Maturidade ISO/IEC 42001 · Sistemas de gestão da inteligência artificial (AIMS)
O seu sistema de gestão da IA resistiria a um auditor?
10 domínios, uma escala de 5 níveis. E a ação que faz passar de um nível para o seguinte.
Os 10 domínios do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 de uma vez.
Maturidade ISO/IEC 42001 · Sistemas de gestão da inteligência artificial (AIMS)
10 domínios, escala de 5 níveis.
Nordhavn Industries
53 / 100
Medem a sua maturidade com a Datamensio
Um exemplo
Esta situação podia ser a sua.
Vejamos o exemplo de uma empresa: três instalações, três folhas de cálculo, nenhuma resposta comum.
Ninguém sabe consolidar.
Nordhavn Industries, 2 400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta em que ponto está o grupo. Cada instalação responde na sua folha de cálculo, com as suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico ISO/IEC 42001:2023 lançado nas três instalações ao mesmo tempo, a partir das notas de entrevista dos responsáveis. O referencial já estava escrito, os 10 domínios e os níveis N1 a N5 também.
Duas despesas evitadas antes de serem assumidas.
Uma pontuação de 53 em 100, um desvio concentrado em três domínios. O assistente de IA detetou que duas ações do plano duplicavam as de outro diagnóstico. O relatório de resultados para a comissão foi pedido numa frase.
O que isto lhes evitou
- 3instalações medidas na mesma base, em vez de três questionários a retrabalhar
- 2ações duplicadas detetadas antes da despesa
- 1relatório de resultados para a comissão, sem retrabalho manual
Estes números são os de um exemplo. Podiam ser os seus.
A norma impõe processos. A Datamensio diz onde está.
01
O referencial já está escrito
Domínios, perguntas e níveis N1 a N5 redigidos. Não parte de uma folha de cálculo em branco.
02
A pontuação sai no próprio dia
Online, por link de autoavaliação ou em entrevista. Domínio a domínio, comparável ao longo do tempo.
03
O desvio transforma-se num plano com custos
Cada passagem de nível tem a sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A progressão demonstra-se
Campanha após campanha, face ao seu objetivo e ao seu histórico. É isso que a sua comissão executiva pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É este mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma uma constatação numa trajetória.
Os casos de uso de IA são recenseados e avaliados antes da sua entrada em produção?
- N1
Nenhum recenseamento. Os casos de uso surgem nas áreas de negócio sem que a direção conheça a sua lista.
- N2
Existe um inventário, alimentado por iniciativa de algumas equipas. É incompleto e a avaliação antes da produção continua informal.
- N3
Todo o novo caso de uso é declarado e avaliado segundo uma grelha comum antes da entrada em produção. Subsistem algumas declarações tardias.
- N4
A declaração é uma condição de acesso aos ambientes de produção. As avaliações e as decisões de validação são rastreadas e associadas a um responsável nomeado.
- N5
O inventário é revisto periodicamente, os casos de uso retirados são documentados, e os ensinamentos dos incidentes alimentam a grelha de avaliação.
Ação para passar de N2 a N3
Publicar uma grelha de avaliação única dos casos de uso (finalidade, pessoas afetadas, dados mobilizados, nível de risco) e inscrever a sua análise na ordem de trabalhos do comité de dados existente, com um ponto de passagem obrigatório antes de qualquer entrada em produção.
« Graças à Datamensio, cumprimos os nossos objetivos com muito mais eficácia. Os serviços de inspeção do FEDER e do nosso ministério de tutela apreciaram particularmente esta abordagem, que lhes fornece dados fiáveis. »
Diretora da CCI 94CCI Île-de-France
« Consideramos que é a solução mais adequada para levar o nosso projeto de transformação à escala e medir o impacto de acordo com as nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial combina-se. Associe vários para cobrir a sua atividade, ou peça à IA para escrever o seu.
Faça a sua primeira mediçãoem ISO 42001.
Sobre o que trata este referencial
A ISO/IEC 42001, publicada em 2023, é a primeira norma internacional certificável dedicada à gestão da inteligência artificial. Segue a estrutura comum das normas de sistemas de gestão: contexto, liderança, planeamento, suporte, realização das atividades, avaliação do desempenho, melhoria. A sua particularidade assenta em dois mecanismos próprios da IA: a avaliação dos impactos nas pessoas e na sociedade, distinta da avaliação dos riscos para a organização, e o controlo documentado do ciclo de vida dos sistemas de IA, desde a conceção até à retirada, incluindo quando o modelo provém de um fornecedor.
Na prática, a dificuldade não está em compreender a norma mas em saber onde a organização se situa. Os casos de uso de IA implementados estão recenseados de forma exaustiva, incluindo os introduzidos por um componente de software de um fornecedor? Quem decide que um sistema pode passar a produção, e com base em que critérios documentados? Os impactos nas pessoas afetadas são avaliados antes da implementação, ou constatados depois das primeiras reclamações? Sobre estas três questões, o desvio entre o discurso de governação e as práticas reais é frequentemente amplo.
Uma confusão surge constantemente: a ISO 42001 e o regulamento europeu sobre a IA não se substituem um ao outro. O regulamento classifica os sistemas por nível de risco e impõe obrigações vinculativas aos fornecedores e aos utilizadores. A norma descreve a organização interna que permite cumprir essas obrigações ao longo do tempo. Um sistema de gestão conforme à ISO 42001 constitui uma base reutilizável para demonstrar o controlo esperado, sem dispensar a análise de aplicabilidade artigo a artigo.
O diagnóstico de maturidade responde a uma questão diferente da auditoria de certificação. A auditoria conclui por uma conformidade ou um desvio. O diagnóstico situa cada prática numa escala progressiva e indica a ação precisa que permite passar ao nível seguinte. É isto que permite preparar a certificação sem avançar às cegas, e comparar unidades de negócio que não progridem ao mesmo ritmo.
No Datamensio, o referencial está pronto a usar e é adaptável. A IA ajusta os domínios, as perguntas e os níveis ao seu setor e ao seu âmbito, ou constrói uma variante a partir dos seus próprios documentos: política de IA, registo de casos de uso, procedimentos de validação de modelos.
Norma de referência: ISO/IEC 42001:2023
Os domínios avaliados
Contexto e âmbito do AIMS
Definição do âmbito, funções da organização (fornecedor, utilizador, programador), partes interessadas, declaração de aplicabilidade das medidas do anexo A.
Liderança e política de IA
Política de IA formalizada e divulgada, compromisso da direção, alocação de recursos, articulação com os outros sistemas de gestão.
Funções, responsabilidades e governação
Atribuição de responsabilidades ao longo do ciclo de vida, instância de decisão dos casos de uso, separação entre desenvolvimento e validação, escalonamento das decisões.
Avaliação dos riscos ligados à IA
Método de avaliação, critérios de aceitação, priorização dos casos de uso, tratamento dos riscos e aceitação dos riscos residuais.
Avaliação dos impactos nas pessoas e na sociedade
Identificação das pessoas afetadas, análise dos efeitos nos direitos fundamentais, consideração dos grupos vulneráveis, rastreabilidade das conclusões.
Ciclo de vida dos sistemas de IA
Requisitos de conceção, conjuntos de dados e a sua proveniência, verificação e validação antes da entrada em produção, documentação técnica, condições de retirada.
Dados utilizados pelos sistemas de IA
Qualidade e representatividade dos dados, gestão de enviesamentos, rastreabilidade da origem, direitos de utilização, controlo dos dados de reentrenamento.
Transparência e informação dos utilizadores
Informação sobre o recurso à IA, explicabilidade proporcional ao uso, documentação entregue aos utilizadores, gestão de reclamações e de recursos humanos.
Fornecedores e terceiros
Critérios de seleção, requisitos contratuais sobre os modelos e serviços de IA, avaliação dos componentes reutilizados, monitorização das alterações impostas pelo fornecedor.
Monitorização, auditoria interna e melhoria
Indicadores de desempenho dos sistemas em produção, deteção de desvios, auditorias internas, revisão pela direção, ações corretivas e lições aprendidas.
Está disponível uma versão curta do referencial, com 32 perguntas, para a auto-avaliação online.
Perguntas frequentes
A ISO 42001 é certificável?
Sim, é uma norma de sistema de gestão certificável por um organismo acreditado, seguindo o modelo da ISO 27001. O Datamensio mede a sua maturidade e prepara a auditoria: não emite qualquer certificação.
Qual a diferença entre este diagnóstico e uma auditoria de certificação?
A auditoria verifica a presença dos requisitos e conclui por uma conformidade ou um desvio. O diagnóstico situa cada prática numa escala de maturidade e indica a ação que permite passar ao nível seguinte. O diagnóstico prepara, a auditoria valida.
É preciso já estar certificado ISO 27001 para começar?
Não, mas é uma vantagem. A estrutura das duas normas é comum: contexto, liderança, planeamento, avaliação do desempenho. As organizações que já dispõem de um sistema de gestão reutilizam parte dos seus procedimentos e da sua documentação.
Como se articula este diagnóstico com o regulamento europeu sobre a IA?
O regulamento impõe obrigações consoante o nível de risco do sistema. A norma descreve a organização que permite cumpri-las ao longo do tempo. Um diagnóstico ISO 42001 sólido constitui uma base reutilizável, e o roteiro transversal permite cruzar os dois temas sem duplicar as ações.
Quanto tempo demora a avaliação?
A versão curta preenche-se em 20 a 30 minutos. A versão completa, em modo colaborativo, estende-se geralmente por uma a duas semanas: a maior parte do tempo serve para recolher os elementos junto das equipas de dados, segurança, jurídico e negócio.
É possível adaptar o referencial ao nosso contexto?
Sim. Pode modificar as perguntas, os níveis e os domínios, ou partir dos seus próprios documentos para construir uma variante. A IA redige os conteúdos e afina os níveis segundo o método CMMI. O referencial permanece sob o seu controlo.
É necessária experiência técnica em aprendizagem automática para responder?
As perguntas incidem sobre as práticas de governação e de gestão, não sobre a arquitetura dos modelos. Algumas exigem o contributo de um cientista de dados ou de um arquiteto: o modo colaborativo permite atribuir essas perguntas à pessoa certa.
Onde são alojados os dados?
Em França, na OVH, com cópia de segurança na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, incluindo entre soluções europeias.