ISO 27001 + ISO 42001 Juntas — A Abordagem Integrada para Segurança e IA

Com o crescimento do uso de IA nas organizações e o aumento das exigências regulatórias — EU AI Act, DORA, NIS2, RGPD — as empresas em Portugal e no Brasil enfrentam um desafio de conformidade crescente. Certificar ISO 27001 (segurança da informação) e ISO 42001 (gestão de IA) em conjunto é uma abordagem cada vez mais adotada: mais eficiente, com controlos partilhados, documentação integrada e uma única equipa de auditoria. Neste artigo, explicamos por que esta abordagem faz sentido, quais os benefícios práticos, e como funciona o processo de certificação integrada.

Por que integrar ISO 27001 e ISO 42001?

Existe uma razão fundamental para integrar as duas normas: os sistemas de IA são sistemas de informação, e por isso necessitam tanto de segurança da informação (ISO 27001) como de governação específica de IA (ISO 42001).

Os sistemas de IA têm vulnerabilidades específicas que a ISO 27001 é bem posicionada para cobrir: envenenamento de dados de treino (data poisoning), ataques adversariais que manipulam os outputs do modelo, e modelos que vazam informação sensível incluída nos dados de treino. Os controlos de segurança da ISO 27001 — gestão de acesso, encriptação, gestão de vulnerabilidades — aplicam-se diretamente à proteção dos sistemas de IA.

Ao mesmo tempo, a ISO 27001 não aborda questões que são centrais para a governação de IA: enviesamento algorítmico, explicabilidade das decisões, supervisão humana de sistemas automatizados, ou impacto ético e social. É precisamente aqui que a ISO 42001 complementa.

A integração faz também sentido do ponto de vista estrutural: ambas as normas seguem a Estrutura de Alto Nível (HLS) — partilham as Cláusulas 4 a 10 com estrutura idêntica. Isto significa que políticas, avaliações de risco, auditorias internas e revisões pela gestão podem ser integradas num único sistema de gestão, eliminando duplicação. Uma organização com ISO 27001 implementada já tem a maioria da infraestrutura de gestão necessária para ISO 42001 — a extensão para IA é significativamente mais eficiente do que um projeto de raiz.

Controlos partilhados entre ISO 27001 e ISO 42001

As duas normas partilham um conjunto relevante de controlos e requisitos que podem ser integrados num sistema de gestão único:

• Gestão de riscos: ambas exigem um processo de avaliação e tratamento de riscos. Para ISO 42001, os riscos incluem dimensões específicas de IA — viés algorítmico, falhas de modelo, impacto nos direitos humanos — que se adicionam aos riscos de segurança da ISO 27001.
• Políticas: a política de segurança da informação (ISO 27001) e a política de IA (ISO 42001) podem ser documentos separados mas integrados no mesmo sistema de gestão com referências cruzadas.
• Gestão de ativos: o inventário de ativos de informação (ISO 27001) estende-se naturalmente ao inventário de sistemas de IA (ISO 42001), com atributos adicionais de classificação de risco de IA.
• Controlos de acesso e autenticação: partilhados entre as duas normas — quem pode aceder aos sistemas de IA, aos dados de treino, aos outputs dos modelos.
• Gestão de fornecedores: A.5.19-A.5.22 ISO 27001 (gestão da segurança na cadeia de abastecimento) + A.6.1 ISO 42001 para fornecedores específicos de IA — fornecedores de dados de treino, plataformas cloud de IA (AWS SageMaker, Azure ML, Google Vertex AI).
• Gestão de incidentes: A.5.24-A.5.28 ISO 27001 + extensão para incidentes específicos de IA — falhas de modelo em produção, deteção de viés em output, uso indevido de sistemas de IA.
• Formação e consciencialização: ambas exigem programas de formação específica — em segurança da informação (ISO 27001) e em uso responsável de IA (ISO 42001).
• Auditorias internas: podem ser realizadas conjuntamente por auditores com competência em ambas as normas.
• Revisão pela gestão: uma única revisão pela gestão pode cobrir ambos os sistemas, com entradas e saídas específicas para cada norma documentadas no mesmo registo.

Benefícios práticos da certificação integrada

Para quem faz sentido a certificação integrada?

A certificação conjunta ISO 27001 + ISO 42001 faz especialmente sentido para:

• Empresas de tecnologia e IA que desenvolvem ou comercializam sistemas de IA e precisam de demonstrar maturidade tanto em segurança como em governação responsável de IA.
• Empresas de dados (data analytics, ML platforms) que processam grandes volumes de dados para treino de modelos — os dados de treino são simultaneamente ativos de informação (ISO 27001) e componentes de sistemas de IA (ISO 42001).
• Fintech com sistemas de IA para scoring de crédito, deteção de fraude ou decisões automatizadas — sujeitos ao DORA e ao EU AI Act.
• Healthcare com IA clínica para diagnóstico, triagem ou monitorização de doentes — sistemas de IA de alto risco ao abrigo do EU AI Act.
• Empresas que fornecem serviços de IA a clientes na UE (Portugal e Brasil incluídos) — o EU AI Act cria obrigações para fornecedores de sistemas de IA que operam no mercado europeu, independentemente da sua localização.
• Organizações sujeitas ao EU AI Act com sistemas de IA classificados como alto risco que necessitam de demonstrar conformidade.
• Organizações com ISO 27001 já implementada que querem expandir a certificação para cobrir sistemas de IA — a extensão é mais eficiente do que um projeto de raiz porque a infraestrutura de gestão já existe.

Processo de certificação integrado

O processo de certificação integrada ISO 27001 + ISO 42001 segue as seguintes etapas:

1. Gap analysis integrado: avaliação de lacunas face a ISO 27001:2022 E ISO 42001:2023 num único processo — identificando o que já existe (frequentemente substancial para organizações com ISO 27001) e o que é necessário acrescentar para IA.
2. Inventário de sistemas de IA: identificar, classificar e documentar todos os sistemas de IA em âmbito — por nível de risco (EU AI Act), papel da organização (fornecedor/implementador) e impacto potencial.
3. Implementação integrada: SGSI + SGAI num único sistema de gestão com documentação partilhada onde aplicável — políticas integradas, avaliações de risco combinadas, procedimentos unificados.
4. Auditoria interna integrada: auditores internos com competência em ambas as normas (ou equipa combinada) realizam uma auditoria única cobrindo ISO 27001 e ISO 42001.
5. Revisão pela gestão conjunta: uma única revisão pela gestão cobre ambos os sistemas, com entradas específicas para cada norma documentadas no mesmo registo de revisão.
6. Auditoria de certificação integrada (Fase 1 + Fase 2): equipa de auditores com competência em ISO 27001 e ISO 42001 realiza um processo de auditoria integrado — mais eficiente do que dois processos separados.
7. Emissão de dois certificados: ISO 27001:2022 + ISO 42001:2023, emitidos pelo mesmo organismo de certificação após o processo integrado.

Diferenças que permanecem

Mesmo numa abordagem integrada, existem diferenças que requerem atenção específica e não podem ser simplesmente fundidas:

• Âmbito diferenciado: o âmbito ISO 42001 pode ser mais específico do que o âmbito ISO 27001 — dependendo de quantos e quais sistemas de IA a organização inclui na certificação. Os dois âmbitos devem ser claramente definidos e documentados, mesmo que se sobreponham.
• Controlos exclusivos da ISO 42001: os controlos de avaliação de impacto de IA, equidade algorítmica, explicabilidade, supervisão humana e impacto nos direitos humanos (Anexo A ISO 42001) não têm equivalente em ISO 27001 e requerem implementação específica — não podem ser "herdados" da ISO 27001.
• Competência específica dos auditores: auditores com competência combinada em segurança da informação e governação de IA são necessários — não basta ser auditor ISO 27001 experiente; é necessária formação e experiência específica em ISO 42001.

Conclusão

A certificação integrada ISO 27001 + ISO 42001 é a abordagem mais eficiente e completa para organizações que necessitam de demonstrar maturidade tanto em segurança da informação como em governação responsável de IA. Com o EU AI Act em vigor na Europa e a crescente exigência de clientes enterprise, esta combinação está a tornar-se o novo padrão para empresas de tecnologia e IA em Portugal e no Brasil.

A BALTUM oferece certificação integrada ISO 27001 + ISO 42001 — processo eficiente, auditoria única, dois certificados reconhecidos internacionalmente.