Uma análise de gap ISO/IEC 42001 compara o sistema de gestão de IA de uma organização com o que a norma espera e mostra o que falta antes de uma auditoria de certificação. Esta ferramenta usa 32 verificações escritas com palavras próprias, organizadas pelas cláusulas 4 a 10 e pelos temas do anexo A, e devolve a prontidão por cláusula, as lacunas por prioridade, um roteiro de 30, 60 e 90 dias e as evidências a reunir.
Como usar
- Informe a organização, o papel dela com IA (desenvolve, usa ou ambos) e a meta de auditoria.
- Em cada etapa, marque o que está implementado e o que está parcial. O que ficar sem marca conta como não iniciado.
- Nos temas do anexo A, marque como não aplicável só o que você consegue justificar na declaração de aplicabilidade.
- Leia a prontidão, a faixa, as lacunas e o roteiro, e exporte em PDF, DOCX, Markdown ou CSV para o plano de projeto.
O que cada campo pede
| Campo | O que preencher |
|---|---|
| Organização (opcional) | Ex.: Seguradora Norvia |
| Papel da organização com IA | Muda a ordem do roteiro: quem usa IA de terceiros antecipa fornecedores e uso. |
| Meta | Usada para avisar quando o prazo parece curto para a prontidão atual. |
| Cláusulas 4 e 5: implementado | Marque o que já funciona e tem evidência. O que ficar sem marca nas listas conta como não iniciado. |
| Cláusulas 4 e 5: parcial | Existe, mas incompleto, sem aprovação ou sem registro. |
| Cláusula 6: implementado | Marque o que já funciona e tem evidência. O que ficar sem marca nas listas conta como não iniciado. |
| Cláusula 6: parcial | Existe, mas incompleto, sem aprovação ou sem registro. |
| Cláusula 7: implementado | Marque o que já funciona e tem evidência. O que ficar sem marca nas listas conta como não iniciado. |
| Cláusula 7: parcial | Existe, mas incompleto, sem aprovação ou sem registro. |
| Cláusulas 8 a 10: implementado | Marque o que já funciona e tem evidência. O que ficar sem marca nas listas conta como não iniciado. |
| Cláusulas 8 a 10: parcial | Existe, mas incompleto, sem aprovação ou sem registro. |
| Anexo A (políticas a impacto): implementado | Marque o que já funciona e tem evidência. O que ficar sem marca nas listas conta como não iniciado. |
| Anexo A (políticas a impacto): parcial | Existe, mas incompleto, sem aprovação ou sem registro. |
| Anexo A (políticas a impacto): não aplicável | Só temas do anexo A podem ser excluídos, com justificativa na declaração de aplicabilidade. |
| Anexo A (ciclo de vida e dados): implementado | Marque o que já funciona e tem evidência. O que ficar sem marca nas listas conta como não iniciado. |
| Anexo A (ciclo de vida e dados): parcial | Existe, mas incompleto, sem aprovação ou sem registro. |
| Anexo A (ciclo de vida e dados): não aplicável | Só temas do anexo A podem ser excluídos, com justificativa na declaração de aplicabilidade. |
| Anexo A (uso e terceiros): implementado | Marque o que já funciona e tem evidência. O que ficar sem marca nas listas conta como não iniciado. |
| Anexo A (uso e terceiros): parcial | Existe, mas incompleto, sem aprovação ou sem registro. |
| Anexo A (uso e terceiros): não aplicável | Só temas do anexo A podem ser excluídos, com justificativa na declaração de aplicabilidade. |
Exemplo
A Seguradora Norvia, fictícia, usa sistemas de IA de terceiros e quer a auditoria em até 12 meses. Tem escopo, política, papéis e patrocínio da direção implantados, mas a avaliação de risco e de impacto e o plano de tratamento estão parciais, e ainda não fez auditoria interna nem análise crítica. A prontidão geral ficou em 52% (cláusulas 52%, anexo A 50%), faixa Em desenvolvimento, com 23 lacunas: 4 para os primeiros 30 dias, 10 para 60 dias e 9 para 90 dias. As cláusulas mais fracas são 10 Melhoria (0%), 9 Avaliação de desempenho (17%) e 6 Planejamento (50%).
Quando usar
- Antes de decidir buscar a certificação ISO/IEC 42001, para estimar o esforço.
- No início da implantação do sistema de gestão de IA, para montar o plano de projeto.
- Alguns meses antes da auditoria de certificação, para conferir se as evidências existem.
- Depois de uma auditoria interna, para acompanhar o fechamento das lacunas.
Perguntas frequentes
O que é uma análise de gap ISO 42001?
É uma comparação entre o que a organização já faz para governar a IA e o que a ISO/IEC 42001 espera de um sistema de gestão de IA. O resultado é a lista do que falta, com prioridade, para orientar a implantação antes da auditoria.
Por que as cláusulas 4 a 10 não têm a opção não aplicável?
Porque são os requisitos do sistema de gestão e valem para toda organização que busca a certificação. Só os controles do anexo A podem ser excluídos, e cada exclusão precisa de justificativa na declaração de aplicabilidade.
Como a prontidão é calculada?
Cada item implementado vale 1 ponto, parcial vale 0,5 e não iniciado vale 0; os itens não aplicáveis saem da conta. A prontidão é o total de pontos dividido pelos itens aplicáveis, por cláusula, por tema e no geral.
O que significa quase pronta para auditoria?
Pelo menos 80% no geral e nas cláusulas, nenhum item de cláusula não iniciado e sete itens essenciais implementados: escopo, política, avaliação de risco, processo de avaliação de impacto, tratamento de riscos, auditoria interna e análise crítica pela direção. Abaixo de 40% a faixa é inicial.
O resultado certifica a organização na ISO/IEC 42001?
Não. A certificação de um sistema de gestão só é concedida por um organismo de certificação acreditado, depois de uma auditoria. A ferramenta é educativa, reflete a percepção de quem respondeu e não é auditoria nem parecer jurídico.
Qual certificação DPCert cobre este tema?
O sistema de gestão de IA segundo a ISO/IEC 42001 é tema da RAIL Responsible AI Leader. Para quem conduz a auditoria interna, a AUDAI Responsible AI Auditor cobre a auditoria segundo a norma. A DPCert certifica pessoas, não sistemas de gestão.