ISO/IEC 42001 para gerentes de projetos: o que é e como aplicar

A ISO 42001 chega à mesa do gerente de projetos quase sempre por um caminho indireto: o cliente pede no contrato que o fornecedor "siga a ISO/IEC 42001", a área de compliance anuncia que a empresa vai buscar a certificação, ou o comitê de riscos quer saber como os projetos de inteligência artificial (IA) estão sendo controlados. Em qualquer dos casos, a pergunta prática é a mesma: o que muda no meu projeto?

A resposta curta é que a norma não foi escrita para projetos. Ela define um sistema de gestão da organização inteira. Mas quase tudo o que esse sistema precisa provar (que os riscos foram avaliados, que os dados têm origem conhecida, que o sistema foi testado antes de entrar em uso, que alguém responde por ele) nasce dentro dos projetos. Se o projeto não gerar essas evidências no caminho, alguém vai precisar reconstruí-las às pressas antes da auditoria.

Os dados sobre a norma a seguir foram conferidos em outubro de 2026, em catálogos de normas e em materiais de organismos de certificação. O texto oficial é pago e é a referência final para qualquer requisito.

O que é a ISO/IEC 42001

A ISO/IEC 42001 é a norma internacional de sistema de gestão de IA, publicada em dezembro de 2023 pela ISO e pela IEC, pelo comitê técnico conjunto que trata de inteligência artificial. O título em português é "Tecnologia da informação, Inteligência artificial, Sistema de gestão". A ABNT publicou a versão brasileira, a ABNT NBR ISO/IEC 42001, em abril de 2024, como adoção do texto internacional. Antes de comprar, confira no catálogo da ABNT a edição em vigor.

O escopo declarado é especificar requisitos e orientações para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de IA no contexto de uma organização. Vale para quem desenvolve, fornece ou usa sistemas de IA, de qualquer porte ou setor.

Dois pontos evitam confusão logo de início:

• É uma norma de gestão, não de tecnologia. Ela não diz qual modelo usar nem qual taxa de acerto é aceitável. Diz que a organização precisa ter política, papéis, processo de avaliação de riscos e de impacto, controles escolhidos com justificativa, monitoramento e melhoria.
• É voluntária. Nenhuma lei obriga uma empresa a adotá-la. Ela aparece como exigência de clientes, como diferencial em licitações e contratos ou como forma de organizar a governança de IA antes que a regulação apareça.

Como a norma é organizada

A ISO 42001 segue a mesma estrutura de alto nível de outras normas de sistema de gestão, como a ISO 9001 e a ISO/IEC 27001. Quem já trabalhou em empresa certificada reconhece as cláusulas.

Além das cláusulas, a norma traz um anexo com controles de referência. Segundo os materiais consultados, são 38 controles agrupados em nove temas: políticas de IA, organização interna, recursos para sistemas de IA, avaliação de impactos, ciclo de vida do sistema de IA, dados para sistemas de IA, informação para as partes interessadas, uso de sistemas de IA e relações com terceiros e clientes. A organização escolhe os controles aplicáveis a partir da avaliação de riscos e justifica os que deixa de fora, numa declaração de aplicabilidade.

Para o gerente de projetos, três temas desse anexo pesam mais: ciclo de vida, dados e relações com terceiros. São exatamente as áreas em que o projeto decide.

Onde a ISO 42001 encontra o ciclo de vida do projeto

O gerenciamento de projetos de IA já trabalha com fases e portões de decisão. A forma mais simples de aplicar a norma é amarrar cada exigência a um desses portões, em vez de criar um processo paralelo.

Na iniciação

• Confirme se o projeto está dentro do escopo do sistema de gestão de IA. Se a empresa tem ou busca a certificação, o termo de abertura deve dizer isso.
• Identifique o papel da organização em relação ao sistema: vai desenvolver, vai fornecer a um cliente ou vai apenas usar uma solução de terceiro. Os controles aplicáveis mudam conforme o papel.
• Registre o uso pretendido do sistema e quem será afetado por ele. Essa descrição alimenta a avaliação de impacto.

No planejamento

• Inclua no cronograma a avaliação de riscos de IA e a avaliação de impacto do sistema como entregas, com dono e data. A norma trata as duas como requisitos distintos: a de riscos olha para a organização e para os objetivos; a de impacto olha para pessoas e grupos afetados pelo uso do sistema.
• Planeje a documentação de dados: origem, permissão de uso, qualidade, critérios de preparação e rotulagem.
• Defina critérios de verificação e validação antes de construir, para que o teste final não vire negociação.

Na execução e no monitoramento

• Mantenha registro das decisões de projeto que afetam o comportamento do sistema: troca de base de dados, mudança de modelo, ajuste de limiar de confiança.
• Trate fornecedores de modelos e de dados como parte do escopo de controle. O contrato precisa permitir obter as informações que o sistema de gestão exige.
• Gere evidência de que os testes aconteceram e de quem aprovou a entrada em uso.

No encerramento e na transição

• Entregue à operação o dono do sistema, o plano de monitoramento, o canal para incidentes e as instruções de uso para quem vai operar.
• Leve as lições aprendidas para o sistema de gestão: elas são insumo da melhoria contínua exigida pela norma.

Os riscos específicos que costumam aparecer nessas fases (viés, dados insuficientes, dependência de fornecedor) estão detalhados em riscos em projetos de IA.

O que preparar para a auditoria

O auditor de um sistema de gestão não avalia se o modelo é bom. Avalia se a organização fez o que disse que faria e se consegue provar. Uma lista mínima de evidências que um projeto de IA deveria produzir:

1. Descrição do sistema de IA e do uso pretendido, aprovada.
2. Avaliação de riscos de IA, com tratamento escolhido para cada risco relevante.
3. Avaliação de impacto do sistema sobre pessoas e grupos afetados.
4. Registro das fontes de dados, com permissão de uso e avaliação de qualidade.
5. Critérios de aceite, resultados dos testes e aprovação formal para entrar em uso.
6. Matriz de responsabilidades com dono do sistema, dono dos dados e responsável pela operação.
7. Plano de monitoramento e registro de incidentes depois da entrega.
8. Contratos ou termos com fornecedores que cubram as obrigações aplicáveis.

Repare que nada dessa lista exige ferramenta especial. Exige disciplina para guardar o que o projeto já precisaria fazer de qualquer forma.

ISO 42001, ISO 31000 e outras normas de IA

A ISO 42001 não substitui as normas que o gerente de projetos já conhece; ela se apoia nelas.

• ISO 31000: dá os princípios e o processo genérico de gestão de riscos. A avaliação de riscos de IA exigida pela 42001 pode seguir esse processo. A aplicação ao projeto está em ISO 31000 na gestão de riscos em projetos.
• ISO/IEC 23894: publicada em 2023, orienta a gestão de riscos específica de IA.
• ISO/IEC 42005: publicada em 2025, orienta a avaliação de impacto de sistemas de IA, uma das exigências da 42001.
• ISO/IEC 27001: se a empresa já tem um sistema de gestão de segurança da informação, boa parte da estrutura (política, auditoria interna, análise crítica, ações corretivas) pode ser compartilhada.

Na prática, um PMO que já integra a área de compliance tem caminho mais curto. O papel do escritório de projetos nessa integração está em compliance em projetos e o papel do PMO.

Certificação ISO 42001: o que o gerente precisa saber

A certificação é concedida à organização, para um escopo definido, por um organismo de certificação independente. A ISO publica a norma, mas não certifica empresas. Em 2025 foi publicada a ISO/IEC 42006, que estabelece requisitos para os organismos que auditam e certificam a 42001; antes de contratar, confira se o organismo é acreditado para essa norma.

Para o projeto, a certificação traz consequências concretas:

• Prazo: as atividades de avaliação de riscos e de impacto entram no caminho crítico. Planeje-as como entregas, não como formalidade no fim.
• Fornecedores: o cliente certificado pode exigir informações sobre dados, testes e mudanças do modelo. Inclua isso na proposta e no orçamento.
• Mudanças: trocar a versão de um modelo de fornecedor passa a ser uma mudança controlada, com avaliação e registro.

Exemplo ilustrativo: assistente de atendimento em uma prefeitura

Imagine um projeto para implantar um assistente que responde dúvidas de cidadãos sobre serviços municipais, usando um modelo de IA generativa de fornecedor. A prefeitura adotou a ISO 42001 como referência de governança.

• Iniciação: o termo de abertura registra que a prefeitura atua como usuária de um sistema de terceiro, que o público afetado são cidadãos e que o assistente não pode tomar decisões sobre direitos ou benefícios.
• Planejamento: a avaliação de impacto aponta risco de resposta errada sobre prazos legais e de exclusão de quem tem baixa familiaridade digital. As respostas planejadas: limitar o assistente a informações publicadas, mostrar a fonte e manter o atendimento humano como alternativa visível.
• Execução: o contrato com o fornecedor prevê aviso prévio sobre mudança de versão do modelo. A equipe monta um conjunto de perguntas de teste com respostas esperadas, validadas pelas secretarias.
• Entrega: a aprovação formal registra os resultados do teste, o dono do serviço e o plano de monitoramento mensal das respostas.

Nenhuma dessas atividades é exótica. A norma só exige que elas aconteçam de forma sistemática e deixem rastro.

Como começar no seu próximo projeto

Pergunte à área de compliance se a empresa adota ou pretende adotar a ISO 42001 e qual é o escopo. Se a resposta for sim, peça a política de IA e o modelo de avaliação de impacto, e inclua essas entregas no plano do projeto desde a primeira versão. Se a empresa ainda não tem nada, a política de uso de IA no PMO é um primeiro passo menor e compatível com a norma. O panorama de como a IA entra em cada etapa do projeto está no guia de inteligência artificial na gestão de projetos, e o curso de gestão de projetos com PMBOK 8 e IA da Projeto Diário mostra como levar essa governança para a prática do dia a dia.