Os necessários fazem o site funcionar. Os outros medem quais páginas ajudam e quais anúncios trazem quem precisa da DM11. Você escolhe, e pode rever pelo rodapé.
ISO/IEC 42001
A ISO/IEC 42001 é a norma internacional do sistema de gestão de inteligência artificial, publicada em dezembro de 2023 pela ISO e pela IEC. Ela não avalia se o seu modelo é bom. Avalia se existe uma forma definida de decidir onde a IA entra, quem aprova, o que foi considerado antes de entrar em produção e o que acontece quando o resultado sai errado. É a primeira norma de IA que termina em certificado emitido por organismo independente.
A DM11 prepara a sua empresa para a ISO/IEC 42001 e não certifica ninguém. A própria ISO declara que não certifica organizações: quem emite o certificado é um organismo de certificação independente, que pode ser acreditado por um organismo nacional de acreditação. Quem prepara não pode auditar, e essa separação existe para o certificado valer alguma coisa.
Quem conduz a implantação
CGEIT, governança corporativa de TI, pela ISACA
ISO/IEC 27001 Lead Auditor certificado pela BSI
CISA, auditoria de sistemas de informação
17 anos de governança, riscos e conformidades
O QUE É
A ISO/IEC 42001:2023 especifica requisitos para estabelecer, implantar, manter e melhorar continuamente um sistema de gestão de inteligência artificial. Em português mais direto: ela cobra que exista um jeito escrito, praticado e verificável de a empresa decidir sobre IA, e não uma coleção de decisões que só quem tomou lembra. É publicada em conjunto pela ISO e pela IEC, na primeira edição, e vem do comitê ISO/IEC JTC 1/SC 42, que é o comitê de inteligência artificial.
Esta é a diferença que muda a conversa comercial. O NIST AI RMF é um framework voluntário, sem organismo certificador e sem selo. Os princípios de IA responsável publicados por grandes empresas não têm auditoria de terceiro. A ISO/IEC 42001 tem: a empresa monta o sistema de gestão, um organismo de certificação independente audita, e o resultado é um certificado que o seu cliente consegue conferir. A ISO deixa explícito na ficha da norma que ela própria não certifica organizações, e que os organismos que certificam podem ser acreditados por organismos nacionais de acreditação.
Vale alinhar a expectativa cedo, porque é a confusão mais comum. A norma não diz se o seu modelo acerta, não mede acurácia, não aprova arquitetura e não valida um algoritmo específico. O que ela cobra é o entorno: quais usos de IA existem na empresa, quem autorizou cada um, o que foi avaliado antes de ir para produção, como o desempenho é acompanhado depois, o que se faz quando o resultado prejudica alguém, e como tudo isso fica provado. Um modelo excelente numa empresa sem essas respostas reprova. Um modelo modesto numa empresa que sabe responder passa.
A ISO descreve o público da norma como organizações de qualquer porte que fornecem ou utilizam produtos e serviços baseados em IA, em qualquer setor, incluindo órgãos públicos e organizações sem fins lucrativos. Isso significa que a norma alcança a empresa que treina modelo próprio e alcança também, com escopo diferente, a que contratou uma ferramenta de IA e a colocou na frente do cliente. O segundo caso é hoje a maioria absoluta do mercado, e é o que costuma chegar despreparado à primeira pergunta de um cliente grande.
Uma é norma técnica voluntária que termina em certificado. O outro é lei europeia, obrigatória para quem está no escopo dela, com prazos fixados e sem certificado a comprar. Ter a 42001 não faz uma empresa cumprir automaticamente o AI Act, e cumprir o AI Act não dispensa a norma se o seu cliente exigir o certificado. O que existe entre as duas é reaproveitamento real: inventário de sistemas de IA, avaliação de impacto, papéis definidos, supervisão humana e registro do que foi decidido servem aos dois trabalhos, e é por isso que fazer os dois de uma vez custa muito menos do que fazer um de cada vez.
QUEM COSTUMA PRECISAR
Nenhuma delas começa com a empresa querendo uma norma. Todas começam com alguém de fora perguntando uma coisa que a empresa não tem como responder por escrito.
É o caminho mais comum, e ele chega junto com a renovação de contrato. O comprador quer saber quais sistemas de IA tocam o dado dele, se há supervisão humana, o que acontece quando o modelo erra e quem responde. A empresa até faz várias dessas coisas, e não consegue provar nenhuma no formato pedido. Um certificado emitido por terceiro encerra a discussão em uma linha, e é por isso que ele começou a aparecer em concorrência.
O AI Act é lei, e o certificado da 42001 não é passe livre para ela. Mas a maior parte do trabalho que a lei exige, inventário, avaliação de impacto, papéis, supervisão humana e registro, é a mesma que a norma cobra. Empresas que vão precisar dos dois costumam descobrir tarde que fizeram o mesmo trabalho duas vezes, com dois fornecedores e dois orçamentos.
Assistentes contratados no cartão de uma área, funcionalidade de IA que apareceu numa atualização de um sistema que já existia, uso pessoal de ferramenta pública com dado da empresa dentro. Aqui a exigência não veio de fora ainda, e vem. O valor da norma nesse estágio é menos o certificado e mais o inventário: é a primeira vez que a diretoria vê a lista inteira.
TRADUZINDO O PEDIDO
A frase que o cliente escreve raramente descreve o trabalho. Estas são as quatro que mais aparecem, com o que cada uma significa na prática e o que muda o tamanho do projeto.
| O que pediram | O que isso quer dizer | O que muda o tamanho |
|---|---|---|
| Vocês são certificados em ISO 42001? | O comprador quer um documento emitido por terceiro, e não uma declaração sua. O caminho é montar o sistema de gestão e contratar um organismo de certificação independente para auditar. | Quantos usos de IA entram no escopo, se a empresa desenvolve modelo ou só consome, e quanto do sistema de gestão já existe por causa da ISO 27001. |
| Precisamos estar em conformidade com o EU AI Act | É lei, não norma, e não há certificado a comprar. O trabalho é enquadrar cada sistema de IA, cumprir o que o enquadramento exige e guardar a prova disso. | O papel da empresa em cada sistema, se algum uso cai nas categorias de maior exigência e se o serviço é oferecido no mercado europeu. |
| Queremos uma política de uso de IA | Costuma ser o primeiro passo, e sozinho ele não sustenta auditoria. Política sem inventário descreve um mundo que ninguém conferiu, e é o documento que mais rápido vira letra morta. | Se existe inventário de usos de IA, quantas áreas serão ouvidas e se a política precisa valer também para fornecedor. |
| Precisamos avaliar o risco dos nossos usos de IA | É a avaliação de impacto, e ela é o coração dos dois caminhos. Feita uma vez, no formato certo, ela responde à norma, à lei e ao questionário do cliente. | Quantos sistemas serão avaliados, se algum decide coisa sobre pessoa e se há dado pessoal ou decisão automatizada envolvida. |
Nada disso exige comprar a norma para começar. A conversa de escopo acontece antes, e o primeiro entregável útil quase sempre é o inventário, porque é ele que revela o tamanho real do resto.
HISTÓRIAS
Trocamos os nomes dos clientes com o mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, o padrão dos problemas se repete. Quando o cliente autoriza, mostramos referências com nome numa conversa.
Software como serviço
A renovação de um contrato grande veio acompanhada de um anexo novo, com perguntas sobre quais sistemas de IA tocavam o dado do cliente, quem supervisionava e o que acontecia quando o modelo errava. Produto respondeu uma coisa, atendimento respondeu outra, e o jurídico segurou o envio porque nenhuma das duas respostas podia ser sustentada por documento.
Levantamos o inventário antes de escrever qualquer política, porque a divergência entre as áreas era sintoma de não existir lista única. Cada uso ganhou dono e finalidade, incluindo os que tinham vindo embutidos em produtos contratados antes. Depois avaliamos por impacto, e não por tecnologia, e a supervisão humana foi definida onde o resultado ia direto ao cliente.
O questionário passou a ter uma resposta só, escrita, com o registro por trás de cada afirmação. E a conversa interna mudou de assunto: em vez de discutir quem responde ao cliente, o time passou a discutir quais usos de IA valiam a supervisão que exigiam.
Serviços financeiros
A diretoria pediu um mapa do uso de IA achando que ia receber uma página. O que existia era assistente contratado no cartão de uma área, funcionalidade de IA ligada numa atualização de um sistema antigo que ninguém tinha lido, e uso de ferramenta pública com documento interno dentro. Nenhum desses casos tinha passado por aprovação, e nenhum era irregular, porque não havia regra.
Fizemos o levantamento sem caça às bruxas, que é a única forma de ele ser completo: quem declarou uso não passou por sanção, e a lista foi tratada como retrato e não como acusação. Em seguida escrevemos a política sobre o que existia de fato, com o que é livre, o que exige aprovação e o que é vedado, e definimos quem aprova uso novo e quem pode barrar um já decidido.
A lista final era várias vezes maior do que a estimativa de quem pediu, e essa foi a entrega mais valiosa do projeto. Dois usos foram descontinuados por decisão da própria área quando a finalidade ficou escrita, e os demais entraram no fluxo de aprovação com registro.
Indústria exportadora
A empresa tinha um projeto contratado para atender ao regulamento europeu de IA e uma exigência de certificação chegando por um cliente, tratadas por times diferentes e com fornecedores diferentes. Ninguém tinha comparado os dois escopos, e as duas frentes estavam prestes a pedir o mesmo inventário e a mesma avaliação de impacto às mesmas pessoas.
Paramos as duas frentes por uma semana e cruzamos o que cada uma exigia. Inventário, avaliação de impacto, papéis, supervisão humana e registro das decisões atendem à norma e ao regulamento quando são feitos uma vez, no formato que serve aos dois. O que era mesmo específico de cada lado ficou separado e explícito, para ninguém confundir depois.
O trabalho comum foi feito uma vez só, com um time e um cronograma. A empresa passou a saber, por escrito, qual parte do esforço responde à lei, qual responde à norma e qual responde às duas, que é a informação que faltava para a diretoria decidir a ordem.
AUTODIAGNÓSTICO
Vinte e uma perguntas, cerca de quatro minutos. O resultado aparece inteiro na tela, com nota por frente e o retrato do seu perfil de uso de IA. Não pedimos e-mail para mostrar o resultado, e nenhuma faixa promete certificação.
QUEM FAZ O QUÊ
Esta separação não é escolha comercial nossa, é como a certificação funciona, e a própria ISO declara isso na ficha da norma. Quem prepara não pode auditar, porque um auditor que avalia o próprio trabalho não produz garantia nenhuma. Vale conhecer os quatro papéis antes de contratar qualquer um deles.
COMO CONDUZIMOS
A ordem importa mais aqui do que em qualquer outra norma, porque a tentação é começar pela política, que é a parte fácil de escrever e a que menos resiste a uma auditoria sem o resto embaixo.
Começa aqui e não pela política, porque uma política escrita sobre um mundo que ninguém conferiu descreve outra empresa. Levantamos os sistemas de IA em uso, os que vieram embutidos em softwares que já existiam, os contratados por área fora da TI e o uso de ferramenta pública com dado da empresa. Cada item ganha dono, finalidade e o que ele decide ou sugere.
Lista dos usos de IA, com dono e finalidade declarada em cada um
O que cada sistema decide, sugere ou gera, e sobre quem
Origem de cada um: desenvolvido, contratado ou embutido em outro produto
Os usos que apareceram fora do radar da TI, listados sem caça às bruxas
Marco de entregaA diretoria vê pela primeira vez a lista inteira, e ela costuma ser maior do que a estimativa de quem a pediu.
Com a lista em mãos, cada uso é avaliado pelo que ele pode causar, e não pela tecnologia que usa. Um classificador simples que decide sobre pessoa pesa mais do que um modelo sofisticado que resume documento interno. A avaliação é feita uma vez, no formato que serve à norma, ao AI Act e ao questionário do cliente ao mesmo tempo.
Avaliação de impacto por sistema, com o que foi considerado e por quem
Enquadramento de cada uso perante o EU AI Act, quando ele se aplicar
Riscos de segurança, privacidade, discriminação e reputação, separados
Decisão registrada por uso: seguir, seguir com condição, ou não seguir
Marco de entregaCada uso de IA tem uma decisão escrita, com nome de quem decidiu e o que foi levado em conta.
Agora a política faz sentido, porque ela descreve um mundo que existe. Definimos quem aprova uso novo, o que precisa acontecer antes de um sistema entrar em produção, onde a supervisão humana é obrigatória e o que se faz quando alguém contesta um resultado. Onde a empresa já tem ISO 27001, boa parte da estrutura é reaproveitada em vez de duplicada.
Política de uso de IA, com o que é permitido, o que exige aprovação e o que é vedado
Papéis e responsabilidades, incluindo quem pode dizer não
Fluxo de aprovação de caso de uso novo, com o que precisa estar pronto antes
Caminho de contestação e correção, e o que fazer quando o resultado prejudica alguém
Marco de entregaUm caso de uso novo passa pelo fluxo do começo ao fim, e o registro disso vira a primeira evidência do sistema.
Auditoria não avalia intenção, avalia evidência. Organizamos a prova no formato que o auditor espera, com rastro de quem decidiu o quê e quando, e conduzimos um ensaio da auditoria com o seu time. O objetivo do ensaio é que o dia real não tenha surpresa, e que as surpresas apareçam enquanto ainda são baratas.
Evidência organizada por requisito, com o dono de cada uma
Monitoramento definido: o que é acompanhado depois que o sistema entra em produção
Ensaio de auditoria com o time, com as lacunas listadas e priorizadas
Plano de correção com responsável e prazo, antes de chamar o organismo
Marco de entregaAs lacunas aparecem no ensaio, e não na auditoria de certificação, que é onde elas custam caro.
QUANTO TEMPO LEVA
Não publicamos prazo padrão, porque prazo publicado vira promessa e o escopo aqui varia muito mais do que em outras normas. Estes são os fatores que mais mexem no relógio, e a primeira conversa já mostra em qual deles a sua empresa está.
Quem apenas consome IA de fornecedor tem escopo bem menor: a avaliação recai sobre a escolha, a contratação, a supervisão e o monitoramento, e não sobre dado de treino e ciclo de vida do modelo. Quem treina ou ajusta modelo próprio carrega tudo isso junto. As duas certificam, e o trabalho não é do mesmo tamanho.
Empresa certificada em ISO 27001 já tem a estrutura que a 42001 aproveita: política aprovada, análise crítica pela direção, gestão de não conformidade, auditoria interna e controle de documento. Nesse caso o projeto é de acréscimo, e não de construção. Quem parte do zero constrói as duas camadas ao mesmo tempo, e é honesto dizer que isso é mais longo.
É o fator mais subestimado dos três. O inventário é rápido quando a IA está concentrada em produto e em tecnologia. Quando ela apareceu em marketing, em atendimento, em jurídico e em recursos humanos, cada uma com seu fornecedor, o levantamento vira o trabalho principal da primeira fase, e é ele que define o tamanho de tudo o que vem depois.
POR QUE QUEM PREPARA NÃO AUDITA
Todo mercado de certificação funciona assim, e vale conhecer a regra antes de contratar. Se a mesma empresa que escreveu a política também assinasse a auditoria dela, o certificado não informaria nada a quem o recebe: seria a opinião de alguém sobre o próprio trabalho. É por isso que a DM11 prepara e não certifica, e é por isso que o organismo de certificação é contratado diretamente por você.
A DM11 diagnostica, implanta com o seu time e organiza a prova
O organismo de certificação audita e emite o certificado, contratado por você
O organismo de acreditação reconhece o organismo de certificação
Desconfie de quem oferecer preparação e certificação no mesmo contrato
O ensaio da auditoria que fazemos não é auditoria, e não vale como uma
PERGUNTAS FREQUENTES
As dúvidas que aparecem em quase toda primeira reunião, respondidas sem rodeio.
É, e essa é a característica que a separa de quase tudo o que existe em governança de IA. A empresa monta o sistema de gestão, um organismo de certificação independente audita, e o resultado é um certificado que o seu cliente consegue conferir. A própria ISO deixa explícito que ela não certifica organizações: quem certifica são organismos independentes, que podem ser acreditados por organismos nacionais de acreditação. A DM11 prepara e não certifica, e quem oferecer as duas coisas no mesmo contrato está oferecendo um certificado que vale menos.
Desde julho de 2025 essa pergunta tem resposta escrita, e ela é nova o bastante para faltar na maior parte do material de mercado. A ISO/IEC 42006 define os requisitos que um organismo precisa cumprir para auditar e certificar sistemas de gestão de IA, sobre a base que já valia para qualquer certificação de sistema de gestão, a ISO/IEC 17021-1. Em termos práticos: é ela que faz o seu certificado significar a mesma coisa que o certificado de outra empresa, emitido por outro organismo, em outro país. Quando for escolher, pergunte por escrito se o organismo opera segundo a ISO/IEC 42006 e por qual organismo de acreditação ele é reconhecido. Quem não responde essas duas, responde tudo o mais.
Não. A ISO/IEC 42001 é uma norma de sistema de gestão por conta própria, e uma empresa pode buscá-la sem ter a 27001. Dito isso, quem já tem a 27001 chega com uma vantagem concreta e não pequena: política aprovada, análise crítica pela direção, auditoria interna, tratamento de não conformidade e controle de documento são estruturas que a 42001 aproveita em vez de exigir de novo. Nesse caso o projeto é de acréscimo. Para quem parte do zero, as duas camadas são construídas ao mesmo tempo, e é honesto dizer que isso leva mais tempo.
Não automaticamente, e desconfie de quem disser que sim. Uma é norma técnica voluntária que termina em certificado; o outro é lei europeia obrigatória para quem está no escopo dela, com prazos fixados e sem certificado a comprar. O que existe entre as duas é reaproveitamento real de trabalho: inventário de sistemas de IA, avaliação de impacto, papéis definidos, supervisão humana e registro das decisões servem aos dois. Fazer os dois de uma vez custa bem menos do que fazer um de cada vez, e é essa a conversa que vale ter antes de começar.
O regulamento entrou em vigor em 1º de agosto de 2024 e se aplica por etapas. Os usos proibidos e as regras de formação valem desde fevereiro de 2025; as regras para modelos de uso geral, desde agosto de 2025; a aplicação geral do regulamento começou em 2 de agosto de 2026. As obrigações dos sistemas de alto risco listados no Anexo III passam a valer em 2 de dezembro de 2027, e as da IA embarcada em produtos regulados do Anexo I em 2 de agosto de 2028. Esses dois últimos prazos foram fixados pelo Regulamento (UE) 2026/1744, o Digital Omnibus on AI, em vigor desde 27 de julho de 2026. Se o material que você tem traz datas diferentes para alto risco, ele é anterior a essa alteração.
A diferença que decide a escolha é o que cada um produz no fim. O NIST AI RMF é um framework de uso voluntário, publicado em janeiro de 2023, sem organismo certificador e sem selo: ele é excelente para organizar o pensamento sobre risco de IA e não gera documento para mostrar a cliente. A ISO/IEC 42001 termina em certificado emitido por terceiro independente. Quem precisa provar a um comprador vai pela ISO. Quem quer estruturar internamente, sem exigência externa, encontra no NIST um ponto de partida gratuito. Os dois convivem, e o trabalho feito para um adianta boa parte do outro.
Se aplica, com escopo bem menor, e essa é hoje a situação da maioria. A ISO descreve o público da norma como organizações que fornecem ou utilizam produtos e serviços baseados em IA, e utilizar está lá de propósito. O que muda é o conteúdo do trabalho: a avaliação recai sobre a escolha do fornecedor, a contratação, quem supervisiona o uso e o que é feito com o resultado, e não sobre dado de treino e ciclo de vida de modelo. O erro típico deste perfil é presumir que a responsabilidade é do fornecedor. Quem coloca o resultado na frente do cliente responde por ele.
Não publicamos prazo, e o motivo não é reserva comercial: prazo publicado vira promessa, e três coisas mudam esse número mais do que o tamanho da empresa. Se a empresa desenvolve modelo próprio ou apenas consome IA de terceiros, quanto de sistema de gestão já existe na casa por causa de outra norma, e quantas áreas usam IA sem passar pela TI, que é o fator mais subestimado dos três. A primeira conversa já mostra em qual desses cenários você está, e o inventário da primeira fase é o que dimensiona o resto com números em vez de estimativa.
Pelo inventário, e não pela política. É contraintuitivo, porque a política é a parte fácil de escrever e a que parece dar resultado rápido, mas política escrita sobre um mundo que ninguém conferiu descreve outra empresa e não resiste à primeira auditoria. O levantamento dos usos de IA cabe em poucas semanas, não exige comprar a norma e costuma ser a primeira vez que a diretoria vê a lista inteira, incluindo o que veio embutido em sistemas antigos e o que foi contratado fora da TI. Depois disso, a conversa sobre escopo passa a ser sobre números.
Uma conversa curta já mostra se o seu caso é de certificação, de conformidade regulatória ou de organizar o uso que já existe. Se preferir começar sozinho, o autodiagnóstico acima entrega o retrato na tela, sem cadastro obrigatório.
ISO/IEC · ISO/IEC 42001:2023, edição 1, publicada em dezembro de 2023 · consultado em
ISO/IEC · ISO/IEC 42006:2025, edição 1, publicada em julho de 2025 · consultado em
Parlamento Europeu e Conselho da União Europeia · Jornal Oficial de 12/07/2024, em vigor desde 01/08/2024 · consultado em
Parlamento Europeu e Conselho da União Europeia · Digital Omnibus on AI, em vigor desde 27/07/2026 · consultado em
NIST, instituto nacional de padrões e tecnologia dos Estados Unidos · NIST AI 100-1, publicado em 26/01/2023, de uso voluntário · consultado em
ISO/IEC · ISO/IEC 27001:2022, edição 3, com a emenda 1:2024 · consultado em
Esta página é informativa e descreve como a DM11 lê e aplica as fontes acima. Ela não reproduz o texto das normas, não substitui a leitura do documento oficial e não substitui auditoria, certificação, avaliação independente ou aconselhamento jurídico. Onde a norma exige avaliação formal, quem conduz é um organismo, auditoria ou avaliador credenciado, sempre separado de quem preparou.