O EU AI Act (Regulamento UE 2024/1689) entrou em vigor em agosto de 2024, tornando-se o primeiro regulamento abrangente de inteligência artificial do mundo. Ao mesmo tempo, a ISO/IEC 42001:2023 — a primeira norma internacional para Sistemas de Gestão de Inteligência Artificial (SGAI) — oferece um framework de certificação para governação responsável de IA. Para empresas em Portugal e no Brasil que desenvolvem ou utilizam sistemas de IA, compreender a relação entre estas duas frameworks é essencial em 2025. Neste guia completo, explicamos o que é o EU AI Act, o que é a ISO 42001, como se complementam, e como a sua empresa pode certificar-se.
O que é o EU AI Act?
O EU AI Act (Regulamento UE 2024/1689) foi publicado em julho de 2024 e entrou em vigor em agosto de 2024. É o primeiro regulamento abrangente de inteligência artificial do mundo, estabelecendo um framework jurídico vinculativo para o desenvolvimento, colocação no mercado e utilização de sistemas de IA na União Europeia.
O EU AI Act adota uma abordagem baseada no risco, classificando os sistemas de IA em quatro categorias:
- IA de risco inaceitável (proibida): sistemas que representam ameaça clara para direitos fundamentais — manipulação subconsciente, social scoring por entidades públicas, reconhecimento facial em tempo real em espaços públicos (com exceções).
- IA de alto risco (requisitos obrigatórios): sistemas utilizados em infraestruturas críticas, educação, emprego, serviços essenciais (crédito, seguros), aplicação da lei, administração da justiça, gestão de fronteiras. Estes sistemas estão sujeitos a requisitos rigorosos de documentação, transparência, supervisão humana e conformidade.
- IA de risco limitado (obrigações de transparência): sistemas como chatbots devem informar os utilizadores de que estão a interagir com IA.
- IA de risco mínimo: a maioria das aplicações de IA (filtros de spam, recomendações de conteúdo) — sem requisitos específicos.
Calendário de implementação: as proibições (risco inaceitável) entraram em vigor em fevereiro de 2025. Os requisitos para sistemas de IA de alto risco aplicam-se a partir de agosto de 2026. A aplicação plena do regulamento será em agosto de 2027. Tanto os fornecedores como os implementadores (utilizadores) estabelecidos na UE ou cujos sistemas sejam utilizados na UE estão sujeitos ao EU AI Act.
O que é a ISO/IEC 42001:2023?
A ISO/IEC 42001:2023 é a primeira norma internacional para Sistemas de Gestão de Inteligência Artificial (SGAI). Publicada em dezembro de 2023, define os requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de IA numa organização.
A norma segue a Estrutura de Alto Nível (HLS) comum a outras normas ISO de sistemas de gestão como ISO 27001 e ISO 9001, facilitando a integração. A sua estrutura compreende:
- Cláusulas 4-10: contexto, liderança, planeamento, suporte, operações, avaliação do desempenho e melhoria.
- Anexo A: controlos específicos para sistemas de IA — política de IA, avaliação de impacto, objetivos de IA, gestão de dados de treino, avaliação de riscos de IA, transparência, supervisão humana e responsabilização.
- Anexo B: orientações para implementação dos controlos do Anexo A.
Diferenças face à ISO 27001: enquanto a ISO 27001 foca na segurança da informação (confidencialidade, integridade, disponibilidade), a ISO 42001 aborda dimensões específicas da IA — ética, equidade, explicabilidade, supervisão humana, impacto social e responsabilização pelos resultados dos sistemas de IA.
A sua empresa utiliza ou desenvolve sistemas de IA?
A BALTUM oferece certificação ISO 42001 em Portugal e Brasil. Saiba se a sua organização está sujeita ao EU AI Act e como certificar-se.
Solicitar proposta gratuita →Como a ISO 42001 suporta o EU AI Act
Para sistemas de IA classificados como alto risco, o EU AI Act impõe requisitos específicos que a ISO 42001 aborda diretamente:
- Sistema de gestão de qualidade (Art. 17) → ISO 42001 Cláusula 8 (operações): a norma exige um SGAI documentado e operacional, equivalente ao sistema de gestão de qualidade exigido pelo regulamento.
- Documentação técnica (Art. 11) → Annexo A A.6 (sistemas de IA): a ISO 42001 exige documentação completa dos sistemas de IA, incluindo arquitetura, dados de treino, testes e limitações.
- Registo de logs (Art. 12) → A.6 e A.8: rastreabilidade e registo de eventos dos sistemas de IA.
- Transparência e informação (Art. 13) → A.6.2: comunicação clara sobre capacidades e limitações dos sistemas de IA.
- Supervisão humana (Art. 14) → A.6.5: mecanismos para intervenção e supervisão humana dos sistemas de IA.
- Gestão de riscos (Art. 9) → ISO 42001 Cláusula 6: avaliação de riscos específicos de IA, incluindo riscos de viés, discriminação e falhas de segurança.
- Avaliação de conformidade (Art. 43) → A.8: a certificação ISO 42001 pode ser apresentada como evidência de conformidade perante autoridades reguladoras e notified bodies.
A certificação ISO 42001 não garante automaticamente conformidade total com o EU AI Act — o regulamento tem requisitos adicionais (registo em base de dados EU, conformidade específica por setor). No entanto, a ISO 42001 implementa a maioria das medidas técnicas e organizativas exigidas pelo EU AI Act para sistemas de alto risco, reduzindo significativamente o esforço de conformidade regulatória.
Para que empresas é relevante?
Empresas em Portugal: qualquer organização que desenvolva ou implemente sistemas de IA classificados como alto risco pelo EU AI Act. Exemplos práticos:
- Hospitais e clínicas que utilizam IA para diagnóstico ou triagem (saúde)
- Bancos e seguradoras com scoring de crédito ou avaliação automatizada de risco
- Empresas de recrutamento com CV screening automatizado
- Fornecedores de software para administração pública
- Infraestruturas críticas com sistemas de controlo baseados em IA
Empresas no Brasil: a ISO 42001 é especialmente relevante para empresas brasileiras que:
- Exportam serviços ou produtos de IA para a União Europeia
- Trabalham com clientes europeus que exigem conformidade EU AI Act nos seus fornecedores
- Pretendem diferenciação no mercado internacional com certificação formal de governação de IA
- Operam em setores regulados (saúde, financeiro) onde a governação de IA é cada vez mais exigida
O Marco Legal da IA no Brasil (em processo legislativo) está a convergir com os princípios do EU AI Act, pelo que a certificação ISO 42001 antecipa também os futuros requisitos regulatórios brasileiros.
ISO 42001 vs outras frameworks de IA
Existem várias frameworks de governação de IA no mercado. Como se posiciona a ISO 42001?
- NIST AI RMF (EUA): framework de gestão de riscos de IA do NIST — excelente como guia metodológico, mas sem certificação formal reconhecida internacionalmente. Complementar à ISO 42001.
- IEEE Ethics Guidelines for AI: princípios éticos para IA — focados em orientações de alto nível sem requisitos operacionais certificáveis.
- ISO/IEC TR 24028 (confiabilidade de IA): relatório técnico sobre fiabilidade de sistemas de IA — complementar à ISO 42001.
- Regulamentos setoriais (FDA, EMA para IA em saúde): requisitos específicos por setor — complementares à ISO 42001, que fornece o sistema de gestão base.
Vantagem única da ISO 42001: é a única norma com certificação formal internacionalmente reconhecida para sistemas de gestão de IA. Sendo alinhada com a estrutura ISO, facilita a integração com ISO 27001 (segurança) e ISO 9001 (qualidade) num sistema de gestão integrado.
Como certificar ISO 42001 — processo prático
O processo de certificação ISO 42001 segue uma estrutura semelhante à ISO 27001:
- Inventário de sistemas de IA: identificar todos os sistemas de IA em uso ou desenvolvimento na organização e classificá-los por risco (EU AI Act categories).
- Gap analysis ISO 42001: avaliar o estado atual face aos requisitos da norma — identificar lacunas em políticas, processos, controlos e documentação.
- Definição de âmbito do SGAI: determinar quais sistemas de IA e processos estão dentro do âmbito de certificação.
- Implementação do SGAI: desenvolver política de IA, avaliação de riscos de IA, objetivos mensuráveis, controlos do Anexo A, formação e consciencialização.
- Auditoria interna SGAI: verificar a eficácia do sistema implementado antes da auditoria de certificação.
- Auditoria de certificação: Fase 1 (revisão documental) + Fase 2 (auditoria operacional) por organismo de certificação acreditado.
Prazo típico: 3-5 meses para organizações com ISO 27001 já implementada (a estrutura é partilhada). 5-8 meses para organizações sem experiência prévia com normas ISO de sistemas de gestão.
Precisa de certificação ISO 42001 em Portugal ou Brasil?
A BALTUM é especialista em ISO 42001. Contacte-nos para uma proposta personalizada em 24 horas — sem compromisso.
Solicitar proposta →Conclusão
O EU AI Act e a ISO 42001 são complementares, não concorrentes: o regulamento define o que é obrigatório para sistemas de IA na UE, a norma fornece o como implementar um sistema de gestão para demonstrar conformidade.
Para empresas em Portugal, a certificação ISO 42001 é cada vez mais um requisito de diferenciação — e, para sistemas de alto risco, um caminho direto para conformidade com o EU AI Act. Para empresas brasileiras que exportam IA para a UE ou trabalham com clientes europeus, a ISO 42001 é o passaporte para o mercado europeu de IA.
A BALTUM oferece certificação ISO 42001 acreditada em Portugal e Brasil — auditoria 100% remota, comunicação em português, certificados reconhecidos internacionalmente.