Governança para levar a IA do piloto ao resultado
A maioria das empresas que investe em IA ainda não vê o retorno. Cerca de 6% transformam a IA em retorno acima do retorno dos concorrentes, e três em cada quatro usam IA em várias áreas sem ter retorno melhor que o deles. Um Sistema de Gestão de IA dá a cada sistema um dono, finalidade, risco avaliado e indicador de valor.
Fonte: BCG, How AI Leaders Create Competitive Advantage, 2026
- Inventário de toda a IA em uso, inclusive a de fornecedores
- Risco e impacto avaliados antes de cada uso novo
- Prontidão para a auditoria de certificação ISO/IEC 42001
ISO/IEC 42001
Os cinco pilares de um Sistema de Gestão de IA
Com base na ISO/IEC 42001, que possui 38 controles próprios de IA.
-
Contexto e liderança
O papel da organização em cada sistema, o escopo do sistema de gestão e uma política de IA aprovada pela direção.
-
Riscos e impactos
Critérios comuns para avaliar e tratar riscos, avaliação de impacto em pessoas e na sociedade e a Declaração de Aplicabilidade dos controles.
-
Ciclo de vida e dados
Requisitos para cada etapa, da especificação ao monitoramento em produção, com qualidade e proveniência dos dados.
-
Terceiros e transparência
Responsabilidades repartidas com fornecedores e clientes, informação para os usuários e comunicação de incidentes.
-
Desempenho e melhoria
Objetivos com indicadores, auditoria interna, análise crítica pela direção e ação corretiva em ciclo.
Modalidades
Cada modalidade inclui a anterior. A organização começa pelo diagnóstico e decide o próximo passo com o resultado em mãos.
- Ponto de partida
Diagnóstico de maturidade em IA
Que IA a organização usa, com que risco, com que valor e com que maturidade de governança, em nove dimensões ligadas à norma.
- Incluso: Inventário dos sistemas de IA
- Incluso: Perfil de maturidade e exposição regulatória
- Não incluso: Plano de adequação
- Não incluso: Implantação do sistema de gestão
- Diagnóstico e plano
Plano de adequação
A análise de lacunas na ISO/IEC 42001, cláusula a cláusula e controle a controle, com o escopo, o modelo de governança e um roadmap priorizado.
- Incluso: Inventário e perfil de maturidade
- Incluso: Análise de lacunas e roadmap
- Não incluso: Implantação do sistema de gestão
- Do diagnóstico à certificação
Implantação do AIMS
O sistema de gestão completo, em operação por um ciclo de auditoria interna e de análise crítica, até a pré-auditoria de certificação.
- Incluso: Diagnóstico e plano de adequação
- Incluso: Política, processos e controles implantados
- Incluso: Preparação para a auditoria de certificação
O método
Cinco fases, no ciclo das normas de sistema de gestão. Cada fase termina com uma entrega aprovada pela direção.
-
01
Diagnosticar
Descoberta da IA em uso, entrevistas, triagem regulatória de cada caso de uso e nota de maturidade por evidência.
-
02
Planejar
Análise de lacunas, escopo, comitê de IA, alçadas de aprovação por classe de risco, roadmap e business case.
-
03
Implantar
Política, processos de risco e de impacto, fluxo de entrada de casos de uso, requisitos de ciclo de vida, cláusulas de fornecedor e formação das equipes.
-
04
Operar e medir
Monitoramento dos sistemas em produção, auditoria interna, análise crítica pela direção e ações corretivas.
-
05
Certificar e melhorar
Pré-auditoria, apoio nas auditorias do organismo certificador e melhoria contínua depois da certificação.
O que você recebe
Documentos e processos que ficam com a organização e sustentam a auditoria de certificação.
-
01
Inventário de sistemas de IA
Uma ficha por sistema, com finalidade, dono, dados, pessoas afetadas e classe de risco.
-
02
Política de IA
Aprovada pela direção e alinhada às políticas de segurança, privacidade e qualidade.
-
03
Fluxo de entrada de casos de uso
Formulário, questionário de risco e alçadas de aprovação, com uma trilha rápida para o baixo risco.
-
04
Matriz de riscos de IA
Critérios de aceitação, riscos avaliados e plano de tratamento com responsáveis.
-
05
Avaliação de impacto
O efeito de cada sistema relevante em pessoas, grupos e na sociedade, avaliado antes do uso.
-
06
Declaração de Aplicabilidade
Os controles que se aplicam, com a justificativa de cada inclusão e exclusão.
-
07
Objetivos e indicadores
Metas mensuráveis para os sistemas e para a governança, com o painel que as acompanha.
-
08
Programa de letramento em IA
Formação por papel, de quem desenvolve a quem usa, com registro das evidências.
-
09
Auditoria interna e análise crítica
O primeiro ciclo completo, que o organismo certificador pede antes da auditoria.
Por que agora
A adoção da IA cresce mais rápido que a governança
A IA entra nas empresas sobretudo por software comprado, os comitês de governança existem e poucos funcionam, e as regras de alto risco da União Europeia já têm data.
- das empresas brasileiras que usaram IA em 2025 compraram ferramentas prontas
- 80%
- Fonte: Cetic.br, TIC Empresas 2025
- das organizações consideram maduro o seu comitê de governança de IA, e 75% têm um
- 12%
- Fonte: Cisco, 2026 Data Privacy Benchmark Study
- do faturamento global é o teto da multa do EU AI Act
- 7%
- Fonte: Regulamento (UE) 2024/1689, art. 99
O que a regulação pede e como o sistema de gestão responde
A exigência
Com o AIMS
-
01A exigência: EU AI Act: as obrigações de alto risco valem a partir de 2 de dezembro de 2027 e alcançam empresas de fora da União Europeia cujos sistemas são usados lá.
Com o AIMS: Cada sistema recebe uma classe de risco no inventário, e o sistema de gestão produz a evidência de gestão de riscos, dados, documentação técnica, registros e supervisão humana.
-
02A exigência: PL 2338/2023, o Marco Legal da IA: aprovado no Senado em dezembro de 2024 e em análise na Câmara, com classificação dos sistemas por risco.
Com o AIMS: O diagnóstico registra a classe preliminar de cada sistema, e o processo de risco se ajusta quando a lei for aprovada.
-
03A exigência: LGPD: o titular pode pedir a revisão de decisões tomadas só com base em tratamento automatizado dos seus dados.
Com o AIMS: A avaliação de impacto e o controle de dados do sistema de gestão se integram ao relatório de impacto à proteção de dados e à ISO/IEC 27701.
-
04A exigência: Setor público federal: a Portaria SGD/MGI nº 5.921/2026 pede regras de uso de IA nos contratos de TI ou na política de governança de IA do órgão.
Com o AIMS: A política de IA e as cláusulas de fornecedor do sistema de gestão atendem aos dois caminhos.
-
05A exigência: Clientes, investidores e matrizes pedem evidência de governança de IA na contratação.
Com o AIMS: A certificação ISO/IEC 42001, dada por um organismo acreditado, oferece a clientes e auditores uma evidência independente e verificável.
Perguntas frequentes
Tire suas dúvidas sobre governança de IA e a ISO/IEC 42001.
O que é um Sistema de Gestão de IA (AIMS)?
É o conjunto de políticas, papéis, processos e controles com que a organização dirige, avalia e melhora o uso de IA. A ISO/IEC 42001 especifica os requisitos desse sistema e é a primeira norma certificável de gestão de IA. Ela segue a estrutura da ISO/IEC 27001 e da ISO 9001, o que facilita a integração com os sistemas de gestão que a organização já tem.
A certificação ISO/IEC 42001 garante a conformidade com o EU AI Act?
A norma não dá presunção de conformidade com o AI Act. A primeira norma harmonizada do regulamento é a EN 18286:2026, sobre o sistema de gestão da qualidade exigido dos fornecedores de IA de alto risco. O AIMS produz boa parte da evidência que o AI Act pede, como a gestão de riscos, a documentação técnica, os registros e a supervisão humana, e a conclusão sobre a conformidade legal cabe a uma análise jurídica.
Minha organização só usa IA de fornecedores. Ela precisa de um AIMS?
A norma vale para quem desenvolve, fornece ou usa IA, e o papel da organização define quais controles se aplicam. Segundo o Cetic.br, 80% das empresas brasileiras que usaram IA em 2025 compraram ferramentas prontas, e boa parte do risco está nesse uso. São dados enviados a terceiros, decisões apoiadas por modelos que a organização não controla e funcionalidades de IA ativadas em software já contratado. Os controles de terceiros do Anexo A tratam disso.
A Takter certifica a organização?
A certificação é dada por um organismo certificador acreditado, e quem implanta o sistema não pode certificá-lo. A Takter prepara a organização, faz a pré-auditoria e a acompanha nas auditorias de certificação.
Quanto tempo leva?
Depende do escopo e de quantos sistemas de IA estão nele. O diagnóstico define o escopo recomendado e o prazo das fases seguintes. Antes da auditoria de certificação, o sistema precisa ter cumprido pelo menos um ciclo de auditoria interna e de análise crítica pela direção.
O serviço atende órgãos públicos?
Sim. Para os órgãos do Sistema de Administração dos Recursos de Tecnologia da Informação (SISP), do governo federal, a Portaria SGD/MGI nº 5.921/2026 exige regras de uso de IA nos contratos de operação de infraestrutura de TI ou em uma política de governança de IA. O AIMS dá a essa política os papéis, os critérios de risco e as cláusulas de fornecedor, no padrão de uma norma internacional.
Como o AIMS se relaciona com a ISO/IEC 27001 e a LGPD?
A ISO/IEC 42001 usa a mesma estrutura da ISO/IEC 27001, e o Anexo D da norma recomenda a integração. Os controles de segurança da IA se apoiam no sistema de segurança da informação, e os de privacidade, na ISO/IEC 27701 e no programa de LGPD. A organização que já tem a ISO/IEC 27001 aproveita a auditoria interna e a análise crítica que já existem.
