Garantia de IA com a DQS: Governação, Segurança e Qualidade — Alinhadas.
A DQS audita sistemas de gestão em mais de 60 países há mais de 40 anos. Enquanto organismo de certificação acreditado a nível global, a DQS alarga esse mesmo historial à norma ISO/IEC 42001 para sistemas de gestão de IA, a par das normas ISO/IEC 27001 e ISO 9001, nas quais a governação da IA se integra nas estruturas existentes de segurança da informação e de qualidade — proporcionando às organizações um percurso coordenado para uma maturidade comprovada na governação da IA.
Reconhecida pela norma ISO/IEC 42001
Organismo de certificação para sistemas de gestão de IA
Auditorias alinhadas com a ISO/IEC 27001
Integração da segurança da informação para organizações que lidam com IA
Integração com a norma ISO 9001
Informação documentada e base de referência de rastreabilidade
Realização flexível de auditorias
Auditorias remotas, híbridas ou no local — realizadas onde quer que a sua equipa de governação de IA esteja sediada.
A DQS COMO PARCEIRO DE CONFIANÇA
Acreditada, global e independente — a base para uma certificação de IA credível.
A norma ISO/IEC 42001 é nova. A acreditação, a infraestrutura e a independência subjacentes a um certificado da DQS não o são. Eis como isso se traduz em números.
Mais de 3 100 auditores em todo o mundo
Para apoiar normas globais como a ISO/IEC 42001, a ISO/IEC 27001, a ISO 9001 e outras.
Mais de 65 000 locais certificados
Em todas as normas da DQS — incluindo o portfólio de garantia de IA.
Mais de 60 países
Presença de auditores locais nos principais mercados — Europa, Ásia-Pacífico, Américas.
Mais de 40 anos de experiência
Fundada em 1985 pela DGQ e pela DIN — a primeira entidade certificadora de sistemas de gestão da Alemanha.
As regras para os sistemas de IA mudaram. A maioria das estruturas de governação, não.
Estão a ocorrer três mudanças em simultâneo. A regulamentação chegou — a Lei da IA da UE estabelece obrigações vinculativas para sistemas de IA de alto risco, e estão a ser desenvolvidos quadros regulamentares semelhantes em todo o mundo. Os próprios sistemas de IA comportam-se de forma diferente do software convencional, exigindo abordagens de governação que correspondam à forma como realmente funcionam. E a norma ISO/IEC 42001 tornou-se a norma de referência que os reguladores e os clientes esperam cada vez mais ver — não daqui a cinco anos, mas agora.
A governação da IA é agora um requisito regulamentar, não uma boa prática interna.
Nos âmbitos de aplicação da Lei da IA da UE, os sistemas de IA de alto risco exigem gestão de risco documentada, documentação técnica e supervisão humana — e isto é cada vez mais avaliado em conjunto com os âmbitos existentes das normas ISO 9001 e ISO/IEC 27001, em vez de ser considerado como um exercício isolado.
Responsabilidades fragmentadas, documentação inconsistente, auditorias reprovadas.
Sem um sistema estruturado de gestão da IA, as organizações correm o risco de uma responsabilidade fragmentada entre as unidades de negócio, documentação inconsistente e dificuldade em demonstrar maturidade de governação aos reguladores ou aos clientes. Quando auditadas de forma isolada, as mesmas provas são apresentadas — e questionadas — várias vezes em diferentes partes da empresa.
Um único programa de auditoria que abrange a governação, a segurança e a qualidade da IA — coordenado, calibrado e pronto para auditoria.
- Um único organismo de certificação para as normas ISO/IEC 42001, ISO/IEC 27001 e ISO 9001
- Ciclos de auditoria alinhados, evidências partilhadas, interpretação consistente entre normas e locais
- Independente da consultoria — a separação que confere credibilidade ao certificado perante reguladores e clientes
Implementação da governança da IA: Pôr a norma ISO 42001 em prática
Perspetivas práticas sobre a integração da governação da IA nos sistemas de gestão operacional.
A governação da IA não se resume a uma única norma — nem a uma única equipa.
As normas que abrangem a governação da IA sobrepõem-se à segurança da informação, à gestão da qualidade e à regulamentação específica de cada setor — não porque os quadros normativos sejam redundantes, mas porque os sistemas de IA abrangem todos estes aspetos simultaneamente. A combinação aplicável depende do que se desenvolve, do que se implementa e dos mercados em que se opera.
- ISO/IEC 42001 — Sistema de gestão da IA; abrange a classificação de riscos, a responsabilização e a monitorização contínua
- ISO/IEC 27001 — Segurança da informação; abrange os dados com os quais os sistemas de IA são treinados e que processam
- ISO 9001 — Informação documentada e controlo de processos; a base de rastreabilidade em que assenta a maior parte da governação da IA
- RegulamentoMDR da UE 2017/745 — Quando a funcionalidade de IA está incorporada num dispositivo médico
- Obrigações por níveis de risco da Lei da IA da UE — fator regulamentar; mas a estrutura de obrigações da norma ISO/IEC 42001 é a mais frequentemente utilizada para dar resposta a estas questões
QUAIS SÃO OS REQUISITOS QUE SE APLICAM A SI
O seu papel na cadeia de valor da IA determina por onde começar.
Os seus requisitos de governação da IA dependem do seu papel na cadeia de valor — quer desenvolva sistemas de IA, os implemente operacionalmente, os distribua ou os incorpore em produtos regulamentados. Eis onde cada função se enquadra normalmente.
A confiança na IA já não se constrói apenas através da tecnologia. As organizações exigem, cada vez mais, estruturas de governação que se mantenham transparentes, escaláveis e auditáveis em todas as operações internacionais e ambientes regulamentares.
Quatro camadas certificáveis — o que cada uma abrange e por que razão é importante.
Cada norma responde a uma questão diferente — sobre governação, dados, controlo de processos ou conformidade específica do setor.
Eis como as camadas se articulam entre si.
Cada camada é certificável de forma independente — e pode ser avaliada individualmente ou como parte de um programa coordenado. Em conjunto, abrangem o que os reguladores, os clientes e as suas próprias equipas irão questionar quando analisarem o seu programa de IA.
A norma ISO/IEC 42001 estabelece o sistema de gestão para a governação da IA — gestão de riscos, informação documentada, funções e responsabilidades, e monitorização contínua ao longo do ciclo de vida da IA.
A Certificação ISO/IEC 42001 — Sistema de Gestão de IA abrange a classificação de riscos, a responsabilização pela governação, a supervisão da gestão de dados e os requisitos de monitorização ao longo do ciclo de vida da IA. Aplicável a organizações que desenvolvem, implementam ou modificam substancialmente sistemas de IA.
A sua vantagem: demonstrar maturidade na governação da IA perante reguladores, clientes e parceiros — com uma referência internacional reconhecida.
Como são protegidos os dados de treino de IA, os resultados dos modelos e os dados operacionais.
Certificação ISO/IEC 27001 — A Gestão da Segurança da Informação aborda os controlos de segurança de dados relevantes para os dados de treino de IA, entradas e resultados dos modelos e acesso ao sistema. Normalmente obtida em conjunto com a ISO/IEC 42001 quando os sistemas de IA processam dados sensíveis ou pessoais.
A sua vantagem: demonstrar o tratamento seguro dos dados dos quais os seus sistemas de IA dependem.
A base de documentação e rastreabilidade em que assentam a maioria dos requisitos de governação da IA.
Certificação ISO 9001 — A Gestão da Qualidade fornece a informação documentada, o controlo de processos e a estrutura de melhoria contínua em que a ISO/IEC 42001 se baseia para organizações com um SGQ já existente.
A sua vantagem: integrar a governação da IA numa estrutura que já possa estar a utilizar, em vez de criar um sistema paralelo.
Avaliação da Conformidade com o MDR da UE 2017/745
Quando a funcionalidade de IA está incorporada num dispositivo médico, a avaliação da conformidade ao abrigo do MDR da UE aplica-se para além da governação específica da IA. Relevante para fabricantes de dispositivos de diagnóstico, monitorização ou apoio à tomada de decisões com IA.
A sua vantagem: alinhar a governação da IA com as obrigações de conformidade existentes para produtos regulamentados, em vez de as gerir separadamente.
Regulamentação da IA ao abrigo do Regulamento (UE) n.º 745/2017 (MDR): Garantir a Conformidade e a Inovação
Como a governança da IA se cruza com os requisitos regulamentares em ambientes médicos e operacionais altamente regulamentados.
Cada parte interessada coloca uma questão diferente sobre os seus sistemas de IA.
Uma entidade reguladora quer saber se os seus sistemas de IA estão sob controlo. Um cliente quer saber se os seus dados estão protegidos. As suas próprias equipas querem saber quem é o responsável quando algo muda. Estas não são as mesmas questões — e não existe uma norma única que responda a todas elas. É por isso que o programa de governação de IA adequado abrange mais do que um nível.
A certificação ISO/IEC 42001 abrange a gestão de riscos, a informação documentada e a responsabilização ao longo de todo o ciclo de vida da IA.
A certificação ISO/IEC 27001 abrange os controlos de segurança dos dados; a ISO/IEC 42001 acrescenta ainda requisitos de gestão de dados específicos para a IA.
Os requisitos de informação documentada das normas ISO 9001 e ISO/IEC 42001, em conjunto, vão ao encontro das expectativas em matéria de documentação técnica que as entidades reguladoras procuram cada vez mais.
As cláusulas relativas a funções e responsabilidades da norma ISO/IEC 42001 estabelecem a responsabilização pela supervisão dos sistemas de IA.
Os processos de melhoria contínua da norma ISO/IEC 42001 abrangem a revisão contínua à medida que os modelos, os dados e as condições operacionais se alteram.
O Regulamento MDR da UE 2017/745 e outros quadros regulamentares setoriais aplicam-se em complemento à governação específica da IA, quando relevante.
A norma ISO/IEC 42001 é cada vez mais utilizada como base operacional comum, servindo de referência na Lei da IA da UE, no NIST AI RMF dos EUA e em quadros normativos emergentes na China, no Japão, na Coreia do Sul e no Brasil.
Governança da IA no setor FinTech num mercado regulamentado
Como é que as organizações estão a dar resposta às expectativas em matéria de responsabilização, supervisão e governação nos quadros internacionais de IA em evolução.
Por que razão a regulamentação está a impulsionar a procura por uma camada de gestão da IA
Os quatro níveis de risco
A classificação dos sistemas de IA determina o nível de governação, documentação e supervisão exigido. Embora o modelo forneça uma estrutura de alto nível, as organizações devem traduzir estas categorias em medidas operacionais concretas.
Risco inaceitável (proibido)
Os sistemas de IA nesta categoria são considerados incompatíveis com os direitos fundamentais e as proteções sociais previstos na Lei da IA da UE. Estas aplicações são proibidas porque apresentam um nível inaceitável de risco para os indivíduos, a segurança pública ou os valores democráticos. As organizações devem, por conseguinte, garantir que os casos de utilização proibidos sejam identificados e excluídos através de mecanismos adequados de governação e revisão.
Risco Elevado (Requisitos regulamentares rigorosos)
Os sistemas de IA de alto risco estão sujeitos às obrigações regulamentares mais abrangentes devido ao seu potencial impacto na saúde, segurança e direitos fundamentais. Estes sistemas requerem normalmente uma gestão de risco estruturada, documentação técnica, mecanismos de monitorização e supervisão humana claramente definida ao longo de todo o ciclo de vida da IA, para garantir a conformidade contínua e o controlo operacional.
Risco limitado (requisitos de transparência)
Os sistemas de IA de risco limitado estão sujeitos principalmente a requisitos de transparência concebidos para garantir que os utilizadores permaneçam conscientes quando interagem com a inteligência artificial. As organizações devem implementar práticas claras de comunicação e divulgação, especialmente nos casos em que o conteúdo gerado pela IA ou as interações automatizadas possam, de outra forma, criar confusão ou reduzir a transparência para os utilizadores.
Risco mínimo (medidas voluntárias)
A maioria das aplicações de IA enquadra-se na categoria de risco mínimo e não está sujeita a obrigações específicas ao abrigo da Lei da IA da UE. No entanto, as organizações reconhecem cada vez mais o valor da implementação de medidas voluntárias de governação que promovam a responsabilização, a consistência operacional e a preparação a longo prazo, à medida que as expectativas regulamentares continuam a evoluir a nível global.
Uma estrutura de governação, adaptável a todos os mercados em que opera.
Para as organizações multinacionais, a governação da IA raramente se limita a um único quadro jurídico ou região operacional — os sistemas podem ser desenvolvidos num país, implementados em várias jurisdições e integrados em processos distribuídos a nível global. Embora a Lei da IA da UE continue a ser o quadro mais abrangente e o ponto de referência global mais comum, as jurisdições em todo o mundo partilham cada vez mais princípios de governação, tais como a transparência, a responsabilização, a gestão de riscos e a supervisão humana — mesmo quando a estrutura jurídica e a implementação diferem. O desafio não consiste em compreender cada quadro individualmente; consiste em construir um sistema de governação suficientemente padronizado para garantir a consistência global, mas suficientemente adaptável às expectativas regulamentares locais.
Lei da UE sobre IA
A Lei da IA da UE estabelece o primeiro quadro regulamentar intersetorial abrangente para a IA, com classificação baseada no risco, requisitos de transparência e obrigações de conformidade para sistemas de alto risco. É cada vez mais utilizada como ponto de referência global para a estrutura de governação da IA.
Os EUA recorrem a uma abordagem mais descentralizada: o quadro voluntário de gestão de riscos da IA do NIST, decretos executivos federais e um conjunto cada vez mais diversificado de legislação estadual em matéria de IA. A ênfase recai sobre a responsabilização, a cibersegurança e a gestão de riscos operacionais, em vez de uma lei intersetorial vinculativa.
A China introduziu vários quadros regulamentares que abrangem serviços de IA generativa, algoritmos de recomendação e governação algorítmica, com forte ênfase na responsabilização dos prestadores e na governação de conteúdos.
A abordagem do Japão privilegia quadros de governação voluntários e interoperáveis a nível internacional, centrados na fiabilidade operacional e na inovação industrial.
O quadro da Coreia do Sul equilibra a inovação com as obrigações de transparência e responsabilização, com uma ênfase crescente na gestão de riscos, em consonância com os debates internacionais sobre IA fiável.
Ambos os mercados continuam a desenvolver a governação da IA através de quadros em evolução, em vez de uma única lei abrangente. O Brasil está a avançar com propostas de governação da IA baseadas no risco, a par de iniciativas mais amplas de governação digital, com foco atual na responsabilização e supervisão de sistemas de elevado impacto. A Índia baseia-se numa combinação de legislação existente — a Lei das Tecnologias da Informação, a alteração às Regras das Tecnologias da Informação de 2026 que aborda os conteúdos gerados por IA, e a Lei de Proteção de Dados Pessoais Digitais — juntamente com as Orientações de Governação da IA, voluntárias e baseadas em princípios, emitidas em 2026, enquanto reguladores setoriais, como o RBI e a SEBI, desenvolvem as suas próprias expectativas de supervisão específicas para a IA.
Cinco passos desde requisitos dispersos até um programa coordenado.
Saber por onde começar — e em que ordem — é normalmente a parte mais difícil. Os passos abaixo ajudam-no a chegar lá sem trabalho desnecessário.
Identifique os seus requisitos.
Analise quais os sistemas de IA abrangidos, a sua classificação de risco ao abrigo da Lei da IA da UE e a forma como estes se relacionam com os sistemas de gestão existentes segundo as normas ISO 9001 ou ISO/IEC 27001.
Avalie a sua configuração atual.
Analise os sistemas de gestão existentes, os ciclos de auditoria e as responsabilidades internas em matéria de governação da IA.
Alinhe e consolide.
Sempre que possível, integre a governação da IA nos sistemas de gestão certificados existentes, em vez de criar uma estrutura independente.
Prepare-se para os requisitos emergentes.
Os prazos de implementação gradual da Lei da IA da UE e os quadros regulamentares em evolução nos EUA, na China, no Japão, na Coreia do Sul e no Brasil continuam a desenvolver-se.
Planeie a capacidade de auditoria com antecedência.
Garanta vagas para auditorias à norma ISO/IEC 42001 junto da sua entidade certificadora, de acordo com os seus prazos regulamentares e comerciais.
O que obtém ao certificar-se com a DQS.
Cada processo segue a mesma estrutura — desde a primeira revisão da documentação até à emissão do certificado e à vigilância contínua. Quer esteja a certificar uma ou várias normas, o processo é consistente.
PORQUÊ A DQS
Um único parceiro de auditoria para a governação da IA, a segurança dos dados e a qualidade.
Gerir as obrigações de governação da IA ao abrigo de várias normas não tem de significar lidar com vários organismos de certificação. A DQS abrange todo o âmbito num único programa — para que os ciclos de auditoria estejam alinhados, as evidências sejam partilhadas e as conclusões sejam consistentes entre as diferentes normas.
Pronto para começar?
- Diga-nos o que desenvolve, implementa ou distribui
- Identificamos quais as normas que se aplicam à sua função e definimos o âmbito
- Recebe um plano de auditoria, um ponto de contacto e uma abordagem consistente
Perguntas frequentes.
A certificação ISO/IEC 42001 é obrigatória ao abrigo da Lei da IA da UE?
Não. A Lei da UE sobre IA não menciona a certificação ISO/IEC 42001 como um requisito legal. No entanto, quando se trata de sistemas de IA de alto risco, a norma ISO/IEC 42001 é amplamente referida como uma forma estruturada de demonstrar as expectativas em matéria de gestão de riscos, documentação e supervisão humana estabelecidas pela lei.
Precisamos tanto da ISO/IEC 42001 como da ISO/IEC 27001?
Muitas organizações possuem ambas, uma vez que abrangem diferentes níveis. A norma ISO/IEC 42001 aborda a governação específica da IA — classificação de riscos, monitorização e supervisão humana. A norma ISO/IEC 27001 aborda a segurança da informação de forma abrangente, incluindo os dados com base nos quais os sistemas de IA são treinados e que processam. Nos casos em que os dados de desenvolvimento são sensíveis, é comum possuir ambas as certificações em conjunto.
O que se considera um sistema de IA de alto risco ao abrigo da Lei da IA da UE?
A Lei classifica os sistemas de IA em níveis de risco — inaceitável, elevado, limitado e mínimo. Os sistemas de alto risco são aqueles que afetam a saúde, a segurança, os direitos fundamentais ou as infraestruturas críticas, tais como determinados sistemas de recrutamento, de avaliação de crédito ou de identificação biométrica. A classificação exata depende do caso de utilização específico estabelecido nos anexos da Lei.
Como se compara a Lei da IA da UE ao NIST AI RMF dos EUA?
A Lei da IA da UE é um regulamento vinculativo e intersetorial com obrigações legais diferenciadas por níveis de risco. O Quadro de Gestão de Risco de IA do NIST é um quadro voluntário amplamente utilizado nos EUA, frequentemente a par de regras setoriais e estaduais. As organizações que operam em ambos os mercados costumam alinhar a sua governação interna — muitas vezes através da norma ISO/IEC 42001 — para cumprir ambas as regulamentações de forma consistente.
A ISO/IEC 42001, a ISO/IEC 27001 e a ISO 9001 podem ser certificadas por um único organismo de certificação?
Sim. Quando os sistemas de gestão partilham a Estrutura de Alto Nível comum utilizada nas normas ISO modernas, as auditorias podem ser coordenadas e, quando apropriado, combinadas em ciclos de auditoria integrados com um único organismo de certificação.
A norma ISO/IEC 42001 abrange especificamente os sistemas de IA generativa?
A norma ISO/IEC 42001 aplica-se aos sistemas de gestão de IA em geral e não se limita a uma técnica específica de IA. Regula a estrutura em torno de qualquer sistema de IA que uma organização desenvolva, implemente ou utilize — incluindo a IA generativa — em vez de prescrever controlos técnicos específicos para cada técnica.
As obrigações de governação da IA aplicam-se se utilizarmos ferramentas de IA de terceiros em vez de criarmos as nossas próprias?
As obrigações da Lei da IA da UE recaem de forma diferente sobre os fornecedores e os implementadores, e as obrigações dos implementadores podem continuar a aplicar-se mesmo quando o modelo de IA subjacente foi obtido junto de terceiros. Quando uma organização implementa uma ferramenta de IA de alto risco, as suas próprias obrigações de governação ao abrigo da lei e das normas de apoio podem aplicar-se independentemente de quem criou o modelo.
A governação da IA multijurisdicional pode ser gerida através de um único programa de certificação?
Para muitas organizações, sim. Embora a Lei da IA da UE, o NIST AI RMF dos EUA e os quadros normativos emergentes na China, no Japão, na Coreia do Sul e no Brasil difiram na estrutura jurídica, partilham princípios de governação comuns — transparência, responsabilização, gestão de riscos e supervisão humana. A norma ISO/IEC 42001 é cada vez mais utilizada como uma base operacional comum a que se remetem todas estas estruturas, sendo as especificidades regionais abordadas no âmbito do sistema de governação, em vez de através de certificações separadas.