Aplicável a todos os tipos de empresas em qualquer indústria, a ISO/IEC 42001 é a primeira norma internacional certificável de sistema de gestão para IA.
A norma estabelece requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gerenciamento de IA. O objetivo da norma é garantir que os sistemas sejam desenvolvidos e utilizados de forma responsável:
Esta norma foi elaborada de forma a facilitar a integração com outras normas de sistemas de gestão já amplamente estabelecidas, tais como ISO/IEC 27001:2022, ISO/IEC 27701:2019, ISO 9001:2015, ISO 13485:2016 etc., sem exigir a sua implementação como pré-requisito. Esse aspecto sugere que os modelos organizacionais adotam uma abordagem holística, com cada sistema perseguindo um objetivo particular.
Além da ISO/IEC 27001:2022 e outras normas da família ISO/IEC 2001, ela também dá estrutura a requisitos, análises de risco e controles.
Os três primeiros pontos da norma, seguindo a estrutura das normas ISO, dizem respeito, respectivamente, "Finalidade, Referências Normativas, Termos e Definições". A partir do quarto ponto-padrão, encontramos:
A norma é composta por quatro anexos, e abaixo está uma breve explicação de cada anexo.
Anexo A da norma descreve 39 controles (estruturados como controles e objetivos de controle) que ajudam as organizações a atingir seus objetivos relacionados ao uso de IA e abordar ameaças identificadas no processo de avaliação de risco de IA durante o projeto, desenvolvimento e operação do sistema de IA.
À semelhança da norma ISO/IEC 27001, não existe qualquer obrigação de utilizar os controlos enumerados no presente anexo.
Eles são destinados a servir como referência, e cada organização é livre para projetar e implementar seu próprio conjunto de controles com base em seu contexto.
Em vez disso, o anexo B fornece orientações para a execução dos controlos enumerados no anexo A, incluindo os processos de gestão de dados.
Anexo C trata dos objetivos e fontes de risco que as organizações devem considerar. A responsabilidade de determinar os objetivos relevantes e as fontes de risco é de cada organização.
Finalmente, o Anexo D explora o uso de um sistema de gestão de IA em vários domínios ou setores (por exemplo, saúde, defesa, finanças) e trata da integração desse sistema com outros.
A conformidade com a ISO/IEC 42001:2023 é um passo estratégico para as organizações que visam garantir que seus sistemas de IA sejam gerenciados de forma ética, segura e transparente.
A seguir estão as etapas necessárias que uma organização deve executar para obter conformidade:
O PQE Group pode apoiar sua organização com todas as fases acima para obter a certificação ISO 42001 realizando uma avaliação de lacunas em sua documentação, fornecendo políticas ou procedimentos ou ajudando a organização implementando um processo robusto de gerenciamento de riscos de IA.
É claro que, após a obtenção da certificação, será importante manter a conformidade com a norma. Para fazer isso, a organização precisará acompanhar as mudanças nas leis e regulamentos e garantir que as políticas e os procedimentos sejam mantidos atualizados. Além disso, certifique-se de que auditorias internas regulares serão agendadas e que os funcionários serão treinados neste campo.
Em conclusão, o desenvolvimento da norma ISO/IEC 42001 marca um momento crucial na regulamentação da IA. À medida que as organizações navegam no cenário complexo da implementação de IA, esse padrão fornece uma estrutura abrangente para garantir o uso responsável e ético. Ao priorizar a transparência, a responsabilidade e o bem-estar humano, a ISO/IEC 42001 estabelece um novo padrão para sistemas de gerenciamento de IA em todo o mundo. Com o apoio de organizações como o PQE Group, alcançar a conformidade com a ISO/IEC 42001 não é apenas um requisito regulatório, mas um imperativo estratégico para organizações comprometidas com práticas éticas de IA.
