O que é um sistema de gestão de IA
Um sistema de gestão de inteligência artificial, conhecido pela sigla inglesa AIMS, é o conjunto de políticas, objetivos, processos e responsabilidades com que uma organização governa o desenvolvimento e a utilização de IA. A ISO/IEC 42001, publicada em dezembro de 2023, define os requisitos desse sistema. Tal como a ISO 9001 não diz como fabricar um produto, a ISO 42001 não diz como treinar um modelo: diz como a organização deve decidir, controlar e melhorar o que faz com IA.
A norma foi pensada para os desafios próprios da IA: decisões automáticas pouco transparentes, dependência da qualidade dos dados, comportamento que pode mudar com o tempo e impactos em pessoas e na sociedade que vão além dos riscos tradicionais de segurança da informação.
Para quem faz sentido
A ISO 42001 aplica-se a organizações de qualquer dimensão e setor que tenham um papel no ciclo de vida da IA. Os casos mais típicos são empresas de software que integram funcionalidades de IA nos seus produtos, fornecedores de modelos ou plataformas, empresas que usam IA em processos sensíveis como recrutamento, crédito, saúde ou atendimento ao cliente, e prestadores de serviços que precisam de responder a questionários exigentes de clientes empresariais.
Para muitas PME portuguesas, a motivação inicial é comercial: clientes, sobretudo internacionais, começam a pedir provas de governação de IA nos processos de seleção de fornecedores. A segunda motivação é regulatória, com a aplicação progressiva do Regulamento (UE) 2024/1689, o AI Act.
Estrutura da norma: cláusulas 4 a 10
A ISO/IEC 42001 segue a estrutura harmonizada das normas de sistemas de gestão ISO, o que facilita a integração com a ISO/IEC 27001 ou a ISO 9001. As cláusulas 4 a 10 são obrigatórias. Os pontos mais específicos da IA são os seguintes:
- Contexto (4): determinar o papel da organização em relação à IA, por exemplo fornecedor, produtor, cliente ou utilizador, e o âmbito do sistema.
- Liderança (5): política de IA aprovada pela gestão de topo e papéis definidos.
- Planeamento (6): avaliação de riscos de IA, tratamento de riscos com Declaração de Aplicabilidade e avaliação do impacto dos sistemas de IA em pessoas, grupos e sociedade (6.1.4).
- Suporte (7): recursos, competências, consciencialização e informação documentada.
- Operação (8): executar as avaliações de risco e de impacto e os planos de tratamento ao longo do ciclo de vida.
- Avaliação e melhoria (9 e 10): monitorização, auditoria interna, revisão pela gestão, ações corretivas e melhoria contínua.
Verifique a sua preparação gratuitamente
10–15 minutos, sem registo: pontuação de prontidão, relatório de lacunas e recomendações de IA.
O Anexo A: controlos de referência
Tal como na ISO 27001, a ISO 42001 inclui um Anexo A com controlos de referência que a organização compara com os seus riscos e documenta na Declaração de Aplicabilidade. Os controlos estão agrupados em objetivos que cobrem, em resumo, os seguintes temas:
- Políticas relacionadas com IA e o seu alinhamento com outras políticas da organização.
- Organização interna, incluindo papéis, responsabilidades e comunicação de preocupações.
- Recursos para sistemas de IA: dados, ferramentas, sistemas, capacidade computacional e pessoas.
- Avaliação dos impactos dos sistemas de IA em pessoas e na sociedade.
- Ciclo de vida do sistema de IA, desde os requisitos e o desenho até à verificação, implementação, operação e monitorização.
- Dados para sistemas de IA: aquisição, qualidade, proveniência e preparação.
- Informação para partes interessadas, como documentação para utilizadores e comunicação de incidentes.
- Utilização responsável dos sistemas de IA e respetiva finalidade prevista.
- Relações com terceiros e clientes, incluindo fornecedores de modelos e dados.
Os anexos de apoio e as normas relacionadas
O Anexo B dá orientação de implementação para cada controlo, o Anexo C lista possíveis objetivos organizacionais e fontes de risco relacionados com IA, como equidade, transparência, segurança ou robustez, e o Anexo D aborda a aplicação do sistema em diferentes domínios e setores. Estes anexos são informativos, mas na prática são muito úteis para não começar do zero.
A norma faz parte de uma família mais ampla. A ISO/IEC 22989 define a terminologia de IA, a ISO/IEC 23894 dá orientações sobre gestão de risco de IA e a ISO/IEC 42005 trata da avaliação de impacto de sistemas de IA. Existe também uma norma com requisitos para os organismos que auditam e certificam sistemas de gestão de IA, o que contribui para a credibilidade dos certificados.
ISO 42001 e o AI Act
A ISO 42001 é voluntária; o AI Act é lei. As duas complementam-se, mas não se confundem. A norma oferece um sistema para identificar sistemas de IA, avaliar riscos e impactos, controlar dados e ciclo de vida, documentar e supervisionar. Estas atividades produzem grande parte das evidências que o regulamento pede, por exemplo para a literacia em IA, a supervisão humana ou a gestão de riscos.
No entanto, um certificado ISO 42001 não equivale a conformidade legal. O AI Act tem obrigações específicas por papel e por nível de risco, como a avaliação de conformidade e a marcação CE para sistemas de risco elevado, que a norma não substitui. As normas harmonizadas que darão presunção de conformidade com o regulamento estão a ser preparadas a nível europeu, pelo que convém acompanhar a sua publicação.
Como preparar a implementação e a certificação
Um percurso realista começa por um inventário dos sistemas de IA, incluindo os embutidos em produtos de terceiros, e pela definição do papel da organização em cada um. Segue-se a política de IA, a metodologia de avaliação de riscos e de impacto, a Declaração de Aplicabilidade e os procedimentos do ciclo de vida. Se já tem ISO 27001, reaproveite a gestão documental, a auditoria interna e a revisão pela gestão.
A certificação é feita por organismos de certificação independentes, idealmente acreditados para esta norma, com uma auditoria em duas fases, certificado válido por três anos e auditorias anuais de acompanhamento. Confirme junto do IPAC ou do organismo de acreditação do certificador o estado da acreditação para a ISO/IEC 42001. Os erros mais comuns são deixar a avaliação de impacto ao nível de intenção, não controlar fornecedores de modelos e não ter evidência de monitorização em produção. Uma autoavaliação gratuita no baltum.ai mostra o seu nível de preparação para a ISO 42001 e onde estão as lacunas.
Perguntas frequentes
A ISO 42001 é obrigatória?
Não. É uma norma voluntária. Pode, no entanto, ser exigida por clientes ou usada como forma de demonstrar diligência na gestão de IA, incluindo no contexto do AI Act.
Preciso de desenvolver IA para aplicar a ISO 42001?
Não. A norma aplica-se também a organizações que apenas usam sistemas de IA. O âmbito e os controlos aplicáveis dependem do papel da organização e dos riscos identificados.
Qual a diferença entre avaliação de riscos e avaliação de impacto na ISO 42001?
A avaliação de riscos olha para os riscos para a organização e para os seus objetivos. A avaliação de impacto da cláusula 6.1.4 foca as consequências potenciais dos sistemas de IA para pessoas, grupos e a sociedade. A norma exige as duas.
Posso integrar a ISO 42001 com a ISO 27001?
Sim. Ambas seguem a mesma estrutura de sistema de gestão, o que permite partilhar processos como controlo documental, auditoria interna e revisão pela gestão. Muitas organizações fazem auditorias combinadas.
Quanto tempo é válido um certificado ISO 42001?
Como nas outras normas de sistemas de gestão, o certificado tem normalmente validade de três anos, com auditorias de acompanhamento anuais e uma auditoria de renovação no fim do ciclo.
Verifique a sua preparação gratuitamente
10–15 minutos, sem registo: pontuação de prontidão, relatório de lacunas e recomendações de IA.
Fontes
Este artigo é informativo e não constitui aconselhamento jurídico. O baltum.ai é um software independente, não um organismo de certificação.