A inteligência artificial deixou de ser um projeto-piloto. Está nos chatbots de apoio ao cliente, na análise de documentos, na triagem de candidaturas e em muitas funcionalidades de software vendidas a clientes europeus.
Com o Regulamento Europeu da IA a entrar em aplicação por fases, os clientes começam a perguntar aos fornecedores como controlam os seus sistemas de IA. A norma ISO/IEC 42001 dá uma resposta organizada a essa pergunta.
O que é a ISO/IEC 42001
Publicada em 2023, a ISO/IEC 42001 define os requisitos de um sistema de gestão de inteligência artificial. Não impõe tecnologias nem modelos. Exige que a organização saiba onde usa IA, que riscos isso cria para pessoas e para o negócio, e quem é responsável por cada sistema. A estrutura é a mesma da ISO/IEC 27001, o que facilita a integração para empresas que já têm um sistema de segurança da informação.
O que é avaliado
- Inventário dos sistemas de IA, próprios e de terceiros.
- Avaliação de impacto sobre as pessoas afetadas pelas decisões dos modelos.
- Origem, direitos de utilização e qualidade dos dados de treino.
- Supervisão humana nas decisões com maior impacto.
- Gestão de fornecedores de modelos e serviços de IA.
- Monitorização do desempenho e tratamento de incidentes.
Relação com o Regulamento Europeu da IA
A certificação não substitui o cumprimento da lei, mas cria a base de processos de que as empresas precisam para a documentação técnica, a gestão de riscos e a supervisão humana exigidas aos sistemas de alto risco. Para quem vende software a clientes regulados, como bancos, seguradoras ou saúde, é um argumento concreto nas avaliações de fornecedores.
Por onde começar
Erros frequentes
Os problemas mais comuns na primeira avaliação são a ausência de inventário de modelos, contratos com fornecedores de IA sem cláusulas sobre a utilização dos dados e atualizações de modelos sem qualquer verificação da qualidade das respostas.
Para empresas com poucas pessoas, a norma é proporcional: um responsável pelo sistema, um inventário simples e políticas curtas que a equipa conheça bastam para começar.
A ISO/IEC 42001 pode ser integrada com a ISO/IEC 27001 e a ISO/IEC 27701 num único sistema de gestão, com uma só auditoria interna e uma só revisão pela direção.
O primeiro passo é um inventário honesto: que ferramentas de IA a equipa já usa, onde estão integradas no produto e que dados passam por elas. Depois vem a avaliação de riscos, uma política de utilização, a definição de responsabilidades e a formação das equipas. A certificação é feita por um organismo independente acreditado. Mais detalhes sobre requisitos e etapas estão na página sobre certificação ISO/IEC 42001 em Portugal.
Sobre o autor
Aproveite a campanha:
