Dois dos maiores desenvolvimentos na governance de IA são frequentemente confundidos: a ISO 42001 e o EU AI Act. São instrumentos de natureza diferente, e compreender a diferença é a chave para os correr de forma eficiente.
ISO 42001: um sistema de gestão
A ISO 42001 é a norma internacional para um Sistema de Gestão de Inteligência Artificial (AIMS). Tal como a ISO 27001 para segurança ou a ISO 37301 para compliance, define como se governa: políticas, objetivos, funções, controlos, auditorias e melhoria contínua. É voluntária e certificável.
O AI Act: uma regulação
O EU AI Act é lei. Define o quê tem de cumprir: classificação de risco, práticas proibidas, obrigações para IA de alto risco e de uso geral, transparência e avaliação da conformidade. É obrigatório, com sanções.
Como se relacionam
A relação é complementar. O AI Act define as obrigações; a ISO 42001 dá-lhe a maquinaria operacional para as cumprir de forma repetível. Implemente o sistema de gestão e terá a estrutura — processos de risco, supervisão, documentação — onde os requisitos do Regulamento encaixam.
- AI Act → os requisitos legais e a classificação de risco.
- ISO 42001 → os processos de governance que os satisfazem.
- Controlos partilhados → um só conjunto de controlos evidencia ambos.
Venda e corra como uma só suite
O erro que as organizações cometem é tratar isto como dois projetos — um “módulo ISO 42001” e um “módulo AI Act”. Na realidade governam os mesmos sistemas de IA, os mesmos riscos e a mesma evidência. Corra-os como uma única suite de Governance de IA: um inventário, um modelo de risco, uma biblioteca de evidências, duas camadas de requisitos por cima.
É assim que a iComply estrutura a governance de IA — e porque adicionar a certificação ISO 42001 sobre a conformidade com o AI Act custa uma fração de fazer qualquer uma isoladamente.