ISO 42001 vs ISO 27001: qual vem primeiro?

ISO 42001 vs ISO 27001 resolvem perguntas diferentes; a dúvida real de quem decide é por onde começar. A 27001 protege os ativos de informação da empresa; a 42001 governa o sistema de IA e o efeito dele sobre quem é afetado pela decisão que ele toma. As duas compartilham a estrutura de gestão nas cláusulas 4 a 10, mas a avaliação de impacto e o Anexo A são exclusivos de cada norma.

Se a sua empresa usa IA e não tem nenhuma das duas, eu decidiria pelo risco mais caro agora, quase sempre informação, com a IA entrando depois como extensão, e essa decisão fica mais fácil quando alguém olha o que já existe antes de escolher qual norma atacar primeiro. Eu uso o mesmo raciocínio de qualquer auditoria: primeiro mapeio o que já está documentado, testável e com dono definido, porque isso determina se a estrutura comum das duas normas já está de pé ou precisa ser criada do zero. O Gap Analysis gratuito faz esse retrato em menos de uma hora e mostra, de forma concreta, se a sua empresa parte de uma base de gestão de risco já madura ou do zero absoluto, o que muda completamente a ordem certa de implantação.

O que a ISO 42001 e a ISO 27001 têm em comum

Para entender a diferença entre ISO 42001 e ISO 27001, comece pelo que não muda. As duas seguem a Estrutura Harmonizada da ISO, a mesma base que sustenta a ISO 9001¹²: contexto da organização na cláusula 4, liderança na 5, planejamento na 6, apoio na 7, operação na 8, avaliação de desempenho na 9 e melhoria na 10. Essa coincidência de numeração não é acidente. É a mesma lógica de sistema de gestão, com o mesmo ciclo de planejar, executar, verificar e corrigir, aplicada a dois objetos diferentes: a informação, na 27001, e o sistema de IA, na 42001.

Na prática, boa parte do que uma auditoria de ISO 27001 já exige serve de base direta para a 42001: política assinada pela direção, auditoria interna obrigatória na cláusula 9.2, análise crítica pela direção na 9.3 e tratamento formal de não conformidade². Mesmo a exigência de informação documentada, na cláusula 7.5, e o conceito de parte interessada, na cláusula 4.2, são idênticos nas duas normas. Muda apenas o que cada uma pede para documentar e quem conta como parte interessada: numa, fornecedor de nuvem e titular de dado; na outra, qualquer pessoa afetada pela decisão do sistema de IA, mesmo sem relação contratual com a empresa. Quem já tem comitê de risco, procedimento de auditoria interna e cultura de documentação não está recomeçando do zero quando decide entrar na governança de IA. Está estendendo um músculo que a empresa já treinou em outro contexto.

Onde a ISO 42001 e a ISO 27001 se separam

A diferença entre ISO 42001 e ISO 27001 aparece em dois lugares específicos, e é aí que vale prestar atenção de verdade. O primeiro é a cláusula 6.1.4 da ISO 42001, que exige um processo formal de avaliação do efeito do sistema de IA sobre indivíduos, grupos e sociedade ao longo de todo o ciclo de vida, incluindo o uso previsto e o uso indevido previsível¹. Não existe cláusula equivalente na ISO 27001. A 27001 pergunta o que pode dar errado para a organização. A 42001 pergunta quem pode ser afetado e como, mesmo que esse alguém nunca tenha escolhido interagir com o sistema. A ISO 42005, publicada em 2025 como guia específico para esse tipo de avaliação, detalha em que etapa do ciclo de vida fazer cada rodada e o que a documentação precisa conter³.

O segundo lugar é o Anexo A. A ISO 27001:2022 lista 93 controles organizados em quatro temas, organizacional, pessoas, físico e tecnológico². A ISO 42001 lista 38 controles, organizados em nove categorias que vão da A.2 à A.10, com foco no ciclo de vida do sistema de IA, na governança de dados usada para treinar e operar o modelo e no uso responsável¹. Um conjunto trata de segurança da informação em geral. O outro trata especificamente do comportamento e do efeito de um sistema que toma ou apoia decisões sobre pessoas.

Documentar esse recorte específico de IA costuma ser a parte mais lenta do projeto, porque a maior parte das empresas nunca escreveu uma avaliação de impacto nem um inventário de sistema de IA antes de precisar de um. Os modelos de política e inventário de sistemas de IA existem para isso: não substituem a decisão de quais controles do Anexo A se aplicam ao seu caso, mas encurtam a parte de montar, do zero, o documento que vai sustentar essa decisão.

Posso implementar ISO 42001 sem ter ISO 27001?

Posso. A ISO 42001 é uma norma independente e não exige a 27001 como pré-requisito formal. O que ela exige é que a empresa monte, do zero, a estrutura de gestão de risco que uma empresa com 27001 já tem rodando. Isso é perfeitamente viável, só custa mais tempo na largada: comitê de risco, procedimento de auditoria interna, análise crítica pela direção e cultura de documentação não nascem junto com o escopo de IA, precisam ser criados ao mesmo tempo em que o escopo de IA é definido.

Eu vi esse padrão de perto em auditoria sob SOX, não em certificação ISO 42001: o trabalho mais pesado nunca foi o controle específico, foi a estrutura de governança por trás dele. Numa auditoria de mineração sob SOX que conduzi, aprovada pela Ernst & Young sem ressalvas, a redução de 90% no tempo de troubleshooting veio exatamente dessa base: papéis definidos, evidência rastreável e revisão periódica, antes de qualquer controle específico ser avaliado. A ISO 42001 pede a mesma espinha dorsal, com um recorte diferente.

Na prática, isso costuma significar meses de trabalho antes de chegar ao primeiro controle do Anexo A. Premissa minha, baseada no volume de documentação que normalmente falta numa empresa sem nenhuma das duas normas: montar comitê de risco, procedimento de auditoria interna, análise crítica pela direção e o primeiro ciclo de avaliação de impacto consome de três a cinco meses de trabalho qualificado, só na fundação. Quem já tem a 27001 rodando pula direto para o Anexo A da 42001, porque a estrutura de gestão já está testada e com evidência acumulada. Ajuste esse número ao tamanho da sua operação, ao número de sistemas de IA já em produção e à maturidade do comitê de risco que já existe hoje.

Quem já tem a ISO 27001: o que muda na auditoria combinada

Para quem já tem a ISO 27001, a pergunta muda de “qual primeiro” para “como aproveitar o que já existe”. Como as cláusulas 4 a 10 são as mesmas, um organismo de certificação pode conduzir uma auditoria combinada ISO 42001 e ISO 27001, revisando a parte comum da estrutura de gestão uma única vez e avaliando separadamente apenas o que é específico de cada Anexo A¹². Implementar ISO 42001 e ISO 27001 juntas custa menos, no tempo de auditoria, do que implementar cada uma em ciclos separados. Isso não reduz o trabalho de implementação, que continua sendo inventariar sistemas de IA, montar a avaliação de impacto e selecionar os controles aplicáveis do Anexo A da ISO 42001. Reduz o trabalho de auditoria, porque a mesma evidência de liderança, de auditoria interna e de análise crítica pela direção serve para as duas normas.

Eu desconfio de quem promete que a 42001 “sai de graça” só porque a empresa já tem a 27001. Sai mais barata na parte de auditoria e de estrutura de gestão. Não sai mais barata na avaliação de impacto, no inventário de sistemas de IA nem no controle de fornecedor de modelo de fundação, porque isso é trabalho novo, específico de IA, que a 27001 nunca pediu de ninguém.

Por onde eu começaria, na prática

Eu começaria pelo inventário, não pela norma. Antes de decidir qual certificar primeiro, eu listaria todo sistema de IA em produção, quem é afetado por cada decisão que ele apoia ou toma, e qual norma, se alguma, já cobre parte desse risco hoje. Esse inventário normalmente revela que a resposta não é “42001 ou 27001”. É “27001 para o que já estava descoberto e 42001 para o que nunca tinha sido avaliado”, porque a maioria das empresas que eu vejo carrega um pouco das duas lacunas ao mesmo tempo, não uma de cada vez.

Para o comparativo controle por controle entre as duas normas, vale a leitura completa em ISO 42001 vs ISO 27001. Se o seu ponto de partida ainda é incerto, dois textos ajudam a decidir com mais base: como organizar um inventário de sistemas de IA antes de qualquer norma, e o que um gap analysis ISO 42001 revela sobre o tamanho real do trabalho que falta.

Qual das duas normas, hoje, deixaria a sua empresa mais exposta se um incidente acontecesse na semana que vem? É essa pergunta que decide por onde começar.

Veja também