Maturidade ISO/IEC 42001 · Sistemas de gestão da inteligência artificial (AIMS)
Sua governança de IA, medida pela ISO 42001 e traduzida em plano de ação quantificado.
10 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 10 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade ISO/IEC 42001 · Sistemas de gestão da inteligência artificial (AIMS)
10 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico ISO/IEC 42001:2023 iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 10 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma um diagnóstico em trajetória.
Os casos de uso de IA são mapeados e avaliados antes de entrarem em produção?
- N1
Nenhum mapeamento. Os casos de uso surgem nas áreas de negócio sem que a direção conheça a lista.
- N2
Existe um inventário, alimentado por iniciativa de algumas equipes. Está incompleto e a avaliação antes da produção ainda é informal.
- N3
Todo novo caso de uso é declarado e avaliado segundo um modelo comum antes de entrar em produção. Ainda há algumas declarações tardias.
- N4
A declaração é condição de acesso aos ambientes de produção. As avaliações e decisões de validação são registradas e atribuídas a um responsável nomeado.
- N5
O inventário é revisado periodicamente, os casos de uso descontinuados são documentados, e as lições de incidentes alimentam o modelo de avaliação.
Ação para passar de N2 para N3
Publicar um modelo único de avaliação dos casos de uso (finalidade, pessoas afetadas, dados utilizados, nível de risco) e incluir sua análise na pauta do comitê de dados já existente, com um ponto de verificação obrigatório antes de qualquer entrada em produção.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem ISO 42001.
Do que trata esse referencial
A ISO/IEC 42001, publicada em 2023, é a primeira norma internacional certificável dedicada à gestão da inteligência artificial. Ela segue a estrutura comum das normas de sistema de gestão: contexto, liderança, planejamento, suporte, operação, avaliação de desempenho, melhoria. Sua particularidade está em dois mecanismos próprios da IA: a avaliação de impactos sobre pessoas e sociedade, distinta da avaliação de riscos para a organização, e o controle documentado do ciclo de vida dos sistemas de IA, da concepção ao descomissionamento, inclusive quando o modelo vem de um fornecedor.
Na prática, a dificuldade não está em entender a norma, mas em saber onde a organização se encontra. Os casos de uso de IA implantados estão mapeados de forma completa, inclusive os introduzidos por um módulo de software de um fornecedor? Quem decide que um sistema pode entrar em produção, e com base em quais critérios documentados? Os impactos sobre as pessoas afetadas são avaliados antes da implantação, ou só são percebidos depois das primeiras reclamações? Nessas três questões, a lacuna entre o discurso de governança e as práticas reais costuma ser grande.
Uma confusão recorrente: a ISO 42001 e o regulamento europeu sobre IA não substituem um ao outro. O regulamento classifica os sistemas por nível de risco e impõe obrigações exigíveis a fornecedores e implementadores. A norma, por sua vez, descreve a organização interna que permite cumprir essas obrigações ao longo do tempo. Um sistema de gestão conforme à ISO 42001 é uma base reutilizável para demonstrar o controle esperado, sem dispensar a análise de aplicabilidade artigo por artigo, especialmente relevante para quem exporta sistemas de IA para o mercado europeu e precisa comprovar essa conformidade.
O diagnóstico de maturidade responde a uma pergunta diferente da auditoria de certificação. A auditoria conclui com conformidade ou não conformidade. O diagnóstico posiciona cada prática em uma escala progressiva e indica a ação precisa que leva ao próximo nível. É isso que permite preparar a certificação sem iniciar o trabalho às cegas, e comparar unidades de negócio que avançam em ritmos diferentes.
No Datamensio, o referencial está pronto para uso e é adaptável. A IA ajusta os temas, as perguntas e os níveis ao seu setor e ao seu escopo, ou constrói uma versão personalizada a partir dos seus próprios documentos: política de IA, inventário de casos de uso, procedimentos de validação de modelos.
Norma de referência: ISO/IEC 42001:2023
Os temas avaliados
Contexto e escopo do AIMS
Definição do escopo, papéis da organização (fornecedor, implementador, desenvolvedor), partes interessadas, declaração de aplicabilidade dos controles do anexo A.
Liderança e política de IA
Política de IA formalizada e divulgada, comprometimento da alta direção, alocação de recursos, articulação com os demais sistemas de gestão.
Papéis, responsabilidades e governança
Atribuição de responsabilidades ao longo do ciclo de vida, instância de decisão sobre casos de uso, separação entre desenvolvimento e validação, escalonamento de decisões.
Avaliação de riscos ligados à IA
Método de avaliação, critérios de aceitação, priorização dos casos de uso, tratamento de riscos e aceitação de riscos residuais.
Avaliação de impactos sobre pessoas e sociedade
Identificação das pessoas afetadas, análise dos efeitos sobre direitos fundamentais, consideração de grupos vulneráveis, rastreabilidade das conclusões.
Ciclo de vida dos sistemas de IA
Requisitos de concepção, conjuntos de dados e sua origem, verificação e validação antes da produção, documentação técnica, condições de descomissionamento.
Dados utilizados pelos sistemas de IA
Qualidade e representatividade dos dados, gestão de vieses, rastreabilidade da origem, direitos de uso, controle dos dados de retreinamento.
Transparência e informação aos usuários
Informação sobre o uso de IA, explicabilidade proporcional ao uso, documentação entregue aos implementadores, gestão de reclamações e recursos humanos de revisão.
Fornecedores e terceiros
Critérios de seleção, exigências contratuais sobre modelos e serviços de IA, avaliação de componentes reutilizados, monitoramento das mudanças impostas pelo fornecedor.
Monitoramento, auditoria interna e melhoria
Indicadores de desempenho dos sistemas em produção, detecção de desvios, auditorias internas, análise crítica pela direção, ações corretivas e lições aprendidas.
Uma versão curta do referencial, com 32 perguntas, está disponível para autoavaliação on-line. A versão completa tem 10 temas e undefined perguntas.
Perguntas frequentes
A ISO 42001 é certificável?
Sim, é uma norma de sistema de gestão certificável por um organismo acreditado, no mesmo modelo da ISO 27001. O Datamensio mede sua maturidade e prepara a auditoria: ele não emite nenhuma certificação.
Qual a diferença entre esse diagnóstico e uma auditoria de certificação?
A auditoria verifica a presença dos requisitos e conclui com conformidade ou não conformidade. O diagnóstico posiciona cada prática em uma escala de maturidade e indica a ação que leva ao próximo nível. O diagnóstico prepara, a auditoria valida.
É preciso já ter certificação ISO 27001 para começar?
Não, mas é uma vantagem. A estrutura das duas normas é comum: contexto, liderança, planejamento, avaliação de desempenho. Organizações que já têm um sistema de gestão reaproveitam parte de seus procedimentos e documentação.
Como esse diagnóstico se relaciona com o regulamento europeu sobre IA?
O regulamento impõe obrigações conforme o nível de risco do sistema. A norma descreve a organização que permite cumpri-las ao longo do tempo. Um diagnóstico ISO 42001 sólido é uma base reutilizável, e o roteiro transversal permite cruzar os dois temas sem duplicar ações, o que é especialmente útil para empresas que exportam para o mercado europeu.
Quanto tempo leva a avaliação?
A versão curta é preenchida em 20 a 30 minutos. A versão completa, em modo colaborativo, costuma levar de uma a duas semanas: a maior parte do tempo é usada para coletar informações junto às equipes de dados, segurança, jurídico e áreas de negócio.
É possível adaptar o referencial ao nosso contexto?
Sim. Você modifica as perguntas, os níveis e os temas, ou parte dos seus próprios documentos para construir uma versão personalizada. A IA redige os conteúdos e ajusta os níveis segundo a metodologia CMMI. O referencial permanece sob seu controle.
É preciso ter conhecimento técnico em aprendizado de máquina para responder?
As perguntas tratam de práticas de governança e gestão, não da arquitetura dos modelos. Algumas exigem a contribuição de um cientista de dados ou arquiteto: o modo colaborativo permite atribuir essas perguntas à pessoa certa.
Onde os dados são armazenados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.