O que é a ISO 42001? A norma ISO/IEC 42001 e a certificação

A ISO 42001, formalmente ISO/IEC 42001:2023, é a norma internacional para sistemas de gestão de inteligência artificial (SGIA, ou AIMS em inglês). Publicada em dezembro de 2023, define como uma organização governa a IA que desenvolve, fornece ou utiliza: política, funções, avaliação de riscos e impactos, controlos e melhoria contínua. É voluntária e certificável.

Pontos-chave

• A ISO/IEC 42001 é uma norma de sistema de gestão, como a ISO/IEC 27001 para a segurança da informação, mas centrada no desenvolvimento e na utilização responsáveis da IA.
• As cláusulas 4 a 10 seguem a estrutura harmonizada da ISO, o que facilita a integração com a 27001, a 27701 e a 9001.
• O anexo A lista controlos de referência, normalmente contados como 38, agrupados em nove objetivos.
• A certificação passa por auditorias de fase 1 e fase 2 e por auditorias de acompanhamento anuais num ciclo de três anos.
• Ter o certificado não significa cumprir o AI Act, mas constrói boa parte da governação que o regulamento pressupõe.

O que é, em concreto, a ISO/IEC 42001

A norma foi preparada pelo subcomité conjunto ISO/IEC JTC 1/SC 42, dedicado à inteligência artificial, e publicada em dezembro de 2023 como a primeira norma certificável de sistema de gestão de IA. O título completo, em inglês, é «Information technology — Artificial intelligence — Management system».

Um sistema de gestão é o conjunto de políticas, processos, funções e registos que uma organização usa para atingir objetivos de forma controlada. A ISO 42001 aplica essa ideia à IA. Não diz que modelo escolher nem fixa limiares técnicos de exatidão. Exige que a organização defina o que é IA responsável no seu contexto, avalie riscos e impactos de cada sistema, aplique controlos adequados, meça se funcionam e os melhore.

Aplica-se a qualquer organização que forneça ou utilize produtos ou serviços baseados em IA, seja qual for a dimensão ou o setor. Inclui quem desenvolve modelos, empresas de software que integram IA e organizações que apenas utilizam IA de terceiros, como uma ferramenta de triagem de candidaturas ou o Microsoft Copilot. Se ainda está no início, a avaliação gratuita de governação de IA da Opsio mostra onde está em dez áreas e redige o seu quadro de governança de IA, um bom ponto de partida para uma futura certificação.

Estrutura da norma: as cláusulas 4 a 10

As cláusulas 1 a 3 tratam do âmbito, das referências normativas e dos termos. Os requisitos estão nas cláusulas 4 a 10:

O peso específico da IA está na cláusula 6. Ao contrário da ISO 27001, a ISO 42001 exige uma avaliação de impacto do sistema de IA: as consequências possíveis para pessoas, grupos e a sociedade, e não apenas para a organização. É aqui que a norma se aproxima da lógica dos direitos fundamentais do AI Act.

Os anexos

• Anexo A – objetivos e controlos de referência. Nove áreas (A.2 a A.10): políticas de IA; organização interna; recursos para sistemas de IA; avaliação de impactos; ciclo de vida do sistema; dados; informação para partes interessadas; utilização de sistemas de IA; relações com terceiros e clientes. O total é normalmente indicado como 38 controlos. Como na 27001, escolhe os aplicáveis e justifica exclusões na declaração de aplicabilidade.
• Anexo B – orientações de implementação para cada controlo do anexo A.
• Anexo C – objetivos organizacionais e fontes de risco possíveis: equidade, segurança, privacidade, transparência, robustez, nível de automação.
• Anexo D – utilização do sistema de gestão em diferentes domínios e setores e integração com outras normas.

Para a redação exata e o estatuto normativo de cada anexo, consulte a norma adquirida junto da ISO ou do organismo nacional de normalização. Em auditoria, só conta o texto.

Normas da mesma família

• ISO/IEC 22989: conceitos e terminologia de IA.
• ISO/IEC 23894: orientações para a gestão de riscos de IA, com base na ISO 31000.
• ISO/IEC 42005: orientações para a avaliação de impacto de sistemas de IA, publicada em 2025.
• ISO/IEC 42006: requisitos para os organismos que auditam e certificam sistemas de gestão de IA, publicada em julho de 2025.

A quem interessa a ISO 42001 em Portugal

Três tipos de organização costumam avançar primeiro:

• Empresas de produto e SaaS com IA que vendem a grandes clientes ou à Administração Pública e recebem questionários de compras cada vez mais longos sobre IA responsável.
• Organizações já certificadas pela ISO 27001 ou 27701, que podem alargar o sistema existente com esforço moderado, porque a estrutura de cláusulas é a mesma.
• Setores regulados que usam IA em escala, como banca, seguros, saúde e entidades públicas, que querem um quadro auditável enquanto as obrigações do AI Act entram em aplicação.

Uma PME que usa duas ou três ferramentas de IA de mercado tira normalmente mais proveito de implementar primeiro as práticas essenciais (política de utilização, inventário, avaliação de riscos e verificação de fornecedores) antes de decidir se a certificação compensa. O guia sobre inventário de IA e shadow AI é um bom primeiro passo.

Como funciona a certificação ISO 42001

A certificação é feita por um organismo de certificação independente. Dê preferência a um organismo acreditado para a ISO/IEC 42001 por um organismo nacional de acreditação signatário dos acordos de reconhecimento internacional. Em Portugal, o organismo nacional de acreditação é o IPAC (Instituto Português de Acreditação); muitos organismos que operam em Portugal estão acreditados por organismos de outros países. Confirme sempre o âmbito da acreditação. Os organismos acreditados são avaliados segundo a ISO/IEC 17021-1 e a ISO/IEC 42006.

1. Âmbito. Defina unidades, sistemas de IA e funções incluídos. Um âmbito estreito e claro é mais fácil de certificar e defender.
2. Análise de lacunas. Compare a prática atual com as cláusulas 4 a 10 e o anexo A.
3. Implementação. Política de IA, funções, avaliações de risco e impacto, seleção de controlos, declaração de aplicabilidade, formação e registos.
4. Auditoria interna e revisão pela gestão. Obrigatórias antes da certificação, e têm de ter acontecido de facto.
5. Auditoria de fase 1. O auditor revê documentação, âmbito e prontidão.
6. Auditoria de fase 2. O auditor testa se o sistema está implementado e é eficaz, com entrevistas, registos e amostragem. As não conformidades têm de ser corrigidas antes da emissão.
7. Acompanhamento e recertificação. Auditorias anuais no segundo e terceiro anos e recertificação antes de o certificado de três anos expirar.

Quanto tempo e esforço exige?

Não há preço nem duração padrão, e quem os indique sem conhecer o âmbito está a adivinhar. Os fatores que mais pesam:

Para contexto: as operações da Opsio na Índia estão certificadas pela ISO/IEC 27001 e pela ISO/IEC 27701. A Opsio não detém certificação ISO/IEC 42001.

ISO 42001 e AI Act: complementares, não equivalentes

O AI Act é lei vinculativa, com obrigações que dependem do nível de risco e do papel de cada operador, por exemplo um sistema de gestão de riscos e um sistema de gestão da qualidade para prestadores de sistemas de IA de risco elevado. A ISO 42001 é um sistema de gestão voluntário para toda a organização. A certificação não dá presunção de conformidade com o regulamento: essa presunção resulta apenas de normas harmonizadas publicadas no Jornal Oficial ao abrigo do artigo 40.º do Regulamento (UE) 2024/1689, que o CEN-CENELEC ainda está a preparar à data de outubro de 2026.

Mesmo assim, um SGIA dá-lhe a governação, os processos de risco e os registos que vai precisar: inventário, papéis, avaliações de impacto, formação (útil para o dever de literacia), monitorização. Para ver onde estão as diferenças face ao regulamento, a análise de lacunas para o AI Act mostra como planear norma e conformidade legal em conjunto. O enquadramento geral do regulamento está no guia do AI Act.

Perguntas frequentes

O que é a ISO 42001, em termos simples?

É uma norma internacional que descreve como gerir a IA de forma responsável e controlada. Define uma política de IA, atribui responsabilidades, avalia riscos e impactos de cada sistema, aplica controlos, verifica se funcionam e melhora continuamente. Um auditor independente pode certificar que o sistema de gestão cumpre a norma.

A certificação ISO 42001 é obrigatória?

Não. A ISO/IEC 42001 é voluntária e nenhuma lei da UE exige a certificação. Alguns clientes e concursos públicos começam a pedi-la, e ajuda a preparar a conformidade, mas o AI Act tem os seus próprios requisitos vinculativos, que dependem do seu papel e do nível de risco de cada sistema.

Ter a ISO 42001 significa cumprir o AI Act?

Não. A certificação mostra que o sistema de gestão cumpre a norma. O regulamento impõe obrigações jurídicas concretas, como documentação técnica, avaliação da conformidade e registo para prestadores de risco elevado ou deveres de transparência do artigo 50.º. A norma apoia muitas delas, mas é preciso mapear e cumprir cada obrigação.

Quem pode certificar a ISO 42001 em Portugal?

Organismos de certificação independentes. Prefira um organismo acreditado para a ISO/IEC 42001 pelo IPAC ou por outro organismo de acreditação signatário dos acordos internacionais. Esses organismos têm de cumprir a ISO/IEC 17021-1 e a ISO/IEC 42006, que define requisitos de competência e auditoria específicos para sistemas de gestão de IA.

Posso juntar a ISO 42001 à ISO 27001?

Sim. Ambas usam a estrutura harmonizada, por isso política, controlo documental, auditoria interna e revisão pela gestão podem ser partilhados num sistema de gestão integrado. Mantêm-se avaliações de risco e declarações de aplicabilidade separadas para os controlos de cada norma.

Comece por uma base de governação

Com ou sem certificação, o primeiro passo é saber onde está. A avaliação gratuita de governança e maturidade em IA da Opsio leva cerca de 40 minutos, em 14 passos, e pontua a maturidade em dez áreas. Ao submeter, recebe quatro documentos Word editáveis redigidos a partir das respostas: quadro de governança de IA (escrito com a ISO/IEC 42001 como referência), política de utilização de IA, checklist de fornecedores de IA e modelo de avaliação de riscos. As perguntas estão em português; os documentos, em inglês. Sem custos nem compromisso. Para apoio prático, veja a nossa consultoria de governação de IA.

Este artigo é informação geral e não constitui aconselhamento jurídico. Confirme o texto consolidado do Regulamento (UE) 2024/1689, na redação dada pelo Regulamento (UE) 2026/1744, e o texto publicado da ISO/IEC 42001. Situação à data de outubro de 2026.