ISO 27090 e ISO 42001 explicadas
Jonathan BezdekCTO
5 Min. de leitura
A ISO 27090 orienta o trabalho de segurança da IA. A ISO 42001 define requisitos para um sistema de gestão de inteligência artificial, ou AIMS. As organizações podem usá-las em conjunto para ligar as práticas de segurança à governação da IA em sentido mais amplo. Fontes: registo de publicação da ISO 27090, registo de publicação da ISO 42001.
ISO 27090 e ISO 42001 em resumo
| Comparação | ISO 27090 | ISO 42001 |
|---|---|---|
| Finalidade principal | Proteger sistemas de IA contra ameaças de segurança | Organizar o desenvolvimento e a utilização responsáveis da IA |
| Tipo de norma | Orientações de segurança | Requisitos para um sistema de gestão de IA |
| Pergunta prática | Como poderia este sistema de IA ser comprometido? | Como governamos a IA de forma consistente em toda a organização? |
| Foco principal | Ameaças aos dados, modelos e fluxos de trabalho de IA | Políticas, responsabilidades, riscos, objetivos e melhoria da IA |
| Exemplos de preocupações | Envenenamento de dados, roubo de modelos e ataques relacionados | Segurança, proteção, transparência, enviesamento e outros riscos da IA |
| Certificação | Orientações; não estabelece uma via de certificação de um AIMS | Certificação voluntária do AIMS da organização |
| Quem a pode usar | Organizações que desenvolvem ou utilizam IA | Organizações que desenvolvem, fornecem ou utilizam IA |
| Edição atual | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Primeira publicação | 14 de outubro de 2026 | 18 de dezembro de 2023 |
Fontes: registo de publicação da ISO 27090, registo de publicação da ISO 42001 e explicação da ISO sobre a ISO 42001.
Os seus âmbitos sobrepõem-se. A ISO 42001 inclui a segurança da IA entre preocupações organizacionais mais amplas. A ISO 27090 também aborda a governação no contexto da segurança da IA. As suas finalidades diferentes explicam como se podem complementar. Fontes: explicação da ISO sobre a ISO 42001, explicação da ISO sobre a ISO 27090.
Certificação ISO 27090 e ISO 42001
A certificação ISO 42001 avalia se o sistema de gestão de IA de uma organização cumpre os requisitos da norma. A certificação é realizada por organismos de certificação independentes; a própria ISO não certifica organizações. Cada aplicação de IA continua a precisar de uma avaliação de segurança. Fonte: explicação da ISO sobre a ISO 42001.
Ao encomendar trabalho com base na ISO 27090, defina a revisão de segurança de que precisa: que sistemas, que cenários de ataque e que evidências irão sustentar as conclusões. Assim, a avaliação tem um âmbito concreto e um resultado útil.
Que norma deve usar
Escolha em função do problema que precisa de resolver. Esta tabela é um guia prático de decisão.
| A sua situação | Onde se concentrar | Próximo passo recomendado |
|---|---|---|
| A utilização da IA não tem responsáveis nem regras claras | ISO 42001 | Estabelecer responsabilidades, uma política e um processo de revisão |
| Um modelo ou aplicação enfrenta riscos de ataque específicos | ISO 27090 | Analisar cenários de ataque e selecionar salvaguardas a testar |
| Um cliente pede a certificação do sistema de gestão de IA | ISO 42001 | Definir o âmbito da certificação e avaliar a prontidão |
| A governação da IA existe, mas as evidências de segurança são fracas | Acrescentar as orientações da ISO 27090 | Ligar os riscos de segurança a controlos e resultados de testes |
| Está a lançar um serviço de IA e a construir a governação | Usar ambas em conjunto | Coordenar as responsabilidades de gestão e o trabalho de segurança num único programa |
Um problema urgente de segurança de uma aplicação merece atenção imediata. Um programa de governação mais amplo pode desenvolver-se em paralelo com o trabalho necessário para resolver essa exposição.
Como usar a ISO 27090 e a ISO 42001 em conjunto
Por exemplo, uma empresa que introduz um assistente de IA para apoio ao cliente poderia coordenar o seu trabalho da seguinte forma. Trata-se de opções de implementação ilustrativas.
| Atividade | Como a ISO 42001 pode estruturar o trabalho | Como a ISO 27090 pode orientar o trabalho de segurança |
|---|---|---|
| Planear o serviço | Designar um responsável e acordar a finalidade | Identificar ativos sensíveis e vias de ataque |
| Rever fornecedores | Registar responsabilidades e critérios de revisão | Examinar a exposição através de modelos, dados e dependências |
| Aprovar o lançamento | Registar as decisões de risco e o responsável pela aprovação | Testar os ataques relevantes e as salvaguardas da aplicação |
| Gerir alterações | Rever os resultados e decidir melhorias | Reavaliar a segurança quando os modelos, os dados ou as integrações mudam |
Mantenha um único registo por sistema de IA, com ligações aos seus responsáveis, riscos, controlos, testes e decisões. Reutilize as evidências quando forem relevantes e registe que critérios de avaliação sustentam.
Por exemplo, um teste de segurança pode mostrar se uma ação restrita foi bloqueada. O registo de revisão associado pode mostrar quem avaliou esse resultado e decidiu se o sistema estava pronto para lançamento. Ambos os registos são úteis e respondem a perguntas diferentes.
Para saber como a ISO 42001 se relaciona com o NIST AI RMF e o Regulamento da IA da UE, consulte ISO 42001, NIST AI RMF e o Regulamento da IA: ligar os papéis.
Perguntas frequentes
A ISO 27090 substitui a ISO 42001?
Não. Servem finalidades diferentes: orientações de segurança da IA e requisitos para um sistema de gestão de IA.
As organizações que usam IA de terceiros podem aplicá-las?
Sim. Ambas as normas se dirigem a organizações que utilizam IA.
A certificação ISO 42001 prova que todas as aplicações de IA são seguras?
Não. Avalia o sistema de gestão de IA. A segurança das aplicações continua a precisar de avaliação.
Fontes: explicação da ISO sobre a ISO 27090 e explicação da ISO sobre a ISO 42001.
Ligue a governação da IA às evidências de segurança
Comece pelo resultado de que precisa: responsabilidades mais claras sobre a IA, maior segurança das aplicações ou uma combinação de ambas. Atribua um responsável ao trabalho e decida que evidências irão demonstrar o progresso.
O Secani liga requisitos, riscos, controlos, evidências, responsáveis e decisões de revisão num único espaço de trabalho. Fale com a Secani sobre como organizar o seu trabalho de governação e segurança da IA.
Construa fluxos de conformidade auditáveis
A Secani liga âmbitos, evidências, tarefas e agentes de IA num espaço de trabalho partilhado.
Artigos relacionados
Todos os artigosGovernação de IA
A ISO 27090 explicada para equipas de segurança da IA
Um guia prático sobre a nova norma de cibersegurança da IA, os ataques que aborda e as evidências que as equipas de segurança podem utilizar.
Governação de IA
ISO 42001, NIST AI RMF e o Regulamento da IA: ligar os papéis
Utilize sistemas de gestão de IA e referenciais de risco para organizar a governação, avaliando separadamente os requisitos jurídicos do Regulamento da IA.
Governação de IA
Regulamento da IA da UE: classifique os seus casos de utilização e planeie as evidências
Uma abordagem atual e baseada em papéis para a preparação para o Regulamento da IA, incluindo o calendário atualizado da Comissão, a avaliação de risco elevado e uma governação responsável.