Toda conversa sobre governança de IA chega em algum momento às siglas. E é aí que muita empresa desiste, achando que precisa tocar três projetos simultâneos com equipe que já não dá conta do que tem.
Não precisa. As três são mapas complementares, e cada uma responde a uma pergunta diferente.
O que cada uma resolve
| Referência | Natureza | Pergunta que responde |
|---|---|---|
| ISO/IEC 42001 | Norma certificável | Como estruturar um sistema de gestão de IA? |
| NIST AI RMF | Framework voluntário | Como organizar o trabalho de risco ao longo do ciclo de vida? |
| Princípios da OCDE | Princípios de política | Que conduta orienta um uso confiável e responsável? |
A ISO ajuda a organizar o sistema de gestão. O NIST ajuda a organizar o trabalho de risco. A OCDE ajuda a orientar princípios e conduta. Nenhuma exige que você comece pela outra.
ISO/IEC 42001
É a norma de sistema de gestão de inteligência artificial. A lógica é a mesma de outras normas de sistema de gestão que sua empresa talvez já conheça, como a ISO 9001 para qualidade ou a 27001 para segurança da informação.
Ela conecta políticas, objetivos, papéis, avaliação e melhoria contínua em uma estrutura auditável. É a única das três que permite certificação por organismo acreditado.
Quando faz sentido priorizar. Quando existe demanda comercial concreta, tipicamente cliente grande ou processo de compra que exige a certificação, ou quando a empresa já opera outros sistemas de gestão certificados e pode aproveitar a estrutura existente.
Quando não faz sentido. Como ponto de partida de uma empresa que ainda não sabe onde usa IA. Certificar um sistema de gestão que descreve práticas inexistentes é um exercício caro e vazio.
NIST AI RMF
É um framework voluntário de gestão de risco em inteligência artificial, publicado pelo instituto de padrões dos Estados Unidos. Não é certificável e não pretende ser.
Ele organiza o trabalho em funções que cobrem governar, mapear, medir e gerenciar, aplicadas ao longo de todo o ciclo de vida do sistema. A ênfase está em identificar, medir e tratar risco de forma contínua, e não em um checkpoint de aprovação.
Quando faz sentido priorizar. Quando a empresa quer estruturar a prática de risco sem o custo e o prazo de um processo de certificação. É o mais adaptável dos três a contextos de médio porte, porque não impõe formato.
Na prática, a lógica de classificar risco por impacto e autonomia é uma simplificação operacional coerente com esse tipo de abordagem.
Princípios da OCDE
São princípios de política pública para uma inteligência artificial confiável, adotados por dezenas de países. Tratam de temas como transparência, robustez, responsabilização e valores humanos.
Não são um método de implementação e não devem ser tratados como tal. O valor deles é outro: informam boa parte da regulação em discussão no mundo, inclusive a lógica de classificação por risco que aparece em textos legislativos de várias jurisdições.
Quando faz sentido priorizar. Na definição do nível corporativo, quando a liderança precisa declarar quais usos são incompatíveis com os valores da organização. É um vocabulário útil para essa conversa.
O que elas têm em comum
Apesar das diferenças de natureza, as três convergem em quatro exigências práticas:
- Saber onde a IA é usada. Nenhuma delas funciona sem inventário. É o pré-requisito comum, e a razão pela qual o inventário de casos de uso vem antes de qualquer discussão de norma.
- Avaliar risco de forma proporcional. Todas rejeitam tratamento uniforme para casos de impacto diferente.
- Nomear responsáveis. Todas exigem que se saiba quem responde por cada sistema.
- Manter evidência. Todas assumem que decisões precisam ser reconstruíveis depois.
Se sua empresa fizer bem essas quatro coisas, ela terá construído a base que qualquer das três exige, e boa parte do que uma futura regulação vai pedir.
Por onde uma empresa de médio porte começa
Não por nenhuma das três.
Uma empresa pequena ou média não precisa começar buscando um certificado. Ela precisa começar a ter decisões repetíveis, responsáveis definidos e evidência suficiente do risco que assume.
A sequência que funciona:
Primeiro, inventário. Três a seis conversas com as áreas que produzem material que circula fora do time.
Depois, classificação. Duas dimensões, três faixas, controles proporcionais.
Depois, controles nos casos de faixa alta. Normalmente menos de dez casos.
Depois, ciclo de revisão. Trimestral nos casos críticos, e sempre que mudar modelo, dado, público, decisão ou time.
Só então, se fizer sentido comercialmente, a discussão de certificação. E aí o inventário e o histórico de decisões construídos nas etapas anteriores serão exatamente o material exigido pelo auditor.
Essa ordem não é uma opinião sobre as normas. É o reconhecimento de que todas elas pressupõem informação que a empresa só obtém fazendo o trabalho de base.
O erro de começar pela norma
Vale nomear o padrão de falha, porque ele é frequente.
A empresa decide fazer certo, monta um comitê, contrata consultoria e começa a escrever a política definitiva mapeando cláusula por cláusula da norma escolhida. Seis meses depois existe um documento de oitenta páginas, uma matriz de conformidade preenchida e nenhum caso de uso mapeado.
Enquanto isso, o time continua usando IA todo dia sem nenhum registro. A política descreve uma empresa que não existe.
Começar pequeno não significa começar sem rigor. Significa concentrar onde o impacto é maior.
Perguntas frequentes
Preciso escolher uma das três? Não. Elas não competem. O mais comum é usar a lógica de risco do NIST no dia a dia, os princípios da OCDE para orientar a decisão de nível corporativo, e considerar a ISO 42001 apenas se houver demanda comercial.
Quanto tempo leva uma certificação ISO 42001? Varia muito com o porte e com a maturidade prévia. Empresas que já operam outros sistemas de gestão certificados partem de uma base bem melhor. O ponto relevante é que o prazo se conta a partir de práticas existentes, não de práticas escritas.
O NIST AI RMF vale no Brasil? Não é norma legal em lugar nenhum, é framework voluntário. Seu valor é metodológico e independe de jurisdição. As obrigações legais brasileiras vêm da LGPD e da regulação setorial aplicável.
Certificação reduz risco jurídico? Ajuda a demonstrar diligência, o que tem peso. Mas não substitui o cumprimento das obrigações legais aplicáveis nem elimina responsabilidade por incidente.
Construa a base antes da norma. O guia de governança de IA traz inventário, matriz de risco, controles mínimos por faixa e um autodiagnóstico de maturidade, que é o material que qualquer uma das três referências vai exigir. Baixar gratuitamente.