ISO/IEC 27090, EN 18286 e IEEE 2863: as 3 novas normas de governação da IA de 2026 em resumo

Três normas em três dias: porque é que outubro de 2026 é importante para a governação da IA

Entre 14 e 16 de outubro de 2026, três normas de governação da IA entraram em cena em simultâneo: a ISO/IEC 27090:2026 foi publicada a 14 de outubro, a EN 18286:2026 foi citada nesse mesmo dia no Jornal Oficial da UE como primeira norma harmonizada ao abrigo do Regulamento da IA, e a IEEE 2863-2026 seguiu-se a 16 de outubro. Três organismos, três perspetivas, um mesmo tema: como podem as organizações desenvolver e operar a IA de forma segura, conforme e responsável?

Para as organizações que desenvolvem ou utilizam IA, vale a pena conhecer as três. Abrangem níveis diferentes – tecnologia, regulação e organização – e complementam-se em vez de concorrerem entre si. Este artigo explica o que as normas contêm, a quem se aplicam e o que fazer já.

As três normas em resumo

ISO/IEC 27090:2026 – Cibersegurança para sistemas de IA

A ISO/IEC 27090:2026 é a primeira norma internacional inteiramente dedicada às ameaças de segurança contra sistemas de IA. O seu título completo é Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. Foi desenvolvida pelo ISO/IEC JTC 1/SC 27, o comité responsável pela ISO/IEC 27001. Registo da norma na ISO

O foco está na proteção dos sistemas de IA e não na utilização da IA para defender contra outros ataques. A norma descreve que ataques são específicos dos modelos, dos dados de treino e dos fluxos de trabalho de IA, como detetá-los e como contrariá-los ao longo de todo o ciclo de vida. Entre eles:

• Envenenamento de dados (data poisoning): dados de treino manipulados que alteram o comportamento do modelo
• Exfiltração de modelos: extração de um modelo através de consultas aparentemente legítimas
• Ataques de evasão, inferência de pertença, inversão de modelos e envenenamento direto de modelos
• Injeção de prompts, bem como resultados do modelo sensíveis ou nocivos

A ISO/IEC 27090 aborda também temas transversais como a modelação de ameaças, o red teaming, o zero trust, a segurança da cadeia de abastecimento, o registo e a monitorização, e a forma como os modelos e as salvaguardas envelhecem ao longo do tempo. O seu princípio orientador é a defesa em profundidade: várias camadas de proteção, porque alguns ataques à IA são difíceis de detetar. Explicação da ISO sobre a ISO 27090

Uma distinção importante: a ISO/IEC 27090 é um guia e não uma norma de requisitos certificável. Acrescenta aspetos de segurança específicos da IA a um SGSI existente segundo a ISO/IEC 27001 e a um sistema de gestão de IA segundo a ISO/IEC 42001. Para as equipas de segurança, é o ponto de entrada natural para integrar os riscos da IA nos processos existentes. Saiba mais em A ISO 27090 explicada para equipas de segurança da IA e em ISO 27090 e ISO 42001 explicadas.

EN 18286:2026 – O sistema de gestão da qualidade para o Regulamento da IA da UE

A EN 18286:2026 é a primeira norma harmonizada ao abrigo do Regulamento da IA da UE – e, por isso, a que tem maior peso jurídico das três. O CEN e o CENELEC publicaram Artificial intelligence – Quality management system for EU AI Act regulatory purposes em julho de 2026. A 14 de outubro de 2026, a Comissão Europeia citou-a no Jornal Oficial da UE através da Decisão de Execução (UE) 2026/2274.

Essa citação é o passo decisivo. Nos termos do artigo 40.º do Regulamento da IA, os prestadores que aplicam uma norma harmonizada publicada no Jornal Oficial beneficiam de uma presunção de conformidade relativamente aos requisitos por ela abrangidos. Em concreto, trata-se do artigo 17.º: os prestadores de sistemas de IA de risco elevado têm de manter um sistema de gestão da qualidade documentado. De acordo com o calendário atualizado, esta obrigação aplica-se a partir de 2 de dezembro de 2027 aos sistemas de risco elevado enumerados no Anexo III e a partir de 2 de agosto de 2028 aos sistemas de risco elevado integrados em produtos regulamentados abrangidos pelo Anexo I. Calendário do Regulamento da IA da Comissão Europeia A EN 18286 converte essa obrigação em requisitos auditáveis, incluindo:

• Controlos de conceção e desenvolvimento
• Gestão de riscos e gestão de dados
• Documentação e registos
• Acompanhamento pós-comercialização e tratamento de incidentes

As organizações devem ter três aspetos em mente. Primeiro: a aplicação da norma continua a ser voluntária; a conformidade pode ser demonstrada de outras formas – só que sem a presunção. Segundo: a presunção abrange apenas os requisitos que a norma efetivamente trata, e não todo o Regulamento da IA. Terceiro: a ISO/IEC 42001 não é um substituto. A norma internacional para sistemas de gestão de IA é certificável, mas não é uma norma harmonizada e não gera presunção de conformidade. As organizações que já operam um sistema segundo a 42001 têm uma boa base, mas devem mapear os seus processos face à EN 18286. Nemko Digital sobre a EN 18286

Estão em preparação outras normas harmonizadas sobre gestão de riscos, qualidade dos dados, transparência, supervisão humana e cibersegurança, mas ainda não foram citadas. Neste momento, a EN 18286 é a única referência do Regulamento da IA no Jornal Oficial. Para saber como classificar os seus casos de utilização de IA ao abrigo do Regulamento, leia Regulamento da IA da UE: classifique os seus casos de utilização e planeie as evidências.

IEEE 2863-2026 – Governação organizacional da IA

A IEEE 2863-2026 começa um nível acima: com a questão de como uma organização, no seu todo, governa a IA de forma responsável. A IEEE Recommended Practice for Organizational Governance of Artificial Intelligence foi publicada pela IEEE Standards Association a 16 de outubro de 2026 – após mais de seis anos de desenvolvimento (início do projeto em fevereiro de 2020, aprovação pelo conselho em junho de 2026). Página da norma no IEEE SA

A norma dirige-se ao órgão de governo da organização – a administração executiva, o conselho de administração ou o conselho de supervisão – e assenta em três componentes:

1. Princípios de governação que o órgão deve priorizar
2. Processos que põem esses princípios em prática
3. Estudos de caso de aplicações concretas de IA que mostram como os processos concretizam os princípios – incluindo a forma de resolver conflitos entre princípios

Os temas-chave que o IEEE identifica vão da responsabilização, transparência, explicabilidade e supervisão humana à privacidade, segurança e não discriminação, até à sustentabilidade e ao bem-estar. Do lado dos processos, incluem auditoria, red teaming, resposta a incidentes, supervisão do ciclo de vida, gestão da cadeia de valor, desenvolvimento de competências e envolvimento das partes interessadas.

Enquanto Recommended Practice, a IEEE 2863 formula recomendações e não requisitos certificáveis. O seu valor reside em fazer a ponte entre princípios éticos abstratos e processos de decisão concretos ao nível da gestão de topo. Descreve também a forma como as organizações lidam com instrumentos de governação externos: regulação, normas profissionais, códigos de conduta e expectativas públicas em relação a uma IA responsável.

Como as três normas se articulam

As três normas abordam três níveis que, na prática, se sobrepõem:

A ISO/IEC 42001 é uma base comum natural. O sistema de gestão de IA fornece a estrutura na qual se podem encaixar os princípios de governação (IEEE 2863), os requisitos regulamentares do sistema de gestão da qualidade (EN 18286) e as medidas de segurança (ISO/IEC 27090). A EN 18286 está estruturalmente alinhada com a ISO/IEC 42001 sem a substituir; a ISO/IEC 27090 remete para a 42001 como quadro de gestão; a IEEE 2863 descreve o nível de governação acima. Quem trata as três normas em separado constrói os mesmos processos três vezes – quem as trata como camadas de um único sistema poupa esforço e evita contradições.

O que as organizações devem fazer já

As prioridades dependem do seu papel na cadeia de valor da IA:

• Prestadores de IA de risco elevado na UE: adquiram a EN 18286 e realizem uma análise de lacunas face ao vosso sistema de gestão da qualidade atual. Se já trabalham segundo a ISO 9001, a ISO 13485 ou a ISO/IEC 42001, podem integrar os elementos do Regulamento da IA, mas têm de documentar o mapeamento.
• Equipas de segurança: façam o inventário dos sistemas de IA – incluindo os adquiridos a terceiros. Esclareçam a origem dos dados e dos modelos, alarguem a modelação de ameaças aos ataques específicos da IA e verifiquem como seria detetado e tratado um comportamento suspeito de um modelo. A ISO/IEC 27090 fornece a lista de verificação.
• Administração e conselhos de supervisão: utilizem a IEEE 2863 como quadro para um mandato de governação da IA – definam princípios, atribuam responsabilidades, estabeleçam linhas de reporte e decidam explicitamente os compromissos entre objetivos.
• Todos: acompanhem as próximas normas harmonizadas. A EN 18286 é apenas o início; seguir-se-ão normas sobre gestão de riscos, cibersegurança e registo.

A ISO/IEC 27090 e a EN 18286 são pagas – a ISO/IEC 27090 através da ISO Store e a EN 18286 através dos organismos nacionais de normalização (na Alemanha, DIN Media). A IEEE 2863 está disponível gratuitamente através do IEEE GET Program, podendo também ser adquirida ou consultada por subscrição através do IEEE SA.

Conclusão

Outubro de 2026 marca a passagem da governação da IA dos princípios para normas auditáveis. A ISO/IEC 27090 torna a segurança da IA concreta, a EN 18286 dá ao Regulamento da IA da UE a sua primeira norma harmonizada com presunção de conformidade e a IEEE 2863 ancora a governação da IA ao nível da gestão de topo. Quem conhece as três pode tratar a segurança, a conformidade e a responsabilização como um único sistema – em vez de três projetos separados.

Fontes

• ISO/IEC 27090:2026 – entrada no catálogo e ISO/IEC 27090 explained (ISO)
• Decisão de Execução (UE) 2026/2274 (EUR-Lex)
• EN 18286: EU AI Act Cites New Harmonized QMS Standard (Nemko Digital, 16 de outubro de 2026)
• IEEE 2863-2026 – página da norma (IEEE SA)