ISO/IEC 42001: a norma chegou antes da prática

Estou em treinamento para as provas de auditor líder da ISO/IEC 42001. Já passei por esse caminho com a 27001, e a diferença entre as duas experiências diz muito sobre o momento em que estamos.

Quando estudei a 27001, eu estava aprendendo a auditar uma prática que o mercado já exercia havia duas décadas. Com a 42001 é o contrário: a norma chegou antes da prática. A maioria das empresas que hoje coloca agentes de IA em produção não tem sistema de gestão nenhum para isso — tem projeto, entusiasmo e um cartão de crédito na API de alguém.

Este texto é sobre por que isso vai cobrar caro, e por que a 42001 é a resposta menos glamourosa e mais útil disponível.

O diagnóstico que ninguém está lendo direito

A Forrester publicou os cinco maiores riscos de cibersegurança para 2026. Vale ler a lista com atenção ao que ela realmente diz:

1. Ataques quase autônomos de Estados-nação
2. Agentes atuando como shadow operators dentro da empresa
3. Cadeia de suprimentos de IA
4. Proveniência e identidade de agentes (IAM)
5. Soberania digital fragmentando as pilhas tecnológicas

Quatro dos cinco não são problemas de ataque. São falhas de governança. Não existe produto que resolva "não sabemos quantos agentes temos, quem os autorizou, a que dados eles chegam e quem responde quando eles erram". Isso é sistema de gestão — e sistema de gestão é exatamente o que a 42001 especifica.

A descrição que a Forrester dá dos shadow operators é a mais reveladora: agentes pessoais entram na empresa por extensão de navegador e acesso a inbox, e passam a acessar dados e executar ações em velocidade de máquina, fora da governança e da visibilidade. Não disparam MFA. Não geram log que o SIEM saiba interpretar.

Traduzindo para a pergunta que eu faria numa auditoria: quantos agentes existem hoje no seu ambiente, o que cada um pode fazer, e quem aprovou? Quando a resposta demora, o achado já apareceu.

O que a 42001 é, sem marketing

A ISO/IEC 42001 especifica requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de inteligência artificial — AIMS, na sigla em inglês.

Ela é construída sobre a Estrutura Harmonizada, a antiga Annex SL. Isso significa que as cláusulas 4 a 10 são as mesmas que você já conhece de qualquer sistema de gestão:

Cláusula	Tema
4	Contexto da organização
5	Liderança
6	Planejamento
7	Apoio
8	Operação
9	Avaliação de desempenho
10	Melhoria

E o Anexo A traz um conjunto de referência de controles de IA, organizados em nove objetivos:

	Objetivo	Controles
A.2	Políticas relacionadas à IA	3
A.3	Organização interna	2
A.4	Recursos para sistemas de IA	5
A.5	Avaliação de impactos de sistemas de IA	4
A.6	Ciclo de vida do sistema de IA	9
A.7	Dados para sistemas de IA	5
A.8	Informação para partes interessadas	4
A.9	Uso de sistemas de IA	3
A.10	Relações com terceiros e clientes	3

São 38 controles no total — contados na Tabela A.1 da própria norma, porque as fontes secundárias divergem entre 37 e 38 e uma delas erra o A.6. A numeração começa em .2 dentro de cada objetivo, e o A.6 se divide em dois subgrupos: A.6.1, orientação de gestão para desenvolvimento, e A.6.2, o ciclo de vida propriamente dito.

A mecânica é idêntica à da 27001: a cláusula 6.1.3 manda você determinar os controles que o seu tratamento de risco exige e então comparar esse conjunto com o Anexo A, para confirmar que nada relevante ficou de fora. O resultado é uma Declaração de Aplicabilidade, com justificativa para cada exclusão. Quem já operou um SGSI reconhece o movimento inteiro.

O Anexo B traz orientação de implementação por controle; os anexos C e D acrescentam fontes de risco e considerações setoriais.

Se você já tem 27001, você já tem metade

Este é o ponto prático mais importante, e o menos divulgado.

As duas normas compartilham a Estrutura Harmonizada, a lógica de Declaração de Aplicabilidade, o mecanismo de auditoria interna e o de análise crítica pela direção. Na prática isso permite auditoria interna combinada, um único fórum de governança e um só sistema documental. Você não monta um segundo sistema de gestão — você estende o que já existe.

A divergência real aparece nas cláusulas 6 e 8, onde cada norma aplica a estrutura comum ao seu próprio objeto.

E aí está a diferença conceitual que eu considero a mais importante de todas.

A 27001 protege a informação. A 42001 responde pelo que o sistema faz.

Um SGSI pergunta: essa informação está confidencial, íntegra e disponível? Um AIMS pergunta outra coisa: esse sistema é justo, é explicável, quem responde pelo resultado dele, qual o impacto sobre quem é afetado pela decisão — e o afetado pode ser alguém que nunca foi seu cliente.

Por isso a 42001 acrescenta o que a 27001 não cobre: gestão de viés, transparência, desenvolvimento responsável e, acima de tudo, avaliação de impacto do sistema de IA.

Vale insistir nesse último ponto, porque é onde quase toda leitura apressada erra. A avaliação de impacto não é um controle do Anexo A que você pode excluir com justificativa na Declaração de Aplicabilidade. Ela é requisito de cláusula: aparece em 6.1.4, no planejamento, e de novo em 8.4, na operação. Cláusula não se exclui — se cumpre. O objetivo A.5 do Anexo A detalha o processo, mas a obrigação de fazer nasce antes dele.

E o escopo dessa avaliação é o que separa as duas normas de verdade: consequências potenciais para indivíduos, grupos de indivíduos e sociedades afetados pelo sistema, ao longo de todo o ciclo de vida. Um SGSI nunca te obrigou a considerar quem não é seu cliente.

O objeto mudou. A 27001 nasceu num mundo onde o sistema processava dado. A 42001 existe porque o sistema agora decide — e decisão tem vítima possível, não só vazamento possível.

Por que isso deixou de ser tema de comitê

Escrevi recentemente sobre o primeiro caso brasileiro de prompt injection julgado: uma instrução escondida em fonte branca dentro de uma petição, endereçada à IA da Justiça do Trabalho, que resultou em multa por litigância de má-fé.

Aquele caso é um exemplo perfeito de risco que nenhum controle técnico isolado resolve. Não existe filtro que separe instrução de dado de forma confiável — a limitação é arquitetural. O que reduz o dano é decisão de governança: qual agente tem qual permissão, o que exige humano no caminho, o que é registrado, quem responde.

Todas essas perguntas estão na 42001. Nenhuma delas está num produto.

É a mesma lição que a segurança da informação levou vinte anos para aprender e que agora precisa ser reaprendida em prazo muito menor: controle que depende de disciplina humana contínua não é controle. Sistema de gestão existe justamente para que a proteção não dependa de alguém lembrar.

Por onde eu começaria

Se você não vai buscar certificação agora — e a maioria não vai —, a norma ainda serve como mapa. Estes cinco passos entregam a maior parte do valor e não exigem certificado nenhum:

1. Inventário de agentes e sistemas de IA. O que existe, quem contratou, que dado alcança, que ação pode executar. Sem isso, nada mais é possível. É onde quase toda organização descobre que tem mais do que imaginava.

2. Dono nomeado para cada um. Pessoa, não área. Se ninguém responde pelo agente, ele não deveria estar ligado.

3. Avaliação de impacto antes de subir. Quem é afetado pela decisão desse sistema, o que acontece se ele errar sistematicamente, e como alguém contesta um resultado. Essa é a pergunta que a 42001 traz e a 27001 não fazia.

4. Política de uso que diga não a alguma coisa. Política que autoriza tudo não é política. Defina onde IA não entra: decisão sobre pessoa sem revisão humana, dado sensível em serviço de terceiro, ação irreversível sem aprovação.

5. Registro do que entrou, não só do que saiu. No incidente, a pergunta vai ser "que texto o modelo leu antes de fazer isso?". Quem só guarda a resposta não tem como investigar.

Nenhum desses passos é tecnologia. Todos são gestão. E é exatamente por isso que estão sendo adiados — dá para comprar ferramenta em uma semana, e governança leva um trimestre.

O que eu realmente penso

A 42001 não vai impedir incidente com IA, do mesmo modo que a 27001 nunca impediu vazamento. Certificado não é escudo, e auditor nenhum deveria vender isso.

O que uma norma de sistema de gestão entrega é diferente e mais modesto: ela obriga a organização a saber o que tem, a decidir conscientemente o que aceita, e a conseguir explicar depois por que decidiu assim. No momento em que agentes autônomos tomam decisões em nome da empresa, saber o que se tem já é vantagem competitiva — e explicar depois vai ser exigência regulatória em muitos mercados.

O trabalho chato é o que sobra quando o entusiasmo passa. Nunca vi ser diferente.