A ISO/IEC 42001 é uma norma certificável que define como a empresa gerencia IA. O NIST AI RMF é uma estrutura voluntária, gratuita, que organiza o mesmo problema em quatro funções. Para a maioria das empresas, o caminho útil é usar o segundo como roteiro de trabalho e deixar o primeiro para quando um cliente exigir o certificado.
São os dois nomes que aparecem em toda apresentação de governança de IA, quase sempre sem explicação. Vale entender o que cada um é antes de decidir se serve.
ISO/IEC 42001, em português claro
Publicada no fim de 2023, é a primeira norma internacional para sistema de gestão de inteligência artificial. Ela segue a mesma lógica que a ISO 9001 usa para qualidade e a 27001 para segurança da informação: não diz que tecnologia usar, diz como a organização precisa se estruturar para gerenciá-la.
Na prática, ela exige que a empresa tenha:
- Política de IA aprovada pela direção, com papéis e responsáveis nomeados.
- Inventário dos sistemas de IA em uso, mantido atualizado.
- Avaliação de risco e de impacto para cada sistema.
- Controle sobre dados, fornecedores e ciclo de vida.
- Registro de decisão, auditoria interna e revisão pela direção.
É certificável, e essa é a diferença que importa. Um organismo credenciado audita e emite um certificado que a empresa pode mostrar em concorrência.
NIST AI RMF, em português claro
Publicado em janeiro de 2023 pelo instituto de padrões dos Estados Unidos, é voluntário, gratuito e não certificável. Organiza o trabalho em quatro funções:
| Função | Pergunta que responde |
|---|---|
| Govern | Quem decide, quem responde, qual é a regra escrita? |
| Map | Onde usamos IA, em que contexto, com que impacto sobre quem? |
| Measure | Como sabemos que funciona, e como sabemos quando parou de funcionar? |
| Manage | O que fazemos com o risco que sobrou, e quem monitora? |
A vantagem é o custo: zero. A desvantagem é que ninguém emite papel no fim.
As duas se contradizem?
Não. Cobrem o mesmo terreno com linguagens diferentes, e o trabalho de campo é praticamente o mesmo: inventário, avaliação de risco, controle e revisão. Quem faz o NIST direito tem a maior parte do que a ISO vai pedir.
A escolha, então, não é sobre conteúdo. É sobre se você precisa do certificado.
Quando vale certificar
Vale quando o certificado é a chave de uma porta:
- Cliente corporativo ou órgão público que exige em edital ou em questionário de fornecedor.
- Venda para mercado regulado — saúde, financeiro, seguros.
- Empresa que já tem 27001 e pode aproveitar boa parte da estrutura de auditoria.
Não vale quando:
- Nenhum cliente pediu, e a empresa quer “estar preparada”. Preparação se faz com o trabalho, não com o papel.
- A empresa tem menos de cinquenta pessoas e dois sistemas de IA. O custo de auditoria não se paga.
- Não existe ainda inventário nem política. Certificar sem base é comprar auditoria para descobrir que falta tudo.
O caminho barato que serve para os dois
Independente da decisão sobre certificado, este é o trabalho — e ele vale por si:
- Inventário do que já é usado, incluindo o que veio embutido em sistema comprado.
- Uma página de política: o que pode, o que não pode, quem responde, o que fazer quando erra.
- Um responsável com nome, não uma área. Diretoria decide, alguém executa.
- Registro de decisão: por que ligamos isso, o que esperávamos, o que aconteceu. Três linhas por sistema.
- Revisão marcada em calendário, semestral.
Isso é entre duas e quatro semanas de trabalho numa empresa média, custa o tempo de quem faz, e cobre a maior parte do que qualquer uma das duas referências pede — além de ser exatamente o material que uma exigência regulatória vai cobrar.
O erro comum
Empresas começam pelo documento e param no documento. Governança que existe só em PDF não sobrevive à primeira auditoria séria, porque auditor não pede o texto da política: pede o registro de que ela foi aplicada. Um inventário com data de atualização vale mais que um manual bonito.
A DCODER trabalha o lado prático dessas referências: inventário, regra escrita e registro — sem transformar governança em papelada. Converse com o estúdio em dcoder.io.