ISO 42001 não é lei em país nenhum, mas o cliente já cobra como se fosse

O problema

Nenhum país tornou a ISO/IEC 42001 obrigatória por lei. Não o Brasil, não a União Europeia. E ainda assim a pergunta "isso é obrigatório?" aparece cada vez mais em reunião de diretoria. Eu audito sistemas críticos sob SOX, ITIL e LGPD há quase vinte anos, e vejo o mesmo padrão se repetir com toda norma nova: ela é voluntária no papel, e quem cobra na prática não é o legislador.
São três fontes de pressão diferentes, e misturá-las leva a duas decisões ruins: ignorar o assunto porque "não é lei ainda", ou certificar às pressas achando que isso resolve uma obrigação legal que nem existe.

O que já é obrigatório, com ou sem ISO 42001

A LGPD trata de decisão automatizada desde que entrou em vigor, no artigo 20. Qualquer sistema que decida crédito, contratação ou preço sem revisão efetiva cai nesse guarda-chuva, com ISO ou sem. A redação aprovada pelo Congresso previa revisão humana explícita; essa palavra caiu na versão sancionada, mas a exigência de revisão capaz de mudar o resultado continua valendo. Essa obrigação roda desde 2020, sem esperar nenhuma lei de IA nova.
Fora da LGPD, o cenário mais comum que encontro é ISO 42001 virando cláusula de contrato: due diligence, licitação ou renovação pedindo evidência de gestão de dados e de modelos de IA. Auditoria externa, Big Four ou não, pergunta por controle de acesso, log e rastreabilidade de decisão, com IA ou sem.

O que a certificação cobre, e o que não cobre

Aqui está o ponto que mais gente erra, inclusive consultoria vendendo a certificação como escudo jurídico. O EU AI Act prevê, no Artigo 40, que sistemas de alto risco em conformidade com normas harmonizadas publicadas no Jornal Oficial da União Europeia são presumidos conformes com o regulamento. A presunção não nasce da qualidade técnica da norma; nasce de um procedimento formal de citação que a Comissão Europeia controla.
A ISO/IEC 42001 não passou por esse procedimento e não está citada no Jornal Oficial. A norma desenhada especificamente para o Artigo 17 do AI Act é a EN 18286, não a ISO 42001. São objetos diferentes: a ISO 42001 certifica um sistema de gestão organizacional; o AI Act regula cada sistema de IA de alto risco individualmente, como produto.
Isso não torna a certificação inútil. Boa parte do trabalho de preparação é o mesmo: política, inventário, avaliação de risco, auditoria interna. Só que, juridicamente, a presunção de conformidade com o AI Act não existe enquanto nenhuma norma harmonizada estiver publicada.
E o PL 2338 brasileiro? O Senado aprovou o texto em dezembro de 2024 e o enviou para a Câmara. Desde então o projeto está parado numa comissão especial esperando parecer do relator, com votação empurrada para depois das eleições de outubro de 2026. A Câmara já incorporou mais de trinta propostas apensadas ao texto original, e esse volume de emenda costuma mudar detalhe até o fim. O que dá pra afirmar com segurança é a estrutura geral, regulação baseada em risco, parecida com o desenho europeu, não uma lista fechada de normas obrigatórias.

Um exemplo de fora do mundo de IA

Uma das auditorias que conduzi foi de controles de TI sob SOX numa mineradora, aprovada pela Ernst & Young sem ressalvas. Não foi um caso de ISO 42001, a norma nem existia com esse escopo na época. Mas o mecanismo de pressão é o mesmo que vejo hoje em governança de IA: o auditor externo não pergunta se você tem certificado, pergunta se você tem controle documentado, testável e com dono.

Quando vale certificar mesmo sem lei obrigando

Eu considero a certificação em três situações concretas, não como regra geral: quando o cliente já pede, formal ou informalmente, numa licitação ou contrato B2B; quando a empresa vende produto baseado em IA para o mercado europeu e precisa mostrar maturidade de gestão; quando o conselho ou o jurídico já está nervoso o bastante para pedir alguma evidência formal.
Fora dessas três situações, o caminho mais barato costuma vir primeiro: inventário dos sistemas de IA em uso e uma política curta assinada pela diretoria. Esse caminho falha quando três ou quatro clientes grandes já pedem evidência formal ao mesmo tempo; nesse ponto, organizar a documentação uma vez custa menos que responder cada due diligence manualmente.

Conclusão

A resposta certa pra "é obrigatório" depende de quem está cobrando, não de um sim ou não simples. Cliente, auditor e investidor já cobram, mesmo sem lei nenhuma. O legislador brasileiro ainda não decidiu nada, e o legislador europeu decidiu, mas não do jeito que boa parte da consultoria está vendendo por aí.
Este texto é uma versão condensada de uma análise mais longa que publiquei em https://iso42001.com.br/artigos/iso-42001-e-obrigatoria/