ISO 42001 e 42005: da política de IA à prova de impacto

Duas camadas que precisam uma da outra

A ISO/IEC 42001 enquadra um sistema de gestão de IA. A ISO/IEC 42005, publicada em 2025, concentra-se na avaliação de como um sistema e as suas utilizações previsíveis podem afetar pessoas, grupos e sociedade.

A primeira cria continuidade organizacional. A segunda aprofunda uma pergunta concreta de impacto. Sem sistema de gestão, a avaliação pode ficar sem responsável ou revisão. Sem avaliação, a política pode não captar quem suporta os efeitos da decisão.

O dossier mínimo de impacto

A seguinte estrutura é uma síntese operacional da Velqory alinhada com o ciclo de vida descrito pela ISO e com a função Govern do NIST AI RMF.

• Finalidade e limite: decisão apoiada, utilização previsível e utilização proibida.
• Partes afetadas: utilizadores diretos, pessoas sujeitas ao resultado e grupos com exposição indireta.
• Impactos: benefício esperado, dano possível, gravidade, probabilidade e distribuição.
• Controlos: prevenção, deteção, contestação, supervisão humana e recuperação.
• Evidência: origem dos dados, testes, participação das partes, limitações e questões em aberto.
• Decisão: responsável, risco residual, condições de lançamento e próxima revisão.

Quando reabrir a avaliação

A ISO 42005 recomenda avaliar ao longo de todo o ciclo de vida e atualizar quando necessário. Na prática, a organização deve definir gatilhos observáveis em vez de depender de uma revisão anual genérica.

• Mudança de modelo, fornecedor, dados, população ou finalidade.
• Novo país, canal, equipa operacional ou decisão com maior consequência.
• Incidente, reclamação, desvio de desempenho ou controlo que falhou.
• Alteração legal, orientação oficial ou nova evidência sobre o impacto.

O teste de governação

Escolha um sistema em produção e peça a uma pessoa independente para reconstruir a sua finalidade, partes afetadas, riscos, controlos, decisão de lançamento e revisão seguinte apenas com os registos disponíveis.

Se a resposta depende da memória de uma pessoa, a política ainda não se transformou num sistema. O NIST sublinha que documentação, papéis claros e revisão contínua sustentam transparência, revisão humana e responsabilização.