Contratos passam a exigir governança de IA auditável

A comprovação de governança de inteligência artificial começou a migrar do campo regulatório para o contratual.
Levantamento sobre governança de IA no Brasil, publicado em maio de 2026, aponta que grandes organizações passaram a exigir padrões mínimos de governança de seus fornecedores, e descreve normas de gestão de IA funcionando como credencial para atuação em mercados internacionais.
O movimento se acentuou depois que o Regulamento (UE) 2026/1744 transferiu as obrigações europeias para sistemas de alto risco de agosto de 2026 para dezembro de 2027, enquanto o Projeto de Lei 2338/2023 segue aguardando parecer do relator na Câmara dos Deputados.
Estimativas públicas de organismos certificadores apontavam mais de 350 organizações certificadas até abril de 2026.
Publicada em dezembro de 2023 e adotada no Brasil pela ABNT em abril de 2024, a ISO/IEC 42001 se aplica a qualquer organização que forneça ou use produtos e serviços com sistemas de IA, independentemente de porte, tipo ou setor.
Ela segue a mesma estrutura harmonizada da ISO/IEC 27001, de segurança da informação, e da ISO 9001, de qualidade, o que permite integrar os sistemas de gestão em vez de operá-los em paralelo.
O objeto da avaliação também difere do que o mercado costuma supor.
A norma não julga a qualidade técnica de um modelo, e sim a capacidade da organização de governar o ciclo de vida dos sistemas que desenvolve, fornece ou utiliza.
A estrutura do documento se divide em duas camadas.
As cláusulas 4 a 10 concentram os requisitos auditáveis, cobrindo contexto da organização, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria.
O Anexo A reúne 38 controles de referência distribuídos em nove domínios, que vão de políticas de IA e organização interna até dados, informação às partes interessadas, uso responsável e relacionamento com fornecedores e clientes.
A ligação entre as camadas é feita pela Declaração de Aplicabilidade, documento em que a organização registra quais controles aplica e justifica cada inclusão ou exclusão, e que costuma ser o primeiro item examinado em auditoria.
Um requisito distingue essa norma das anteriores de sistemas de gestão.
Além da avaliação de riscos, voltada aos efeitos sobre os objetivos da própria organização, a ISO/IEC 42001 exige uma avaliação de impacto do sistema de IA, dirigida às consequências para indivíduos, grupos de indivíduos e sociedades.
São processos distintos, com documentação distinta, e a avaliação de impacto deve considerar o uso pretendido, o mau uso previsível, os contextos técnicos e sociais de implantação e as jurisdições aplicáveis.
A metodologia dessa avaliação ganhou norma própria em 2025, a ISO/IEC 42005.
A supervisão humana também aparece como exigência documentada, e não como declaração de princípio.
A norma orienta que a organização defina em quais estágios do ciclo de vida a supervisão será incorporada, e trata de revisores humanos com autoridade para sobrepor decisões tomadas pelo sistema.
Prevê ainda que o pessoal envolvido nessa supervisão seja informado e treinado sobre o sistema que acompanha.
Entre os itens que devem constar da documentação de impacto está o papel dos seres humanos na relação com o sistema, incluindo as capacidades, processos e ferramentas de supervisão disponíveis para evitar efeitos negativos.
Para Rafael Lotfi Marrocos Leite, auditor líder em ISO/IEC 42001 e CEO da VGrid, consultoria com atuação em governança de IA, cibersegurança e conformidade digital, essa é a principal fonte de mal-entendido sobre a norma.
"A norma não avalia se o modelo é bom.
Ela avalia se a empresa sabe quais sistemas usa, quem responde por eles e o que consegue comprovar depois", afirma.
Ele aponta que a separação entre os dois processos de avaliação é onde a maioria das implantações falha.
"Muita empresa faz avaliação de risco e chama de avaliação de impacto.
São coisas diferentes.
Uma olha para dentro, para os objetivos do negócio.
A outra olha para fora, para quem é afetado pela decisão automatizada", explica.
O executivo, que pesquisa devido processo algorítmico e viés discriminatório em sistemas de inteligência artificial no mestrado em Direito do IDP, pondera que a norma tem limites que precisam ser explicitados.
"Certificação demonstra maturidade de governança em um escopo definido, e não legalidade de um sistema específico.
Nenhum certificado dispensa a empresa de responder pela LGPD ou pelo regulamento europeu", diz.
A ressalva se conecta a um traço da própria norma, que remete a organização a estruturas complementares em segurança da informação, privacidade e qualidade, em vez de tratar a inteligência artificial como disciplina isolada.
O documento indica expressamente a integração com a ISO/IEC 27001, a ISO/IEC 27701 e a ISO 9001, além de sistemas de gestão setoriais em áreas como saúde e alimentos, sob o argumento de que objetivos como segurança, privacidade e impacto ambiental devem ser geridos de forma conjunta, e não separadamente para a parcela de IA de um sistema.
A tendência de exigência contratual repete o que ocorreu com normas de segurança da informação, quando a comprovação passou a integrar editais, homologação de fornecedores e cláusulas de contrato antes de qualquer obrigação legal específica.
A diferença é o ponto de partida: enquanto a segurança da informação já contava com décadas de prática corporativa, a governança de sistemas de IA parte de uma base recente, com inventários incompletos e responsabilidades ainda não atribuídas na maioria das organizações.
Com o calendário europeu estendido até dezembro de 2027 e o marco brasileiro em tramitação, a norma voluntária tende a ocupar o espaço em que a lei ainda não chegou, funcionando como o padrõ de avaliação pelo qual empresas passam a ser avaliadas por clientes, parceiros e auditores.