08
Perguntas
Norma ISO/IEC 42001 · Sistema de gestão certificável
A inteligência artificial com governação auditável.
A ISO/IEC 42001 é a primeira norma internacional de sistemas de gestão da inteligência artificial. Diz como uma organização decide onde usa IA, avalia os impactos, controla os riscos e responde perante clientes e autoridades. É o sistema por trás das obrigações do AI Act.
NormaCertificável
ISO/IEC 42001. Tecnologias da informação. Inteligência artificial. Sistema de gestão.
Regulamento (UE) 2026/1744 no EUR-Lex →Atualizado a
Instrumento
Adoção de IA e o que a lei já exige
O AI Act aplica-se independentemente do grau de adoção. Selecione a dimensão da sua empresa para comparar Portugal com a União Europeia e ver que datas do regulamento já passaram.
A dimensão da sua empresa
PortugalUnião Europeia
Pequenas, 10 a 49 pessoas
9,43 %
17,00 %
Médias, 50 a 249 pessoas
18,21 %
30,36 %
Grandes, 250 ou mais
49,15 %
55,03 %
Todas, 10 ou mais pessoas
11,54 %
19,95 %
Empresas que usam pelo menos uma tecnologia de IA, em percentagem. Eurostat, 2025.
18,21 %das empresas portuguesas da sua dimensão já usam pelo menos uma tecnologia de inteligência artificialNa União Europeia são 30,36 %. Médias, 50 a 249 pessoas, em 2025.
2 de fevereiro de 2025Literacia em IA e práticas proibidasEm vigor
2 de agosto de 2026Aplicação geral e deveres de transparênciaEm vigor
2 de dezembro de 2027Sistemas de alto risco do Anexo IIIFaltam 13 meses
2 de agosto de 2028IA em produtos já regulados, Anexo IFaltam 21 meses
As coimas vão até 35 milhões de euros ou 7 % do volume de negócios mundial pelas práticas proibidas, e 15 milhões ou 3 % pelas restantes obrigações. A certificação na ISO/IEC 42001 não confere presunção de conformidade com o regulamento, mas proporciona o sistema de gestão que torna a conformidade demonstrável.
Fonte: Eurostat, isoc_eb_ai, indicador E_AI_TANY, dados de 2025; Regulamento (UE) 2024/1689, art. 113.º, na redação do Regulamento (UE) 2026/1744 Ver a fonte →
01
O AI Act diz o que cumprir. A ISO/IEC 42001 dá o sistema para o demonstrar, sem substituir a lei.
A ISO/IEC 42001 exige que a organização tenha uma política de IA, papéis e responsabilidades definidos, uma avaliação de impacto dos sistemas de IA sobre pessoas e sociedade, gestão de risco específica, controlo do ciclo de vida (dados, desenvolvimento, verificação, operação e monitorização), transparência para as partes interessadas e gestão dos fornecedores de IA. O anexo A lista 38 controlos que se aplicam conforme o risco.
Aplica-se tanto a quem desenvolve IA como a quem a usa em produtos, decisões ou operações. E não confere presunção de conformidade com o AI Act, que só decorre das normas harmonizadas europeias. O que dá é a governação demonstrável que o regulamento pressupõe e que os clientes e as autoridades vão pedir.
11,54 %
das empresas portuguesas com 10 ou mais pessoas usam inteligência artificial, contra 19,95 % na União Europeia.
Eurostat, dezembro de 2025 · Fonte →49,15 %
das empresas portuguesas com 250 ou mais pessoas já usam inteligência artificial.
Eurostat, dezembro de 2025 · Fonte →7 %
do volume de negócios mundial, ou 35 milhões de euros: a coima máxima do AI Act pelas práticas proibidas.
Regulamento (UE) 2024/1689, art. 99.º · Fonte →02
Para quem
Quem procura a ISO/IEC 42001.Quatro situações em que a norma se torna necessária.
01
Quem desenvolve ou integra IA em produtos
Fornecedores de sistemas de IA, com ou sem risco elevado no AI Act. O sistema dá a evidência de conceção responsável que os clientes exigem.
02
Quem usa IA em decisões sobre pessoas
Recrutamento, crédito, seguros, saúde, educação. Onde o AI Act é mais exigente, a avaliação de impacto da norma é o instrumento certo.
03
Setores regulados
Banca, seguros, saúde, administração pública. Reguladores e auditores vão perguntar como a IA é governada. A norma responde.
04
Quem já tem a ISO 27001
A 42001 assenta sobre o sistema de segurança da informação existente. É uma extensão, não um projeto a partir do zero.
03
O que a norma exige
O que o auditor vai procurar.Seis pontos, pela ordem da norma. Assinale o que a sua organização já tem e leve a lista do que falta para a reunião.
01
Política e responsabilidades de IA
Onde a organização usa ou desenvolve IA, com que princípios, e quem responde por cada sistema. A gestão de topo assume a política.
Evidência que o auditor pedePolítica de IA aprovada, inventário de sistemas de IA e responsáveis nomeados.
02
Avaliação de impacto dos sistemas de IA
Efeitos sobre pessoas, grupos e sociedade, avaliados antes da utilização e revistos ao longo da vida do sistema.
Evidência que o auditor pedeAvaliações de impacto por sistema de IA, revistas ao longo do ciclo de vida.
03
Gestão do risco de IA
Riscos específicos, como enviesamento, opacidade, deriva dos modelos e uso indevido, identificados, tratados e acompanhados.
Evidência que o auditor pedeRegisto de riscos de IA com tratamento e acompanhamento.
04
Ciclo de vida dos sistemas
Dados de treino e qualidade, desenvolvimento, verificação e validação, colocação em operação, monitorização e retirada.
Evidência que o auditor pedeDocumentação de dados, desenvolvimento, validação, operação e monitorização de cada sistema.
05
Transparência e partes interessadas
Informação a utilizadores e afetados, comunicação de incidentes, documentação técnica pronta a apresentar.
Evidência que o auditor pedeInformação a utilizadores e afetados, procedimento de comunicação de incidentes.
06
Fornecedores e componentes de terceiros
Modelos, dados e serviços de IA comprados a terceiros geridos com os mesmos critérios que os próprios.
Evidência que o auditor pedeAvaliação de fornecedores de modelos, dados e serviços de IA, com requisitos contratuais.
Marque o que já tem.Cada ponto indica a evidência que o auditor externo vai pedir, que é o critério para aferir se está cumprido.
Levar esta lista à reunião →04
Como trabalhamos
Da análise de lacunas ao certificado.
01
Análise de lacunas
A situação atual face à norma, ponto por ponto. O resultado é um mapa do que falta, do que já está conforme e do esforço necessário.
02
Implementação do sistema
Processos, documentação e indicadores ajustados à sua realidade. O sistema tem de servir a operação, não o contrário.
03
Auditoria interna
Conduzida por auditores certificados na norma, com os critérios que o auditor externo vai aplicar. A organização chega preparada à auditoria de certificação.
04
Acompanhamento na certificação
Presença na auditoria do organismo de certificação e nas auditorias de acompanhamento anuais, para que a certificação se mantenha válida.
05
O ciclo de certificação
Um certificado de três anos, acompanhado todos os anos.
Fase 1
Revisão documental e prontidão para a auditoria.
Fase 2
Auditoria no terreno: o sistema em funcionamento. Emissão do certificado.
Ano 1
Auditoria de acompanhamento.
Ano 2
Auditoria de acompanhamento.
Ano 3
Auditoria de renovação. Novo ciclo de três anos.
A N4A acompanha cada uma destas auditorias do organismo de certificação.
06
ISO/IEC 42001 + AI Act
O regulamento exige. A norma organiza.
O AI Act já se aplica: literacia em IA, práticas proibidas, transparência, e as obrigações dos sistemas de risco elevado no calendário. A ISO/IEC 42001 não substitui o regulamento nem dá presunção de conformidade, mas é o sistema de gestão que torna as obrigações demonstráveis, com evidência que um auditor ou uma autoridade consegue verificar.
Ver o AI Act e o calendário de obrigações →AI Act, art. 4.º, literacia em IACompetências e formação registadas no sistema de gestão.
AI Act, sistemas de risco elevadoAvaliação de impacto, gestão de risco e documentação técnica demonstráveis.
ISO/IEC 27001A 42001 assenta sobre o SGSI: contexto, liderança e melhoria são comuns.
07
A governação da IA conduzida por Lead Auditores ISO/IEC 42001, com a cibersegurança da 27001 no mesmo sistema.
20+anos em segurança da informação, desde 2006
30+consultores e auditores no grupo
15normas e regulamentos na carta de serviços
Um sistema de gestão com dois âmbitos, inteligência artificial e segurança da informação, com documentação, auditorias e ciclo de revisão comuns. As certificações da equipa →
O que ganho em certificar a minha empresa na ISO/IEC 42001?+
Governação demonstrável antes de a fiscalização chegar: o AI Act já se aplica, com coimas até 35 milhões de euros ou 7 % do volume de negócios, e as obrigações dos sistemas de alto risco chegam em dezembro de 2027. A certificação não dá presunção de conformidade legal, mas dá o sistema que a torna demonstrável a clientes e autoridades. Em Portugal, 49,15 % das empresas com 250 ou mais pessoas já usam inteligência artificial.
O que é a ISO/IEC 42001?+
É a primeira norma internacional de sistemas de gestão da inteligência artificial. Define como uma organização governa o uso e o desenvolvimento de IA: política, responsabilidades, avaliação de impacto, gestão de risco, ciclo de vida, transparência e fornecedores, com 38 controlos no anexo A.
Certificar a ISO/IEC 42001 dá conformidade com o AI Act?+
Não confere presunção de conformidade legal; essa só decorre das normas harmonizadas europeias publicadas no Jornal Oficial da UE. O que a certificação dá é um sistema de gestão de IA auditável, com a governação que o AI Act pressupõe e a evidência que clientes e autoridades pedem.
Aplica-se a quem só usa IA, sem a desenvolver?+
Sim. A norma aplica-se a quem desenvolve, fornece ou usa sistemas de IA. Uma empresa que use IA em decisões sobre clientes ou trabalhadores tem obrigações de avaliação de impacto, transparência e controlo, e a norma organiza-as.
Já temos a ISO 27001. Implica começar de novo?+
Não. As duas partilham a estrutura harmonizada das normas de gestão: contexto, liderança, planeamento e melhoria são comuns. Acrescentam-se a avaliação de impacto, o ciclo de vida dos sistemas de IA e os controlos específicos. Para quem já aplica a 27001, é uma extensão.
Quem emite o certificado?+
Um organismo de certificação acreditado, depois de uma auditoria externa. A N4A prepara a organização, conduz a auditoria interna e acompanha a auditoria de certificação; não emite certificados.
Ver também
Enquadramentos relacionados.
Saiba em que ponto está e quanto falta.
Uma reunião com quem conduz as auditorias, para determinar o que já está implementado, o que falta e por que ordem, com uma estimativa realista do caminho até à certificação.
Agendar reunião →