Da Regulamentação ao Contrato: A Nova Fronteira da Governança de IA A gestão da inteligência artificial (IA) deixa de ser apenas uma preocupação regulatória e passa a ser um requisito contratual. Grandes organizações no Brasil já exigem de seus fornecedores a comprovação de padrões mínimos de governança de IA. Essa tendência, impulsionada pela necessidade de atuar em mercados internacionais e pela evolução das regulamentações globais, como o Regulamento (UE) 2026/1744, transforma a conformidade em uma credencial de negócios. ISO/IEC 42001: O Novo Padrão para Sistemas de IA A norma internacional ISO/IEC 42001, adotada no Brasil pela ABNT em abril de 2024, surge como o principal instrumento para atestar a governança de IA. Ela se aplica a qualquer organização que utilize ou forneça produtos e serviços com sistemas de IA, independentemente do seu porte ou setor. Diferentemente do que muitos imaginam, a norma não avalia a qualidade técnica de um modelo de IA, mas sim a capacidade da organização em gerenciar todo o ciclo de vida dos sistemas que desenvolve, fornece ou consome. Essa abordagem permite a integração com outras normas de gestão, como a ISO/IEC 27001 (segurança da informação) e a ISO 9001 (qualidade), otimizando os processos internos. Estrutura e Requisitos da ISO/IEC 42001 A ISO/IEC 42001 é estruturada em duas camadas principais. As cláusulas de 4 a 10 detalham os requisitos auditáveis, abordando o contexto da organização, liderança, planejamento, suporte, operação, avaliação de desempenho e melhoria contínua. O Anexo A complementa com 38 controles de referência distribuídos em nove domínios, que incluem desde políticas de IA e organização interna até o uso responsável e o relacionamento com partes interessadas. A Declaração de Aplicabilidade é o documento chave que conecta essas camadas, detalhando os controles implementados e suas justificativas, sendo o primeiro ponto de análise em auditorias. Avaliação de Impacto: Um Diferencial Crucial Um dos grandes diferenciais da ISO/IEC 42001 é a exigência de uma avaliação de impacto dos sistemas de IA. Distinta da avaliação de riscos corporativos, esta análise foca nas consequências para indivíduos, grupos e a sociedade. Processos distintos e documentação específica são necessários para considerar o uso pretendido, o mau uso previsível, os contextos sociais e técnicos de implantação, e as jurisdições aplicáveis. A metodologia para essa avaliação é detalhada na norma ISO/IEC 42005, publicada em 2025. Supervisão Humana e Limites da Certificação A norma também formaliza a exigência de supervisão humana nos sistemas de IA, definindo em quais etapas do ciclo de vida ela deve ocorrer e prevendo revisores humanos com autoridade para intervir nas decisões automatizadas. O pessoal envolvido deve ser treinado e informado sobre o sistema. Especialistas ressaltam que a certificação ISO/IEC 42001 demonstra maturidade em governança, mas não isenta as empresas de responsabilidades legais, como a LGPD ou regulamentos europeus. A norma incentiva a integração com outras áreas de gestão, como segurança da informação e privacidade, reconhecendo que objetivos como segurança e privacidade devem ser gerenciados de forma conjunta. O Futuro Contratual da Governança de IA A tendência de exigências contratuais para governança de IA espelha o que ocorreu com a segurança da informação. Enquanto essa última já possuía décadas de prática corporativa, a governança de IA parte de uma base mais recente, com inventários incompletos e responsabilidades ainda em definição. Com o calendário regulatório europeu estendido e o marco legal brasileiro em tramitação, a norma voluntária ISO/IEC 42001 tende a preencher o vácuo legal, estabelecendo o padrão pelo qual empresas serão avaliadas por clientes, parceiros e auditores.