ISO 42001 e ISO 27001: o que se aproveita e o que é trabalho novo

O problema

Quando uma empresa já tem ISO 27001 e começa a avaliar a ISO 42001, a primeira pergunta costuma ser errada: qual das duas é mais importante. A pergunta certa é outra: o que já está pronto e o que precisa ser construído do zero. Sou auditor de sistemas críticos e vejo esse erro de enquadramento travar decisão de orçamento e de prazo com frequência, porque gestor decide pelo nome da norma, não pelo que ela de fato exige.
As duas normas seguem a Estrutura Harmonizada da ISO, a mesma base da ISO 9001: contexto da organização na cláusula 4, liderança na 5, planejamento na 6, apoio na 7, operação na 8, avaliação de desempenho na 9 e melhoria na 10. Essa coincidência não é cosmética. É o mesmo ciclo de planejar, executar, verificar e corrigir, aplicado a dois objetos diferentes.

O que se aproveita

Boa parte do que uma empresa com ISO 27001 já tem rodando serve de base direta para a 42001: política assinada pela direção, auditoria interna obrigatória, análise crítica pela direção e tratamento formal de não conformidade. Até o conceito de parte interessada e a exigência de informação documentada são idênticos nas duas normas.
Na prática, isso tem um efeito concreto na auditoria de certificação. Como as cláusulas 4 a 10 são as mesmas, um organismo de certificação pode conduzir uma auditoria combinada, revisando a estrutura de gestão comum uma única vez e avaliando separadamente apenas o Anexo A de cada norma. O ganho aqui é de tempo e custo de auditoria, não de esforço de implementação. Quem já tem comitê de risco, procedimento de auditoria interna e cultura de documentação não está recomeçando do zero quando decide entrar na governança de IA.

O que é trabalho novo

Dois pontos não se reaproveitam, e são justamente os que custam mais tempo.
O primeiro é a cláusula 6.1.4 da ISO 42001, que exige um processo formal de avaliação do efeito do sistema de IA sobre indivíduos, grupos e sociedade ao longo de todo o ciclo de vida, incluindo o uso previsto e o uso indevido previsível. Não existe cláusula equivalente na 27001, porque a 27001 pergunta o que pode dar errado para a organização, e a 42001 pergunta quem pode ser afetado e como, mesmo que esse alguém nunca tenha escolhido interagir com o sistema.
O segundo é o Anexo A. A ISO 27001:2022 lista 93 controles organizados em quatro temas: organizacional, pessoas, físico e tecnológico. A ISO 42001 lista 38 controles em nove categorias, com foco no ciclo de vida do sistema de IA, na governança de dados usados para treinar e operar o modelo e no uso responsável. Um conjunto trata de segurança da informação em geral. O outro trata do comportamento e do efeito de um sistema que toma ou apoia decisões sobre pessoas.
Documentar esse recorte costuma ser a parte mais lenta do projeto, porque a maior parte das empresas nunca escreveu uma avaliação de impacto nem um inventário de sistema de IA antes de precisar de um.

Um exemplo de como isso aparece na prática

Numa auditoria de mineração sob SOX que conduzi, aprovada pela Ernst & Young sem ressalva, a redução de 90% no tempo de troubleshooting veio da estrutura de governança por trás do controle específico: papéis definidos, evidência rastreável e revisão periódica, antes de qualquer controle individual ser avaliado. A ISO 42001 pede a mesma espinha dorsal, com um recorte diferente, voltado ao sistema de IA em vez de ao ativo de informação.
O erro mais comum que vejo nesse momento é reaproveitar documento sem reaproveitar controle. A tentação é copiar a política de segurança da informação e trocar o título para política de IA. A estrutura do documento pode até se parecer. O conteúdo não pode, porque a 42001 cobre pontos que a 27001 nunca exigiu, como explicabilidade para quem é afetado pela decisão e supervisão humana definida por tipo de decisão. Documento copiado sem esse conteúdo reprova na primeira auditoria interna.

Conclusão

A pergunta de qual norma certificar primeiro depende do risco que já custou caro para a empresa, não de qual norma parece mais relevante em abstrato. Se o histórico é de incidente de dados, a estrutura de informação vem primeiro. Se o histórico é de decisão automatizada questionada por cliente ou regulador, a avaliação de impacto da 42001 resolve o problema mais urgente primeiro, mesmo sem a 27001 ao lado.
Quem já tem a 27001 ganha tempo de auditoria, não ganha o trabalho de inventariar sistemas de IA, montar a avaliação de impacto e selecionar os controles aplicáveis do Anexo A. Isso continua sendo trabalho novo, em qualquer ordem que a empresa escolha.
Este texto é uma versão condensada de uma análise mais longa que publiquei em https://iso42001.com.br/artigos/iso-42001-vs-iso-27001/