IA na gestão da qualidade e ISO 42001: o guia para começar

Toda empresa que eu visito hoje tem alguém usando inteligência artificial na qualidade — e quase nenhuma sabe disso oficialmente. O analista pede para a IA resumir o relatório de auditoria. O coordenador cola a descrição da não conformidade numa ferramenta e pede sugestão de causa raiz. Alguém do RH usa um sistema que pré-classifica currículos. Nada disso está no mapa de processos, nada está documentado, ninguém avaliou risco algum. E aí, quando uma decisão dá errado, a pergunta que ninguém sabe responder é a mais simples: quem respondeu por isso?

Este artigo tem duas partes. Primeiro, o lado prático: onde a IA realmente ajuda no dia a dia do sistema de gestão da qualidade e onde ela atrapalha — porque existe muita promessa vendida como revolução que na auditoria vira não conformidade. Depois, a estrutura: como a ISO/IEC 42001, a primeira norma certificável de gestão de IA, organiza esse uso com inventário, avaliação de impacto, papéis definidos e controles. Sem futurologia e sem pânico.

IA na gestão da qualidade: onde ela realmente ajuda

Vamos ao concreto. A IA generativa é boa em tarefas de linguagem e padrão: ler muito texto, resumir, comparar, redigir rascunho, encontrar repetição em volume de dados. É exatamente disso que o SGQ está cheio. Os usos que vi funcionarem de verdade:

Onde usar	O que a IA faz bem	O que continua sendo seu
Tratativa de não conformidade	Sugerir hipóteses de causa a partir do histórico; agrupar NCs semelhantes	Ir ao processo, confirmar a causa real e definir a ação
Redação de procedimentos	Escrever a primeira versão do POP a partir do que você descreve	Validar com quem executa a tarefa e aprovar
Auditoria interna	Gerar roteiros de perguntas por requisito; resumir relatórios longos	Entrevistar, observar a evidência e julgar conformidade
Indicadores	Detectar tendência e desvio em séries de dados; escrever a leitura do gráfico	Explicar o porquê e decidir o que fazer
Análise crítica	Consolidar entradas dispersas num rascunho de pauta	Conduzir a reunião e tomar as decisões
Treinamento	Gerar exercícios, casos e questionários de reciclagem	Avaliar a eficácia do treinamento na prática

Repare no padrão: em todas as linhas, a IA produz rascunho e a pessoa produz decisão. Esse é o único arranjo que sobrevive a uma auditoria. O ganho real não é pequeno — quem passa três horas por semana redigindo relatório recupera boa parte desse tempo. Mas o ganho está em velocidade de partida, não em substituição de julgamento.

Onde a IA atrapalha (e vira não conformidade)

Agora a parte que ninguém vende em palestra. Existem usos de IA que, além de não ajudarem, criam problema de conformidade real:

• Causa raiz inventada. A IA é fluente, não é investigativa. Ela produz uma causa plausível e bem escrita para qualquer problema — mesmo sem ter ido ao processo. Um 5 Porquês escrito por IA sem verificação em campo é ficção bem redigida, e a NC volta a acontecer.
• Procedimento que ninguém executa. POP gerado por IA descrevendo um processo genérico, não o processo real da empresa. O auditor conversa com o operador, percebe a distância entre papel e prática, e o achado é imediato.
• Dado sensível colado em ferramenta pública. Contrato, base de clientes, dados de saúde, folha de pagamento — jogados numa ferramenta gratuita sem contrato de tratamento. Isso é problema de segurança da informação e de LGPD ao mesmo tempo.
• Decisão sobre pessoas sem revisão humana. Triagem de currículo, avaliação de desempenho, corte de fornecedor decididos por sistema, sem ninguém revisando. Além do risco ético, é o cenário que mais pesa em qualquer regulação de IA.
• Registro sem rastreabilidade. Ninguém sabe se aquele documento foi escrito por pessoa ou por máquina, com que dados, em que versão. Quando o auditor pergunta a origem da informação, não há resposta.

ISO/IEC 42001: o que a norma é

Foi para organizar exatamente essa bagunça que surgiu a ISO/IEC 42001, publicada em dezembro de 2023 — a primeira norma internacional certificável para Sistemas de Gestão de Inteligência Artificial (SGIA). Se você já conhece qualquer norma de sistema de gestão, vai reconhecer a estrutura de cara, porque ela segue o mesmo Anexo SL:

Requisito	O que a organização precisa fazer
4. Contexto	Entender onde e por que a IA é usada, quem são as partes interessadas (clientes, colaboradores, reguladores, pessoas afetadas) e definir o escopo do SGIA
5. Liderança	A direção assumir a governança de IA, definir a política de IA e os papéis — inclusive quem responde por cada sistema
6. Planejamento	Avaliar riscos e impactos dos sistemas de IA e definir objetivos e tratamento
7. Apoio	Recursos, competência, conscientização, comunicação e informação documentada
8. Operação	Controlar o ciclo de vida da IA: concepção, dados, desenvolvimento ou aquisição, implantação, operação e desativação
9. Avaliação	Monitorar desempenho, medir, auditar internamente e levar à análise crítica pela direção
10. Melhoria	Tratar não conformidades e incidentes de IA e melhorar continuamente

A diferença mais marcante em relação às normas que você já conhece está no requisito 6. Nos outros sistemas de gestão, avaliamos risco para a organização. Na ISO 42001, avalia-se também o impacto sobre as pessoas e a sociedade — o cliente que teve o crédito negado, o candidato que foi filtrado, o paciente cuja triagem foi sugerida por um algoritmo. É uma mudança de ângulo importante: não basta perguntar "o que isso pode custar à empresa?", é preciso perguntar "quem pode ser prejudicado por isso?".

Inventário de sistemas de IA: o primeiro passo real

Assim como na ISO 27001 você não protege o que não conhece, aqui você não governa o que não mapeou. O primeiro entregável do SGIA é o inventário de sistemas de IA — e ele costuma revelar surpresas, porque quase sempre existe mais IA na empresa do que a direção imagina.

Para cada sistema (próprio ou de terceiro), registre:

• Qual é o sistema e qual fornecedor está por trás;
• Para que é usado — o processo e a finalidade concreta;
• Que decisão ele influencia — e se essa decisão afeta pessoas;
• Que dados entram nele — inclusive dados pessoais e informação confidencial;
• Quem é o responsável pelo uso (o dono do sistema, como o dono do ativo na ISO 27001);
• Grau de autonomia — a saída é sempre revisada por uma pessoa ou o sistema decide sozinho?

Esse último campo é o mais importante da tabela. É ele que separa "ferramenta de apoio" de "sistema que decide" — e é dele que sai a classificação de criticidade de todo o resto.

Uso da IA	Decisão afetada	Revisão humana	Criticidade
Resumo de relatório de auditoria	Nenhuma direta	Sim, sempre	Baixa
Rascunho de procedimento	Como se executa a tarefa	Sim, aprovação formal	Média
Inspeção visual automatizada	Aprovar ou reprovar lote	Amostral	Alta
Triagem de currículos	Quem avança no processo seletivo	Frequentemente nenhuma	Alta

Avaliação de impacto: a peça que só existe aqui

Feito o inventário, os sistemas de criticidade média e alta passam por uma avaliação de impacto de IA — o documento mais característico da ISO 42001, equivalente em importância à Declaração de Aplicabilidade na 27001. A mecânica segue a mesma lógica de gestão de riscos que já usamos na qualidade, com perguntas adaptadas:

1. Quem pode ser afetado? Cliente, colaborador, candidato, fornecedor, paciente, sociedade.
2. Qual o dano possível? Decisão injusta, discriminação, exposição de dado pessoal, erro operacional, perda financeira, dano à saúde.
3. Qual a probabilidade e a gravidade? Cruzamento clássico, na mesma matriz que a empresa já usa.
4. Que controles existem hoje? Revisão humana, teste, limite de uso, transparência para o usuário, canal de contestação.
5. O que precisa mudar? A saída vira plano de ação com responsável e prazo — não uma recomendação vaga.

É um exercício desconfortável na primeira vez, e é justamente por isso que ele vale.

Os controles do Anexo A da ISO 42001

Como na ISO 27001, a norma traz um Anexo A com controles a serem selecionados conforme os riscos avaliados. Sem decorar a lista, os temas centrais são:

• Política e governança de IA — a direção define o que é uso aceitável e o que é proibido na empresa;
• Papéis e responsabilidades — quem responde por cada sistema, do início ao descarte;
• Gestão de dados — origem, qualidade, tratamento e retenção dos dados que alimentam a IA;
• Ciclo de vida do sistema — requisitos, teste, validação, implantação, monitoramento e desativação;
• Transparência e informação — comunicar às partes interessadas quando e como a IA é usada;
• Supervisão humana — garantir revisão nas decisões de maior impacto;
• Fornecedores e terceiros — avaliar quem fornece os sistemas e o que consta em contrato;
• Gestão de incidentes de IA — o que fazer quando a saída do sistema causa um problema.

Se você reconheceu aqui a estrutura de controle de documentos, de gestão de fornecedores e de tratativa de incidentes, é porque é isso mesmo. A ISO 42001 não inventa um sistema paralelo: ela estende o sistema de gestão que você já tem para um objeto novo.

Passo a passo para começar

O roteiro que faz o projeto andar sem retrabalho, seja para certificar ou apenas para organizar a casa:

1. Defina uma política de uso de IA. Uma página, aprovada pela direção: o que pode, o que não pode, que tipo de dado nunca entra em ferramenta externa, o que sempre exige revisão humana. Isso resolve 70% dos riscos e pode ser feito nesta semana.
2. Faça o inventário. Pergunte a cada área que ferramentas de IA já estão em uso. A resposta costuma surpreender a diretoria.
3. Classifique por criticidade. Use o grau de autonomia e o impacto sobre pessoas como critérios principais.
4. Avalie impacto nos sistemas críticos. Comece pelos de alta criticidade — não tente avaliar tudo de uma vez.
5. Defina papéis. Cada sistema precisa de um dono nomeado. "A empresa é responsável" não é resposta em auditoria.
6. Treine a equipe. Conscientização vale mais que proibição: quem entende por que não se cola contrato numa ferramenta pública não cola. Vale entrar na matriz de competências como qualquer outra capacitação obrigatória.
7. Monitore e meça. Defina indicadores — incidentes de IA, percentual de sistemas inventariados, avaliações de impacto em dia, revisões humanas realizadas.
8. Audite internamente e leve à direção. O SGIA entra na análise crítica como qualquer outro sistema.

Integrando com o sistema que você já tem

Não construa um sistema separado. Se a empresa já é certificada, o caminho barato é integrar: a política de IA vira um documento do mesmo SGQ; os riscos de IA entram na mesma matriz de riscos; os incidentes entram no mesmo fluxo de não conformidade; a auditoria interna ganha algumas perguntas novas; a análise crítica ganha um item de pauta. É a mesma lógica de análise de contexto ampliada — só que agora uma das questões internas relevantes é "onde a IA está decidindo por nós?". Quem já tem ISO 9001 e ISO 27001 implanta a 42001 em bem menos tempo: o que muda é o objeto governado, não o método.

O que fazer amanhã de manhã

Não espere norma, consultoria ou orçamento. Faça duas coisas nesta semana. A primeira: escreva em uma página o que a sua empresa pode e não pode fazer com IA — especialmente que tipo de informação jamais sai de casa. A segunda: pergunte às áreas quais ferramentas de IA elas já usam e monte a primeira versão do inventário, mesmo que numa planilha simples.

Essas duas páginas colocam a empresa à frente da imensa maioria — que está usando IA todos os dias sem política, sem inventário e sem ninguém responsável. E, no fundo, é a mesma pergunta que todo sistema de gestão faz, só que com sujeito novo: o que pode dar errado, quem pode ser prejudicado, e o que estamos fazendo a respeito? Se você quiser revisitar a base que sustenta tudo isso, vale reler o guia prático da ISO 9001 e o artigo sobre gestão de riscos — porque governar IA, no fim, é gestão de riscos com um objeto que responde rápido demais para ficar sem dono.

Perguntas frequentes

O que é a ISO/IEC 42001?

É a primeira norma internacional certificável para Sistemas de Gestão de Inteligência Artificial (SGIA), publicada em dezembro de 2023. Ela segue a mesma estrutura de alto nível (Anexo SL) da ISO 9001, da ISO 14001 e da ISO 27001 — contexto, liderança, planejamento, apoio, operação, avaliação e melhoria — aplicada agora ao ciclo de vida dos sistemas de IA que a organização desenvolve, fornece ou apenas usa. O objetivo não é frear a tecnologia: é dar rastreabilidade e responsabilidade sobre decisões que a IA passa a influenciar dentro da empresa.

Preciso desenvolver IA para me certificar na ISO 42001?

Não. A norma se aplica tanto a quem desenvolve quanto a quem fornece ou apenas usa sistemas de IA de terceiros. Uma empresa que só utiliza uma ferramenta de IA para triagem de currículos, atendimento ao cliente ou análise de dados também tem obrigações: precisa saber onde a IA está sendo usada, que decisões ela influencia, quais riscos isso cria e quem responde por elas. Na prática, a maioria das empresas certificáveis hoje está nesse grupo — usuárias, não desenvolvedoras.

A IA pode substituir o analista da qualidade?

Não, e quem tenta descobre rápido o porquê. A IA é excelente em varrer volume — cruzar registros de não conformidade, resumir relatórios de auditoria, redigir a primeira versão de um procedimento, apontar padrões em indicadores. Mas ela não vai ao chão de fábrica, não entrevista o operador, não sente o clima da equipe e não assume responsabilidade por decisão nenhuma. Ela acelera a parte mecânica do trabalho e devolve tempo para a parte que só gente faz: investigar, negociar, decidir e convencer a direção.

Qual a diferença entre a ISO 42001 e o AI Act europeu?

São coisas de naturezas diferentes que se complementam. O AI Act é uma lei da União Europeia, obrigatória para quem opera naquele mercado, que classifica sistemas de IA por nível de risco e impõe exigências a cada faixa. A ISO/IEC 42001 é uma norma voluntária e certificável que estrutura como a organização governa a sua IA. Ter o sistema de gestão implantado facilita muito demonstrar conformidade legal — é a mesma relação que existe entre a ISO 27001 e a LGPD: a norma não substitui a lei, mas organiza a casa para cumpri-la.