Contratos passam a exigir governança de IA auditável

A comprovação de governança de inteligência artificial começou a migrar do campo regulatório para o contratual. Levantamento sobre governança de IA no Brasil, publicado em maio de 2026, aponta que grandes organizações passaram a exigir padrões mínimos de governança de seus fornecedores, e descreve normas de gestão de IA funcionando como credencial para atuação em mercados internacionais. O movimento se acentuou depois que o Regulamento (UE) 2026/1744 transferiu as obrigações europeias para sistemas de alto risco de agosto de 2026 para dezembro de 2027, enquanto o Projeto de Lei 2338/2023 segue aguardando parecer do relator na Câmara dos Deputados. Estimativas públicas de organismos certificadores apontavam mais de 350 organizações certificadas até abril de 2026.

Fique por dentro das notícias que importam para você!

SIGA O ESTADO DE MINAS NO SIGA O EM NO

Publicada em dezembro de 2023 e adotada no Brasil pela ABNT em abril de 2024, a ISO/IEC 42001 se aplica a qualquer organização que forneça ou use produtos e serviços com sistemas de IA, independentemente de porte, tipo ou setor. Ela segue a mesma estrutura harmonizada da ISO/IEC 27001, de segurança da informação, e da ISO 9001, de qualidade, o que permite integrar os sistemas de gestão em vez de operá-los em paralelo. O objeto da avaliação também difere do que o mercado costuma supor. A norma não julga a qualidade técnica de um modelo, e sim a capacidade da organização de governar o ciclo de vida dos sistemas que desenvolve, fornece ou utiliza.

A estrutura do documento se divide em duas camadas. As cláusulas 4 a 10 concentram os requisitos auditáveis, cobrindo contexto da organização, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria. O Anexo A reúne 38 controles de referência distribuídos em nove domínios, que vão de políticas de IA e organização interna até dados, informação às partes interessadas, uso responsável e relacionamento com fornecedores e clientes. A ligação entre as camadas é feita pela Declaração de Aplicabilidade, documento em que a organização registra quais controles aplica e justifica cada inclusão ou exclusão, e que costuma ser o primeiro item examinado em auditoria.

Um requisito distingue essa norma das anteriores de sistemas de gestão. Além da avaliação de riscos, voltada aos efeitos sobre os objetivos da própria organização, a ISO/IEC 42001 exige uma avaliação de impacto do sistema de IA, dirigida às consequências para indivíduos, grupos de indivíduos e sociedades. São processos distintos, com documentação distinta, e a avaliação de impacto deve considerar o uso pretendido, o mau uso previsível, os contextos técnicos e sociais de implantação e as jurisdições aplicáveis. A metodologia dessa avaliação ganhou norma própria em 2025, a ISO/IEC 42005.

A supervisão humana também aparece como exigência documentada, e não como declaração de princípio. A norma orienta que a organização defina em quais estágios do ciclo de vida a supervisão será incorporada, e trata de revisores humanos com autoridade para sobrepor decisões tomadas pelo sistema. Prevê ainda que o pessoal envolvido nessa supervisão seja informado e treinado sobre o sistema que acompanha. Entre os itens que devem constar da documentação de impacto está o papel dos seres humanos na relação com o sistema, incluindo as capacidades, processos e ferramentas de supervisão disponíveis para evitar efeitos negativos.

Para Rafael Lotfi Marrocos Leite, auditor líder em ISO/IEC 42001 e CEO da VGrid, consultoria com atuação em governança de IA, cibersegurança e conformidade digital, essa é a principal fonte de mal-entendido sobre a norma. "A norma não avalia se o modelo é bom. Ela avalia se a empresa sabe quais sistemas usa, quem responde por eles e o que consegue comprovar depois", afirma. Ele aponta que a separação entre os dois processos de avaliação é onde a maioria das implantações falha. "Muita empresa faz avaliação de risco e chama de avaliação de impacto. São coisas diferentes. Uma olha para dentro, para os objetivos do negócio. A outra olha para fora, para quem é afetado pela decisão automatizada", explica.

O executivo, que pesquisa devido processo algorítmico e viés discriminatório em sistemas de inteligência artificial no mestrado em Direito do IDP, pondera que a norma tem limites que precisam ser explicitados. "Certificação demonstra maturidade de governança em um escopo definido, e não legalidade de um sistema específico. Nenhum certificado dispensa a empresa de responder pela LGPD ou pelo regulamento europeu", diz. A ressalva se conecta a um traço da própria norma, que remete a organização a estruturas complementares em segurança da informação, privacidade e qualidade, em vez de tratar a inteligência artificial como disciplina isolada. O documento indica expressamente a integração com a ISO/IEC 27001, a ISO/IEC 27701 e a ISO 9001, além de sistemas de gestão setoriais em áreas como saúde e alimentos, sob o argumento de que objetivos como segurança, privacidade e impacto ambiental devem ser geridos de forma conjunta, e não separadamente para a parcela de IA de um sistema.

Siga nosso canal no WhatsApp e receba notícias relevantes para o seu dia

A tendência de exigência contratual repete o que ocorreu com normas de segurança da informação, quando a comprovação passou a integrar editais, homologação de fornecedores e cláusulas de contrato antes de qualquer obrigação legal específica. A diferença é o ponto de partida: enquanto a segurança da informação já contava com décadas de prática corporativa, a governança de sistemas de IA parte de uma base recente, com inventários incompletos e responsabilidades ainda não atribuídas na maioria das organizações. Com o calendário europeu estendido até dezembro de 2027 e o marco brasileiro em tramitação, a norma voluntária tende a ocupar o espaço em que a lei ainda não chegou, funcionando como o padrão pelo qual empresas passam a ser avaliadas por clientes, parceiros e auditores.