Contratos passam a exigir governança de IA auditável

A comprovação de governança de inteligência artificial começou a migrar do campo regulatório para o contratual. Levantamento sobre governança de IA no Brasil, publicado em maio de 2026, aponta que grandes organizações passaram a exigir padrões mínimos de governança de seus fornecedores, e descreve normas de gestão de IA funcionando como credencial para atuação em mercados internacionais. O movimento se acentuou depois que o Regulamento (UE) 2026/1744 transferiu as obrigações europeias para sistemas de alto risco de agosto de 2026 para dezembro de 2027, enquanto o Projeto de Lei 2338/2023 segue aguardando parecer do relator na Câmara dos Deputados. Estimativas públicas de organismos certificadores apontavam mais de 350 organizações certificadas até abril de 2026.

Publicada em dezembro de 2023 e adotada no Brasil pela ABNT em abril de 2024, a ISO/IEC 42001 se aplica a qualquer organização que forneça ou use produtos e serviços com sistemas de IA, independentemente de porte, tipo ou setor. Ela segue a mesma estrutura harmonizada da ISO/IEC 27001, de segurança da informação, e da ISO 9001, de qualidade, o que permite integrar os sistemas de gestão em vez de operá-los em paralelo. O objeto da avaliação também difere do que o mercado costuma supor. A norma não julga a qualidade técnica de um modelo, e sim a capacidade da organização de governar o ciclo de vida dos sistemas que desenvolve, fornece ou utiliza.

A estrutura do documento se divide em duas camadas. As cláusulas 4 a 10 concentram os requisitos auditáveis, cobrindo contexto da organização, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria. O Anexo A reúne 38 controles de referência distribuídos em nove domínios, que vão de políticas de IA e organização interna até dados, informação às partes interessadas, uso responsável e relacionamento com fornecedores e clientes. A ligação entre as camadas é feita pela Declaração de Aplicabilidade, documento em que a organização registra quais controles aplica e justifica cada inclusão ou exclusão, e que costuma ser o primeiro item examinado em auditoria.

Um requisito distingue essa norma das anteriores de sistemas de gestão. Além da avaliação de riscos, voltada aos efeitos sobre os objetivos da própria organização, a ISO/IEC 42001 exige uma avaliação de impacto do sistema de IA, dirigida às consequências para indivíduos, grupos de indivíduos e sociedades. São processos distintos, com documentação distinta, e a avaliação de impacto deve considerar o uso pretendido, o mau uso previsível, os contextos técnicos e sociais de implantação e as jurisdições aplicáveis. A metodologia dessa avaliação ganhou norma própria em 2025, a ISO/IEC 42005.

A supervisão humana também aparece como exigência documentada, e não como declaração de princípio. A norma orienta que a organização defina em quais estágios do ciclo de vida a supervisão será incorporada, e trata de revisores humanos com autoridade para sobrepor decisões tomadas pelo sistema. Prevê ainda que o pessoal envolvido nessa supervisão seja informado e treinado sobre o sistema que acompanha. Entre os itens que devem constar da documentação de impacto está o papel dos seres humanos na relação com o sistema, incluindo as capacidades, processos e ferramentas de supervisão disponíveis para evitar efeitos negativos.

Para Rafael Lotfi Marrocos Leite, auditor líder em ISO/IEC 42001 e CEO da VGrid, consultoria com atuação em governança de IA, cibersegurança e conformidade digital, essa é a principal fonte de mal-entendido sobre a norma. "A norma não avalia se o modelo é bom. Ela avalia se a empresa sabe quais sistemas usa, quem responde por eles e o que consegue comprovar depois", afirma. Ele aponta que a separação entre os dois processos de avaliação é onde a maioria das implantações falha. "Muita empresa faz avaliação de risco e chama de avaliação de impacto. São coisas diferentes. Uma olha para dentro, para os objetivos do negócio. A outra olha para fora, para quem é afetado pela decisão automatizada", explica.

O executivo, que pesquisa devido processo algorítmico e viés discriminatório em sistemas de inteligência artificial no mestrado em Direito do IDP, pondera que a norma tem limites que precisam ser explicitados. "Certificação demonstra maturidade de governança em um escopo definido, e não legalidade de um sistema específico. Nenhum certificado dispensa a empresa de responder pela LGPD ou pelo regulamento europeu", diz. A ressalva se conecta a um traço da própria norma, que remete a organização a estruturas complementares em segurança da informação, privacidade e qualidade, em vez de tratar a inteligência artificial como disciplina isolada. O documento indica expressamente a integração com a ISO/IEC 27001, a ISO/IEC 27701 e a ISO 9001, além de sistemas de gestão setoriais em áreas como saúde e alimentos, sob o argumento de que objetivos como segurança, privacidade e impacto ambiental devem ser geridos de forma conjunta, e não separadamente para a parcela de IA de um sistema.

A tendência de exigência contratual repete o que ocorreu com normas de segurança da informação, quando a comprovação passou a integrar editais, homologação de fornecedores e cláusulas de contrato antes de qualquer obrigação legal específica. A diferença é o ponto de partida: enquanto a segurança da informação já contava com décadas de prática corporativa, a governança de sistemas de IA parte de uma base recente, com inventários incompletos e responsabilidades ainda não atribuídas na maioria das organizações. Com o calendário europeu estendido até dezembro de 2027 e o marco brasileiro em tramitação, a norma voluntária tende a ocupar o espaço em que a lei ainda não chegou, funcionando como o padrõ de avaliação pelo qual empresas passam a ser avaliadas por clientes, parceiros e auditores.