Percurso de certificação
Certificação ISO/IEC 42001: Stage 1 e Stage 2
A certificação segundo a ISO/IEC 42001 é atribuída por um organismo de certificação acreditado através de uma auditoria em duas fases. Compreender a diferença entre as duas fases é o que separa uma certificação tranquila de uma dolorosa — e diz-lhe exatamente o que um kit de modelos pode e não pode fazer por si.
Como funciona a auditoria
Os documentos deixam-no pronto para o Stage 1. Operar deixa-o pronto para o Stage 2.
Revisão de documentação e preparação
O auditor verifica se o AIMS está concebido, delimitado e documentado: contexto e âmbito, política de IA, papéis e autoridades, metodologia de risco, a Statement of Applicability e os procedimentos essenciais. Esta é a fase que um kit concluído foi concebido para satisfazer. Conte com o encerramento das constatações de preparação antes de avançar.
- Declaração de contexto e âmbito
- Política de IA com aprovação da gestão de topo
- Metodologia de risco e de impacto
- Statement of Applicability (todos os ~38 controlos do Annex A)
- Procedimentos essenciais
Auditoria de implementação e eficácia
O auditor deixa de ler documentos e começa a amostrar a realidade — evidências de que o sistema realmente funciona. Isto só pode ser produzido operando o AIMS durante um período, por isso deixe-o funcionar e encerre primeiro as constatações do Stage 1.
- SoA concluída com uma decisão justificada para cada controlo
- Avaliação de risco de IA realizada, com tratamento aprovado e aceitação do risco residual
- Pelo menos uma avaliação de impacto de sistema de IA
- Registos de que os controlos selecionados operam de facto
- Pelo menos uma auditoria interna com constatações
- Uma revisão pela gestão realizada
Após o Stage 2, a certificação é mantida através de auditorias de acompanhamento anuais e de um ciclo de recertificação de três anos.
A ordem que funciona
A sequência de implementação que os auditores esperam
As dependências entre documentos fazem com que a ordem importe. Implemente fora de sequência e vai refazer documentos anteriores à medida que os posteriores revelam pressupostos ocultos. A sequência comprovada:
- 1
Conclua a AIMS Context & Scope Statement — antes de tudo o resto. Ancora todo o trabalho posterior.
- 2
Construa o AI System Register e preencha os registos de Interested Parties e de Legal & Regulatory Obligations.
- 3
Aplique a AI Risk, Impact & Control Methodology e registe os riscos no Risk & Control Register.
- 4
Conclua as AI Impact Assessments para os sistemas no âmbito com potencial de impacto material.
- 5
Construa a Statement of Applicability abrangendo todos os ~38 controlos do Annex A, com base nos resultados de risco e de impacto.
- 6
Desenvolva e aprove a AI Policy com a assinatura da gestão de topo.
- 7
Implemente procedimentos e registos operacionais nos controlos de ciclo de vida, dados, uso e terceiros.
- 8
Estabeleça o referencial de monitorização e revisão e comece a gerar evidência ao vivo.
- 9
Realize uma auditoria interna face à totalidade dos requisitos da norma.
- 10
Realize uma revisão pela gestão com atas documentadas e um registo de ações.
- 11
Trate as constatações e encerre as ações corretivas antes da auditoria externa.
O que os auditores procuram de facto
Conformidade, implementação, eficácia
Os auditores externos testam três coisas: a sua documentação cumpre a norma (conformidade), o processo documentado é realmente seguido (implementação) e o sistema está a alcançar os resultados pretendidos (eficácia). A conformidade só no papel falha o segundo e o terceiro testes.
Quanto tempo demora
Prazos indicativos
Os prazos dependem da dimensão e da pegada de IA; a avaliação de risco e de impacto de IA costuma ser a que mais tempo leva, e partir de um kit pronto a usar encurta-a de forma significativa.
Organização pequena
~6–10 semanas até à preparação
Organização média
~10–16 semanas
Organização grande
~16–24 semanas
Fique pronto para o Stage 1 depressa — depois opere até ao Stage 2
O kit entrega o conjunto completo de documentos (Stage 1). Acrescente suporte verificado por especialistas para operar o sistema, ou marque uma auditoria interna para testar a preparação para o Stage 2 antes de o seu organismo de certificação chegar.