Como implementar ISO 42001 em 12 meses sem paralisar a operação

Implementar ISO 42001 numa empresa que já tem 20 sistemas de IA em produção é radicalmente diferente de implementar numa empresa que está começando a usar agora. O segundo cenário é mais fácil — você constrói a governança junto com o produto. O primeiro é mais comum.

Vou te contar o caminho que funciona pra esse cenário comum: empresa que já tem IA espalhada e precisa colocar ordem.

O inventário de IA: o primeiro passo que ninguém pula

Esse é o ponto onde a ISO 42001 é mais cruel. Você não pode governar o que não conhece, e a maioria das empresas tem uma noção imprecisa sobre quantos sistemas de IA estão rodando dentro de casa.

Num cliente do setor financeiro fizemos esse inventário em janeiro. A expectativa do CIO era encontrar uns 8 sistemas. Encontramos 31. Inclui:

• Modelos de credit scoring (3 versões em produção simultaneamente)
• Sistema de detecção de fraude
• Chatbot de atendimento (2 versões)
• Modelo de churn prediction
• Sistema de recomendação no app
• Análise de sentimento em reclamações
• OCR em documentos (2 fornecedores diferentes)
• API de transcrição de áudio em call center
• Plugins de IA generativa no Microsoft 365 (usados por 240 funcionários sem governança)

O último item é típico. Microsoft Copilot, ChatGPT Enterprise, Notion AI, Gemini — todas essas ferramentas processam dados e tomam decisões pequenas o tempo todo. Entram no escopo da ISO 42001 também, mesmo que sejam SaaS.

Como fazer o inventário na prática:

Semana 1: Solicitação formal aos gestores de área. Pergunta direta: "qual ferramenta com IA é usada na sua área, com qual finalidade, há quanto tempo, por quantas pessoas?"

Semana 2: Análise de licenças contratadas (TI tem a lista). Cruzar com o que os gestores reportaram. Achar as discrepâncias.

Semana 3: Análise de logs de rede pra identificar tráfego para APIs de IA conhecidas (OpenAI, Anthropic, Google Vertex, AWS Bedrock). Encontrar shadow AI.

Semana 4: Consolidação num inventário único, com classificação preliminar de risco.

O ponto que muda tudo: shadow AI

Shadow AI e o equivalente IA do shadow IT — ferramentas com IA usadas internamente sem governanca. ChatGPT pessoal pra escrever proposta. Plugin de IA no navegador. Copilot rodando em conta pessoal vinculada ao corporativo.

Em quase todo cliente, encontro 30-40% mais sistemas de IA do que o inventario inicial declarou. E quase sempre shadow AI.

Detectar shadow AI exige tecnica: analise de trafego de rede (DNS pra dominios de IA conhecidos), revisao de extensoes de browser, auditoria de cartoes corporativos (assinaturas de IA), questionario direto e nao-punitivo aos funcionarios.

A norma exige que o inventario seja completo. Se a auditoria descobre shadow AI nao mapeado, e nao-conformidade automatica.

Política de uso de IA: o documento que precisa existir antes de tudo

Antes de implementar qualquer controle, a empresa precisa ter uma política de uso de IA formalmente aprovada pela diretoria.

Não é um documento longo. As políticas que funcionam têm entre 6 e 12 páginas. Cobrem:

• Princípios de uso responsável de IA na empresa
• Classificação de risco dos sistemas (baixo, médio, alto)
• Obrigações por nível de risco
• Processo de aprovação de novos sistemas de IA
• Regras sobre uso de IA generativa por funcionários
• Responsabilidades (AI Owner, comitê, DPO, segurança)
• Indicadores de monitoramento
• Processo de gestão de incidentes

A política precisa estar aprovada pela diretoria, datada, com versão controlada e comunicada a todos os funcionários. Sem isso, o auditor da ISO 42001 não tem o que examinar.

Os topicos que toda politica de IA deveria cobrir

Politicas curtas que funcionam costumam ter os seguintes blocos:

• Principios de uso responsavel (justica, transparencia, accountability, privacidade, robustez)
• Classificacao de risco e regras por nivel
• Processo de aprovacao de novos sistemas de IA
• Regras sobre IA generativa por funcionarios (o que pode, o que nao pode, dados sensiveis)
• Responsabilidades (AI Owner, comite, DPO, seguranca)
• Indicadores monitorados e frequencia de reporting
• Processo de gestao de incidentes de IA

Mais do que isso e geralmente padding. Menos do que isso e incompleto.

Avaliação de risco por sistema: como priorizar

Aqui você descobre quais sistemas vão consumir 80% do esforço de governança. A boa notícia: não são todos.

O método que uso classifica cada sistema em três dimensões:

Impacto da decisão — o sistema decide algo que afeta direitos, finanças ou bem-estar de pessoas? Ou é só uma ferramenta de produtividade interna?

Autonomia — o sistema decide sozinho ou tem humano no loop? Quanto menos humano, mais risco.

Reversibilidade — se a decisão estiver errada, dá pra reverter facilmente, ou o dano é permanente?

Cruzando essas três dimensões você chega em três níveis: baixo risco (ferramenta interna, com humano no loop, decisão reversível), médio risco (alguma autonomia, impacto moderado) e alto risco (autonomia significativa, decisão crítica, baixa reversibilidade).

Pra cada nível, intensidade de controle diferente. Sistema de baixo risco: documentação básica, revisão anual. Sistema de alto risco: documentação completa, monitoramento contínuo, revisão trimestral, plano de contingência, mecanismo de explicabilidade.

O exemplo concreto que ajuda na classificacao

Pra entender intuitivamente os três níveis, exemplos concretos:

Baixo risco: sistema interno de classificação de tickets de suporte. Erro causa retrabalho, não causa prejuízo material. Humano revisa todos os casos antes de fechar.

Médio risco: chatbot de atendimento ao cliente. Erro pode causar reclamação pública ou perda pontual de cliente. Humano entra no loop apenas em casos escalados.

Alto risco: modelo de credit scoring que decide aprovação de crédito. Erro causa perda financeira direta e pode caracterizar discriminação algorítmica. Decisão autônoma na maioria dos casos.

Cada nível exige rigor diferente de governança. Aplicar rigor de alto risco em sistema de baixo risco é desperdício. Aplicar rigor de baixo risco em sistema de alto risco é exposição.

Controles e evidências: o que o auditor vai pedir

O auditor de ISO 42001 vai querer ver evidências concretas, não declarações genéricas. Para cada sistema no inventário, ele pode pedir:

• Documentação técnica do sistema (arquitetura, dados de treinamento, modelo)
• Avaliação de impacto e risco datada e assinada
• Registro de testes de viés realizados
• Logs de monitoramento de drift de modelo
• Evidência de revisão periódica
• Plano de contingência caso o sistema falhe
• Histórico de incidentes e como foram tratados
• Métricas de performance e qualidade

Empresa que tem isso organizado, passa em uma semana. Empresa que não tem, leva 4 meses pra arrumar pra auditoria.

O que eu recomendo: criar um dossiê único por sistema. Cada sistema de IA classificado como médio ou alto risco tem uma pasta na intranet com todos esses documentos. Atualização semestral. Aprovação do AI Owner.

O dossie por sistema: estrutura sugerida

O dossie unico por sistema de IA, na pratica, fica organizado em 8 secoes:

1. Descricao do sistema e finalidade
2. Classificacao de risco
3. AI Owner e responsabilidades
4. Documentacao tecnica (arquitetura, dados, modelo)
5. Avaliacao de impacto e risco
6. Controles aplicados
7. Historico de monitoramento e revisoes
8. Registro de incidentes

Cada secao com data de ultima atualizacao. Tudo numa pasta da intranet (SharePoint, Google Drive, Confluence — qualquer ferramenta). Acesso controlado.

Pra cada sistema medio ou alto risco, esse dossie e o que o auditor vai pedir primeiro.

Os 3 meses antes da auditoria de certificação

Se sua empresa decidiu ir pra certificação plena, a reta final é crítica.

Mês -3: Auditoria interna completa. Você ou um consultor independente atua como auditor externo. Identifica todas as não-conformidades. Plano de ação pra cada uma.

Mês -2: Correção das não-conformidades maiores. Foco em itens que podem barrar a certificação. Aqui você descobre se vai conseguir certificar no ciclo planejado ou se precisa adiar.

Mês -1: Refinamento. Treinamento das pessoas que vão ser entrevistadas pelo auditor. Simulação de auditoria. Última revisão de documentação.

Mês 0: Auditoria de certificação. Estágio 1 (revisão documental) + Estágio 2 (auditoria no campo). Geralmente 3-5 dias presenciais para empresa de médio porte.

Custo do organismo certificador: entre R$ 35 mil e R$ 80 mil, dependendo do tamanho e complexidade. Certificação válida por 3 anos, com auditorias de manutenção anuais (cerca de 40% do custo inicial cada).

Uma observação importante: não pague organismo de certificação até estar pronto. Auditor reprovando é caro — você paga a auditoria, recebe a lista de não-conformidades, paga nova auditoria de seguimento meses depois. Já vi cliente queimar R$ 60 mil em duas tentativas.

Faz a auditoria interna primeiro. Confirma que está sólido. Aí marca o externo. A taxa de aprovação no primeiro ciclo depende quase 100% disso.

A fintech que comecei o artigo mencionando? Está no caminho de certificação em janeiro do ano que vem. Janeiro, não outubro como o plano inicial. Por quê? Porque na auditoria interna que fizemos em abril descobrimos 14 não-conformidades menores e 2 maiores. Corrigir leva tempo. Vale a pena ir 3 meses mais devagar do que reprovar publicamente.

O risco de marcar a auditoria cedo demais

Pressao comercial pra ter certificado rapido empurra muito CIO a marcar auditoria antes da empresa estar pronta. Resultado: reprova. Custo: dobrado (auditoria inicial + auditoria de seguimento) e atraso pior ainda no calendario.

Minha regra: so marca auditoria depois que a auditoria interna nao encontra nao-conformidade maior. Se ainda tem nao-conformidade maior aberta, adiar. Custa um pouco mais de tempo, mas evita queimar dinheiro e reputacao.

Empresa que adia 2 meses e certifica passa parecer profissional. Empresa que acelera e reprova passa parecer despreparada. O custo reputacional disso e real, especialmente em mercados B2B onde a noticia circula.

Os primeiros 90 dias: estrutura mínima viável

Quem começa do zero e quer demonstrar resultado em 90 dias precisa focar em três entregáveis concretos: política aprovada, inventário inicial, comitê funcionando. Tudo o resto pode esperar a fase seguinte.

A política de IA tem que ser curta. Vejo cliente perder 6 meses tentando produzir documento de 50 páginas — e nunca aprovar nada. O que funciona é política de 4-8 páginas com: declaração de princípios, escopo de aplicação, papéis e responsabilidades, requisitos mínimos pra novos projetos, processo de exceção. Aprovação pelo comitê executivo. Revisão anual.

O inventário inicial não precisa ser perfeito — precisa existir. Identifique todos os sistemas em produção ou em desenvolvimento que usem aprendizado de máquina, processamento de linguagem natural, visão computacional ou tomada de decisão automatizada. Pra cada um, registre: nome, área dona, finalidade, dados usados, fornecedor (se externo), nível de risco preliminar. Planilha basta no início.

O comitê de governança reúne mensalmente nos primeiros 6 meses, depois trimestralmente. Composição mínima: representantes de tecnologia, jurídico, riscos, ética/compliance, e área de negócio sênior. Pauta inicial focada em: revisar inventário, aprovar política, definir prioridades de implementação.

Essa estrutura mínima viável estabelece base institucional. A partir dela, expansão ordenada.

Avaliação de impacto: o documento que protege juridicamente

A norma exige avaliação de impacto algorítmico (AIA) para sistemas de IA de alto risco. Esse documento, em caso de questionamento regulatório ou litígio, é o instrumento de defesa principal. Empresa que tem AIA bem feita defende decisão. Empresa sem AIA assume responsabilidade objetiva.

O conteúdo mínimo de uma AIA defensável: descrição do sistema e da decisão automatizada, base legal e legitimidade, identificação dos titulares afetados, análise de riscos (discriminação, viés, erro material), medidas mitigatórias adotadas, mecanismos de revisão humana, plano de monitoramento contínuo.

O tempo médio para produzir uma AIA séria pra um sistema de risco moderado-alto: 80-120 horas-pessoa, distribuídas entre o time de IA, jurídico e a área de negócio. Custo monetário típico: R$ 30-80 mil quando feito internamente, R$ 80-200 mil com consultoria especializada.

Não é entregável simples. Mas é o que separa empresa que opera com responsabilidade demonstrável de empresa que opera no escuro. Em fiscalização ou litígio, a diferença vale milhões.

Monitoramento em produção: o controle que mais falha

Modelo de IA não é software estático — ele degrada com o tempo. Dados de entrada mudam, padrões evoluem, vieses emergem. Sistema que funcionava bem em janeiro pode estar tomando decisões problemáticas em julho. Por isso o monitoramento contínuo é controle crítico — e é onde mais empresas falham.

O monitoramento mínimo aceitável tem 4 dimensões: performance (acurácia, precisão, recall comparados ao baseline), drift (mudança na distribuição dos dados de entrada), fairness (paridade de outcomes entre grupos demográficos), operação (latência, disponibilidade, erros).

Cada dimensão precisa de thresholds definidos e alertas automatizados. Quando o threshold é violado, processo formal de investigação é disparado. Pode resultar em retreinamento, ajuste de regras, ou suspensão temporária do sistema.

Investimento típico em plataforma de monitoramento (MLOps tooling): R$ 60-200 mil/ano em empresa de médio porte. Esforço de manutenção: 1-2 FTE dedicados. Sem isso, sistema vira caixa-preta — e em fiscalização, caixa-preta é responsabilidade objetiva.