ISO/IEC 42001 e NIST AI RMF explicados sem jargão

A ISO/IEC 42001 é uma norma certificável que define como a empresa gerencia IA. O NIST AI RMF é uma estrutura voluntária, gratuita, que organiza o mesmo problema em quatro funções. Para a maioria das empresas, o caminho útil é usar o segundo como roteiro de trabalho e deixar o primeiro para quando um cliente exigir o certificado.

São os dois nomes que aparecem em toda apresentação de governança de IA, quase sempre sem explicação. Vale entender o que cada um é antes de decidir se serve.

ISO/IEC 42001, em português claro

Publicada no fim de 2023, é a primeira norma internacional para sistema de gestão de inteligência artificial. Ela segue a mesma lógica que a ISO 9001 usa para qualidade e a 27001 para segurança da informação: não diz que tecnologia usar, diz como a organização precisa se estruturar para gerenciá-la.

Na prática, ela exige que a empresa tenha:

• Política de IA aprovada pela direção, com papéis e responsáveis nomeados.
• Inventário dos sistemas de IA em uso, mantido atualizado.
• Avaliação de risco e de impacto para cada sistema.
• Controle sobre dados, fornecedores e ciclo de vida.
• Registro de decisão, auditoria interna e revisão pela direção.

É certificável, e essa é a diferença que importa. Um organismo credenciado audita e emite um certificado que a empresa pode mostrar em concorrência.

NIST AI RMF, em português claro

Publicado em janeiro de 2023 pelo instituto de padrões dos Estados Unidos, é voluntário, gratuito e não certificável. Organiza o trabalho em quatro funções:

Função	Pergunta que responde
Govern	Quem decide, quem responde, qual é a regra escrita?
Map	Onde usamos IA, em que contexto, com que impacto sobre quem?
Measure	Como sabemos que funciona, e como sabemos quando parou de funcionar?
Manage	O que fazemos com o risco que sobrou, e quem monitora?

A vantagem é o custo: zero. A desvantagem é que ninguém emite papel no fim.

As duas se contradizem?

Não. Cobrem o mesmo terreno com linguagens diferentes, e o trabalho de campo é praticamente o mesmo: inventário, avaliação de risco, controle e revisão. Quem faz o NIST direito tem a maior parte do que a ISO vai pedir.

A escolha, então, não é sobre conteúdo. É sobre se você precisa do certificado.

Quando vale certificar

Vale quando o certificado é a chave de uma porta:

• Cliente corporativo ou órgão público que exige em edital ou em questionário de fornecedor.
• Venda para mercado regulado — saúde, financeiro, seguros.
• Empresa que já tem 27001 e pode aproveitar boa parte da estrutura de auditoria.

Não vale quando:

• Nenhum cliente pediu, e a empresa quer “estar preparada”. Preparação se faz com o trabalho, não com o papel.
• A empresa tem menos de cinquenta pessoas e dois sistemas de IA. O custo de auditoria não se paga.
• Não existe ainda inventário nem política. Certificar sem base é comprar auditoria para descobrir que falta tudo.

O caminho barato que serve para os dois

Independente da decisão sobre certificado, este é o trabalho — e ele vale por si:

1. Inventário do que já é usado, incluindo o que veio embutido em sistema comprado.
2. Uma página de política: o que pode, o que não pode, quem responde, o que fazer quando erra.
3. Um responsável com nome, não uma área. Diretoria decide, alguém executa.
4. Registro de decisão: por que ligamos isso, o que esperávamos, o que aconteceu. Três linhas por sistema.
5. Revisão marcada em calendário, semestral.

Isso é entre duas e quatro semanas de trabalho numa empresa média, custa o tempo de quem faz, e cobre a maior parte do que qualquer uma das duas referências pede — além de ser exatamente o material que uma exigência regulatória vai cobrar.

O erro comum

Empresas começam pelo documento e param no documento. Governança que existe só em PDF não sobrevive à primeira auditoria séria, porque auditor não pede o texto da política: pede o registro de que ela foi aplicada. Um inventário com data de atualização vale mais que um manual bonito.