ISO 42001 é obrigatória? O que a lei já exige hoje

ISO 42001 é obrigatória por lei em nenhum país hoje, nem no Brasil nem na União Europeia. Sou auditor de sistemas e vejo o mesmo padrão se repetir com toda norma nova: ela é voluntária no papel e, na prática, quem cobra não é o legislador. É o cliente que assina o contrato, o auditor externo ou o investidor fazendo due diligence antes de comprar a empresa.

É por isso que eu prefiro trocar a pergunta “é obrigatório” por uma mais útil: onde a sua empresa está hoje em relação aos dez requisitos e aos controles do Anexo A da norma. O Gap Analysis gratuito devolve esse retrato em menos de uma hora, sem comprometer nada. Só depois de ver o tamanho do buraco a pergunta “vale certificar” começa a fazer sentido.

Por que essa pergunta aparece tanto agora

Três coisas empurram a ISO 42001 para dentro da sala da diretoria ao mesmo tempo. A empresa já usa IA generativa em algum processo, mesmo que ninguém tenha aprovado isso formalmente. Um cliente grande, um investidor ou uma auditoria externa começou a perguntar como esse uso é controlado. E o noticiário mistura ISO 42001, EU AI Act e PL 2338 como se fossem a mesma coisa, o que não ajuda ninguém a decidir nada.

Eu trato essas três fontes de pressão separadamente, porque cada uma obriga de um jeito diferente: a primeira é norma técnica, a segunda é lei europeia com efeito extraterritorial limitado, a terceira é um projeto de lei brasileiro que ainda não foi votado. Confundir as três leva a duas decisões ruins. A primeira é ignorar o assunto porque “não é lei ainda”. A segunda é certificar às pressas, achando que isso resolve uma obrigação legal que nem existe. A certificação ISO 42001 voluntária continua sendo a única via disponível hoje, sem nenhuma lei obrigando ninguém a buscá-la.

O que já é obrigatório hoje, com ou sem ISO 42001

Enquanto a lei brasileira de IA não sai do papel, outras obrigações já valem. A LGPD trata de decisão automatizada desde que entrou em vigor, no artigo 20, e qualquer sistema que decida crédito, contratação ou preço sem revisão efetiva cai nesse guarda-chuva, com ISO ou sem. Vale um detalhe que pouca gente nota: a redação original do artigo 20, aprovada pelo Congresso, previa revisão feita por pessoa natural, revisão humana explícita no texto. Essa palavra caiu na versão final sancionada⁵, mas a exigência de revisão efetiva, capaz de mudar o resultado e não só confirmar o que a máquina decidiu, continua valendo. Essa obrigação roda desde 2020, sem esperar nenhuma lei de IA nova.

O cenário mais comum que encontro hoje, fora da LGPD, é ISO 42001 em contrato com cliente: uma cláusula de due diligence, de licitação ou de renovação pedindo evidência de gestão de dados e de modelos de IA. Auditoria externa, Big Four ou não, pergunta por controle de acesso, log e rastreabilidade de decisão de qualquer sistema crítico, com IA ou sem.

Uma das auditorias que conduzi foi de controles de TI sob SOX numa mineradora, aprovada pela Ernst & Young sem ressalvas. Não foi um caso de ISO 42001, a norma nem existia com esse escopo na época do projeto, mas o mecanismo de pressão é o mesmo que vejo hoje em governança de IA: o auditor externo não pergunta se você tem certificado, ele pergunta se você tem controle documentado, testável e com dono.

O trabalho que realmente consome tempo nesse tipo de projeto não é a auditoria em si. É a montagem da política, do inventário de sistemas de IA e dos modelos de avaliação de risco que sustentam qualquer certificado depois. Isso eu chamaria de premissa, não de fato medido: uma avaliação de impacto de um sistema de IA de porte médio costuma levar entre 80 e 120 horas de trabalho qualificado, variando com a maturidade documental que a empresa já tem. Quando essa base documental não existe, os modelos de política e inventário de sistemas de IA encurtam a parte que mais atrasa um projeto: a organização do que já deveria estar escrito antes de qualquer auditor chegar.

EU AI Act e ISO 42001: o que a certificação cobre, e o que não cobre

Esse é o ponto que mais gente erra, incluindo consultoria que vende a certificação como se fosse escudo jurídico. O EU AI Act prevê, no Artigo 40, que sistemas de IA de alto risco em conformidade com normas harmonizadas publicadas no Jornal Oficial da União Europeia são presumidos conformes com os requisitos do regulamento². A chave está em “publicadas no Jornal Oficial”: a presunção não nasce da qualidade técnica da norma, nasce de um procedimento formal de citação que a Comissão Europeia controla.

A ISO/IEC 42001 não passou por esse procedimento e não está citada no Jornal Oficial⁴. A norma desenhada especificamente para responder ao Artigo 17 do EU AI Act é a EN 18286, não a ISO 42001⁴. São normas com objetos diferentes: a ISO 42001 certifica um sistema de gestão organizacional de IA; o AI Act regula cada sistema de IA de alto risco individualmente, como produto, no momento em que entra no mercado.

Para quem opera só no Brasil e não vende para a União Europeia, esse detalhe jurídico pesa pouco no dia a dia. Para quem tem cliente europeu, fornece modelo de IA para empresa europeia ou mantém filial lá, ele muda a forma de apresentar a certificação: como evidência de maturidade de gestão, não como blindagem legal. Resumindo o mecanismo: a presunção de conformidade ISO 42001 não existe ainda porque falta o procedimento de citação no Jornal Oficial, não porque a norma seja fraca. Eu detalhei esse comparativo na análise completa entre ISO 42001 e o EU AI Act.

PL 2338 e ISO 42001: o que a lei brasileira já decide?

O Senado aprovou o texto do PL 2338/2023 em dezembro de 2024 e o enviou para a Câmara dos Deputados³. Desde então, o projeto está parado numa comissão especial esperando o parecer do relator, com a votação em plenário empurrada para depois das eleições de outubro de 2026. A ementa fala em desenvolvimento, fomento e uso ético e responsável da IA com base na centralidade da pessoa humana³, um texto amplo, de princípios, que ainda vai receber emenda até chegar numa forma final.

Isso significa que, hoje, nenhuma obrigação do PL 2338 está em vigor, porque o projeto não é lei. Eu desconfio de quem afirma categoricamente o que o texto final vai exigir sobre normas técnicas ou certificação: a Câmara já incorporou mais de trinta propostas apensadas ao projeto original, e esse volume de emenda costuma mudar detalhe de redação até o fim. O que dá para afirmar com segurança é a estrutura geral, regulação baseada em risco, parecida com o desenho do EU AI Act, e não uma lista fechada de normas obrigatórias.

Quando vale certificar mesmo sem lei te obrigando

Eu recomendo considerar a certificação em três situações concretas, não como regra geral para qualquer empresa que use IA. A primeira é quando o cliente já pede, formal ou informalmente, numa licitação ou num contrato B2B. A segunda é quando a empresa vende produto ou serviço baseado em IA para o mercado europeu e precisa mostrar maturidade de gestão, mesmo sabendo que isso não é blindagem legal automática. A terceira é quando o conselho ou o jurídico já está nervoso o bastante para pedir alguma evidência formal, e a alternativa seria inventar um processo do zero.

Fora dessas três situações, eu normalmente recomendo o caminho mais barato primeiro: inventário dos sistemas de IA em uso, política curta assinada pela diretoria, e só depois avaliar se o investimento na certificação completa se paga. Esse caminho mais barato falha quando a empresa já tem três ou quatro clientes grandes pedindo evidência formal ao mesmo tempo: nesse ponto, o custo de responder cada due diligence manualmente supera o custo de organizar a documentação uma vez e reaproveitar para todos os clientes.

Vale olhar também o mapa de controles do Anexo A antes de decidir, porque boa parte do esforço de certificação é redução de retrabalho. Empresa que já tem ISO 27001 implantada reaproveita controle de segurança da informação e reduz o escopo do que falta para a ISO 42001. Quem está começando do zero, nos dois sistemas de gestão, paga o preço cheio das duas implantações, e eu prefiro deixar isso claro antes de alguém assinar qualquer proposta.

O que eu decidiria no seu lugar

Se você chegou até aqui perguntando se é obrigatório, a resposta certa depende de quem está te cobrando, não de um “sim” ou “não” simples. Cliente, auditor e investidor já cobram, mesmo sem lei nenhuma. O legislador brasileiro ainda não decidiu nada sobre o assunto, e o legislador europeu decidiu, mas não do jeito que boa parte da consultoria está vendendo por aí. Antes de contratar qualquer certificação, eu começaria pelo inventário: liste os sistemas de IA que a empresa já usa, quem é o dono de cada um, e só depois decida se o próximo passo é um gap analysis, uma política interna ou a certificação completa.