Em dezembro de 2023, a Organização Internacional de Normalização publicou a ISO/IEC 42001, a primeira norma internacional dedicada especificamente à gestão de sistemas de inteligência artificial dentro de uma empresa. Ela não diz o que uma IA deve responder. Diz como uma organização deve administrar o uso dela: com papel definido, avaliação de risco, evidência guardada e um ciclo de revisão que não termina no dia do lançamento.
Em pouco mais de um ano, a norma saiu do papel e virou prática de mercado. Segundo reportagem da BrightDefense, mais de 100 organizações já obtiveram a certificação em nível global — entre elas AWS, Google, Microsoft, Anthropic, Snowflake, ServiceNow e a consultoria BCG, várias certificando diretamente os próprios serviços de IA que vendem a outras empresas.
O motivo para quem decide prestar atenção não é o selo em si. É o que a pesquisa mostra por trás dele: a maioria das empresas já tem alguma política de IA escrita, e a maioria não tem um sistema que sustente essa política no dia a dia.
Quando a política vira apenas papel
Uma pesquisa da AuditBoard com a Panterra Research, publicada em 2025 com mais de 400 profissionais de auditoria e conformidade nos Estados Unidos, Canadá, Alemanha e Reino Unido, mediu essa distância diretamente. 86% das organizações disseram conhecer as normas que afetam o uso de IA, da lei europeia ao Framework de Gestão de Risco de IA do governo americano, publicado pelo NIST em janeiro de 2023. Mas só 25% relataram ter um programa de governança de IA totalmente implementado.
A causa mais citada não foi falta de ferramenta — menos de 15% apontaram isso como o problema principal. Foi falta de dono: 44% citaram ausência de responsabilidade clara como maior barreira, seguida por falta de conhecimento interno (39%) e falta de recursos (34%). O relatório resume o achado numa frase: governança é uma capacidade que se opera todo dia, não uma caixa que se marca numa auditoria.
É exatamente esse vazio que a ISO/IEC 42001 tenta preencher. A norma segue a mesma estrutura de ciclo contínuo usada pelas normas de qualidade e de segurança da informação — planejar, executar, checar, agir — e exige que a empresa documente o alcance do sistema, defina papéis e responsabilidades, e avalie risco contra critério declarado, não contra a impressão de que está tudo bem. Uma norma complementar, a ISO/IEC 23894, detalha como esse risco deve ser identificado, avaliado e tratado ao longo de todo o ciclo de vida de um sistema de IA, do desenho ao uso diário.
Uma política sem dono não sobrevive à primeira mudança de equipe. Uma política sem evidência não sobrevive à primeira auditoria. Uma política sem ciclo de revisão fica desatualizada no mesmo mês em que uma ferramenta nova de IA chega à empresa.
Por que escrever uma política não basta
A norma da ISO cobra o oposto de uma intenção declarada: registro datado de decisão, critério de risco por escrito e melhoria contínua demonstrável. É também por isso que a certificação, sozinha, não é um atalho legal. Segundo análise da ISMS.online sobre a lei europeia de IA, a ISO/IEC 42001 seguia fora do círculo de normas oficialmente reconhecidas pela União Europeia: uma norma só garante presunção legal de conformidade depois de publicada com esse status específico, e a 42001 ainda não tinha esse selo. Ter a certificação prova maturidade de gestão; não substitui, sozinha, a documentação técnica que a lei exige para sistemas de alto risco.
Para quem vende tecnologia de IA para outras empresas, o efeito prático já apareceu antes da lei se acomodar. A mesma reportagem da BrightDefense descreve a norma virando exigência contratual: clientes corporativos, sobretudo em setores regulados como saúde e serviços financeiros, passaram a pedir prova independente de que o fornecedor administra risco de IA — não apenas a promessa de que administra.
Para empresas brasileiras e latino-americanas que ainda não pensaram em certificação, o recado não é correr atrás do selo. É que o mercado já está definindo, na prática, o que conta como governança séria: dono definido, acesso controlado, decisão registrada e revisão recorrente. Isso vale antes, durante e depois de qualquer certificação formal — e vale também para quem nunca vai se certificar, mas precisa provar isso a um cliente, um parceiro ou um auditor.
O que precisa existir na prática
Um sistema de gestão de IA — com ou sem certificação formal — se sustenta em mecanismos verificáveis, não em texto de política.
Identidade corporativa, não conta pessoal. O acesso à IA vem do mesmo diretório de usuários da empresa, o mesmo login usado para entrar na rede — não de uma conta pessoal criada por conta própria. Quando alguém sai da empresa, o acesso cai junto, sem depender de alguém lembrar de revogar.
Acesso conforme o papel de cada pessoa. Cada pessoa e cada agente de IA enxergam só o que a função autoriza, inclusive dentro de uma ferramenta conectada com dezenas de funções diferentes.
Aprovação humana conforme o risco. Ações e documentos considerados sensíveis passam por revisão antes de virar informação oficial que a IA usa como referência, com quem escreve separado de quem aprova.
Trilha de auditoria por área. Cada decisão relevante — criar um agente, aprovar um documento, mudar uma permissão — fica registrada e consultável depois. É justamente o "critério declarado" e o "registro datado" que a norma exige.
Conhecimento aprovado com fontes. O que a IA usa como referência vem de documentos com dono e versão vigente, não de qualquer arquivo solto encontrado por alguém na correria.
Reutilização com permissão definida. O que funciona para uma pessoa pode ser disponibilizado a outras, com alcance definido por pessoa, grupo ou papel — sem virar acesso livre para todo mundo.
É assim que a Skyller foi desenhada: identidade vinda do diretório da empresa, aprovação humana conforme o risco e trilha de auditoria por padrão, não como configuração extra a ser lembrada depois.
O ganho de tratar governança como sistema
O ganho mais direto aparece na hora da auditoria. Quando cada decisão fica registrada por padrão, reconstruir o que aconteceu — quem aprovou um documento, quem mudou uma permissão, qual agente executou qual ação — é questão de minutos, não de semanas reunindo prints e planilhas manuais. É a diferença entre passar por uma auditoria e temer uma.
Há um ganho menos óbvio, mas igual de relevante: uma vez que o mecanismo de aprovação e registro já existe por construção, ele não precisa ser reconstruído toda vez que a legislação muda ou um cliente pede prova nova. A Skyller, por exemplo, já chega com mais de 170 modelos de políticas e processos prontos, então a equipe adapta um fluxo de aprovação existente em vez de desenhar cada um do zero.
O efeito colateral é cultural. Quando o sistema separa naturalmente quem cria conhecimento de quem aprova, e registra a diferença, a resistência inicial de "mais um controle" tende a virar "isso me protege". A mesma trilha que serve para um regulador ou um auditor externo serve, internamente, para explicar por que um agente de IA fez o que fez — sem depender da memória de quem estava na sala naquele dia.
Governança é uma capacidade central da empresa, não uma etapa de conformidade para marcar como concluída.
Um roteiro para começar
Antes de escrever mais uma política de IA, vale desenhar como ela vai virar sistema. Um roteiro possível:
- Nomeie um dono único para a governança de IA. Enquanto a responsabilidade estiver espalhada entre TI, jurídico e cada área isoladamente, ninguém vai cobrar o ciclo de revisão — e foi exatamente aí que 44% das empresas da pesquisa da AuditBoard travaram.
- Faça um inventário do que já está em uso. Antes de escrever regra nova, liste os assistentes de IA, autorizados ou não, que a equipe já usa hoje no trabalho.
- Defina o acesso pelo papel, não pela pessoa. Decida o que cada função pode fazer com IA antes de decidir o que cada pessoa individualmente vai pedir depois.
- Escolha o que exige aprovação em duas etapas. Nem todo documento precisa de revisão dupla — mas os que viram referência para respostas de IA deveriam.
- Garanta que toda decisão relevante fique registrada. Se hoje reconstruir "quem aprovou o quê" exige perguntar às pessoas, o sistema ainda não existe — só a intenção dele.
