ISO/IEC 42001

A ISO/IEC 42001 segue a estrutura harmonizada das normas de sistemas de gestão da ISO, como a ISO/IEC 27001, de modo que as cláusulas 4 a 10 tratam de contexto, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria. O que a torna específica para IA é a exigência de avaliações de riscos de IA, tratamento desses riscos e avaliações de impacto de sistemas de IA, junto com o Anexo A, um conjunto de controles de referência sobre políticas de IA, organização interna, recursos, avaliação de impacto, ciclo de vida do sistema de IA, dados, informações para partes interessadas, uso responsável e relações com terceiros. A organização justifica os controles que aplica em uma declaração de aplicabilidade.

A norma vale para qualquer organização que desenvolva, forneça ou use IA, independentemente do porte. Ela pode ser certificada por um organismo de certificação acreditado, o que a torna uma forma comum de mostrar a clientes e reguladores que a governança de IA é sistemática. A certificação não demonstra por si só a conformidade com o AI Act, embora as evidências produzidas costumem apoiá-la. A construção do sistema é tratada na RAIL; sua auditoria, na AUDAI.