo europeu (AI Act): classifica sistemas de IA por nível de risco, cria direitos para pessoas afetadas por decisões automatizadas e prevê sanções de até R$ 50 milhões por infração.
A leitura prática para quem decide governança agora: não vale a pena esperar o marco regulatório amadurecer para agir. A LGPD já se aplica integralmente hoje a qualquer tratamento de dado pessoal envolvendo IA, e adotar a estrutura da ISO/IEC 42001 antes da lei entrar em vigor coloca a empresa em conformidade antecipada — quando o Marco Legal da IA for sancionado, a base de governança e documentação já vai estar pronta, em vez de precisar ser construída sob pressão de prazo regulatório. Essa é também a lógica por trás da matriz de risco que detalhamos em riscos da IA generativa nas empresas: guia para C-level.
ISO/IEC 42001 vs. formalizar apenas uma política de uso interna
Para a maioria das empresas que só usam IA generativa internamente — sem desenvolver ou vender produtos de IA — a pergunta certa não é "vamos certificar na ISO/IEC 42001?", é "por onde começar a governança?". A resposta, na prática:
| Situação da empresa | Caminho recomendado |
|---|---|
| Ainda não tem política de uso de IA | Começar pela política de uso de IA na empresa e pelos princípios da OCDE |
| Já tem política, mas sem processo auditável | Usar a estrutura da ISO/IEC 42001 como checklist, sem buscar certificação formal ainda |
| Precisa comprovar governança a clientes, parceiros ou reguladores | Buscar a certificação formal, com gap analysis como primeiro passo |
| Desenvolve ou vende produto de IA para terceiros | Certificação tende a virar exigência competitiva, não opção |
A certificação é uma escada, não um ponto de partida. Empresas que tentam pular direto para a ISO/IEC 42001 sem antes ter política de uso, classificação de dados e papéis definidos normalmente descobrem, na auditoria, que a base ainda não existe — o caminho mais rápido é seguir a ordem, não a norma na frente da governança básica. O programa prático que sustenta qualquer um desses caminhos — inventário de sistemas de IA, avaliação de risco por caso de uso e trilha de auditoria — está detalhado em compliance e IA.
Como a Jetpacks trata a ISO/IEC 42001 dentro da governança de IA
Na Jetpacks, a ISO/IEC 42001 entra como referência de maturidade dentro do método Flight Plan — não como ponto de partida. O Launchpad mapeia o nível atual de governança da empresa (incluindo se já existe política de uso e processo de avaliação de risco); o Flight Plan desenha o que falta para chegar ao nível de maturidade que a empresa precisa — que pode ou não incluir buscar a certificação formal; o Booster capacita o time com as práticas de governança já incorporadas à capacitação, não em módulo separado; e o Mission Control mede se os controles definidos estão sendo seguidos na prática, não apenas documentados. Como parceira oficial da Replit no Brasil, a Jetpacks já aplicou essa abordagem em empresas como Hypera Pharma, Volvo, BMR Medical e C12 Brasil.
FAQ
O que é a ISO/IEC 42001?
É a primeira norma internacional de sistema de gestão específico para inteligência artificial, publicada em dezembro de 2023. Define requisitos para desenvolver, fornecer ou usar sistemas de IA de forma responsável, cobrindo avaliação de risco, controle de vieses, monitoramento de desempenho e rastreabilidade de decisões automatizadas.
Quais empresas precisam da certificação ISO/IEC 42001?
Não é obrigatória para nenhuma empresa no Brasil hoje. É mais relevante para quem desenvolve ou vende produtos de IA para terceiros, ou usa IA em decisões de alto impacto sobre pessoas (crédito, seguro, saúde, RH). Empresas que só usam IA generativa internamente se beneficiam da estrutura da norma como referência, mesmo sem buscar certificação formal.
Quanto tempo leva para certificar uma empresa na ISO/IEC 42001?
Varia com a maturidade de governança que a empresa já tem. Uma empresa com política de uso, papéis definidos e processo de avaliação de risco já em funcionamento chega à certificação bem mais rápido do que uma que ainda precisa construir a governança do zero antes da auditoria.
A ISO/IEC 42001 substitui a LGPD?
Não. São complementares: a LGPD é lei brasileira, obrigatória, focada em proteção de dados pessoais. A ISO/IEC 42001 é uma norma voluntária de sistema de gestão, focada na governança completa de sistemas de IA — incluindo, mas não se limitando a, dados pessoais. Uma empresa certificada na ISO/IEC 42001 ainda precisa cumprir a LGPD integralmente.
A ISO/IEC 42001 substitui o Marco Legal da IA que está sendo votado no Brasil?
Não. O Marco Legal da IA (PL 2338/2023) é uma lei brasileira em tramitação, com votação final prevista para 2026, que vai trazer obrigações específicas e sanções. A ISO/IEC 42001 é uma norma internacional voluntária. Adotar a estrutura da norma antes da lei entrar em vigor coloca a empresa em conformidade antecipada, mas não dispensa o cumprimento da lei quando ela for sancionada.
Por onde uma empresa deve começar se ainda não tem nenhuma governança de IA?
Pela política de uso de IA — o documento que define ferramentas aprovadas, classificação de dados e papéis — não pela certificação. A ISO/IEC 42001 é útil como checklist de maturidade depois que essa base básica já existe. Veja o passo a passo em política de uso de IA na empresa: o que incluir.
Conclusão: norma é estrutura, não ponto de partida
A ISO/IEC 42001 dá à empresa uma estrutura auditável para algo que, sem ela, costuma ficar só no discurso: governança de IA com processo, dono e evidência. Mas a norma funciona como checklist de maturidade avançada, não como primeiro passo — empresas que ainda não têm política de uso, classificação de dados ou papéis definidos precisam resolver essa base antes de pensar em certificação formal. Para comparar a ISO/IEC 42001 com outras referências como NIST AI RMF e OCDE, e decidir qual combinação faz sentido para o seu porte, veja framework de governança de IA: guia de implementação. Se sua empresa está decidindo por onde começar a governança de IA, ou já tem uma base e quer entender se vale a pena buscar a certificação, o diagnóstico gratuito da Jetpacks — uma conversa de 30 a 45 minutos — mapeia o nível de maturidade atual e o caminho mais direto até onde sua empresa precisa chegar.
Descubra onde a IA gera mais resultado na sua empresa.
Comece com um diagnóstico gratuito: mapa de impacto por área e o desenho de um primeiro piloto medível, sem compromisso.