Sistema de gestão de IA ISO 42001

A ISO/IEC 42001:2023 é a norma internacional para sistemas de gestão de IA, publicada em dezembro de 2023 pela ISO e pela IEC (comité JTC 1/SC 42). Segundo a ISO, é a primeira norma do género. Define requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de IA.

A norma aplica-se a organizações de qualquer dimensão que desenvolvam, forneçam ou utilizem IA, incluindo no setor público. Está relacionada com o nosso trabalho em governação de dados e gestão de IA.

A ISO resume os requisitos da seguinte forma: liderança e contexto da organização, políticas e objetivos de IA, gestão dos riscos dos sistemas de IA, governação de dados e controlo do ciclo de vida, transparência e disponibilização de informação, avaliação e monitorização do desempenho e melhoria contínua.

Tal como outras normas de sistemas de gestão, a ISO/IEC 42001 segue o ciclo plan-do-check-act. A ISO especifica ainda medidas de controlo e recomenda avaliações regulares dos riscos e medidas para os tratar.

O Regulamento da IA é legislação europeia; a ISO/IEC 42001 é uma norma voluntária. Segundo a ISO, a norma não substitui a legislação nem os regulamentos, mas ajuda a cumprir as obrigações. Os requisitos para os sistemas de alto risco enumerados no anexo III aplicam-se a partir de 2 de dezembro de 2027.

Em 19 de outubro de 2026, a Comissão Europeia publicou a primeira norma harmonizada ao abrigo do regulamento: a EN 18286, um sistema de gestão da qualidade para fornecedores de IA de alto risco. Destina-se a complementar normas existentes, como a ISO/IEC 42001. O seu consultor jurídico pode avaliar quais os requisitos aplicáveis ao seu caso; consulte também Regulamento da IA.

Não é a própria ISO nem a Data Science Lab. A certificação é voluntária e é realizada por entidades certificadoras independentes, que podem ser acreditadas por um organismo nacional de acreditação. Cabe-lhe decidir se quer obter a certificação e quando.

Ajudamos a estruturar o sistema de gestão e a pô-lo a funcionar. Se quiser primeiro comparar empresas de consultoria em governação, consulte a nossa lista de empresas de consultoria em governação de dados.

Ambas são normas de sistemas de gestão. A ISO apresenta a ISO/IEC 42001 a par da ISO 9001 para a qualidade, da ISO 14001 para o ambiente e da ISO/IEC 27001 para a segurança da informação, e também disponibiliza as normas 42001 e 27001 em conjunto.

O nosso conselho: se já tem um sistema de gestão da segurança da informação, muitas vezes pode partilhar políticas, o processo de gestão de riscos, o controlo documental e o ciclo de avaliação. Entre os elementos específicos de IA estão o inventário dos sistemas de IA, a avaliação do impacto nas pessoas e a monitorização dos modelos.

A ISO inclui a monitorização dos sistemas de IA ao longo de todo o seu ciclo de vida e a avaliação do desempenho num sistema de gestão de IA. Para os modelos, isso significa medir se os dados de entrada e as previsões se alteram e documentar o que faz quando isso acontece.

Para a Rijkswaterstaat, desenvolvemos um package genérico para detetar drift e outliers, utilizando, entre outras ferramentas, Python e Alibi Detect. Saiba como monitorizamos modelos em produção em MLOps.

Segundo a ISO, a norma abrange organizações que desenvolvem sistemas de IA, integram IA em produtos ou serviços, utilizam IA para tomar decisões ou automatizar processos, ou gerem IA de terceiros. Na prática, isto inclui também software adquirido com funcionalidades de IA e ferramentas que os colaboradores utilizam por iniciativa própria.

Para cada sistema, registe a finalidade, o responsável, os dados, o fornecedor e quem utiliza os resultados. Saiba como definimos funções e responsabilidades em torno da IA em governação de IA.

Se utiliza uma ou duas ferramentas de IA, ninguém lhe pede informações sobre os seus mecanismos de controlo da IA e não tem modelos próprios, uma política de IA breve, com um responsável por cada ferramenta, é muitas vezes suficiente. Saiba como aplicar a IA de forma responsável em Responsible AI.

Se o número de aplicações aumentar ou os clientes começarem a pedir-lhe informações sobre esses mecanismos, essa política será um bom ponto de partida para o sistema de gestão.