IA certificada pela ISO 42001: quem realmente é — e o que mais importa?

Poucos fornecedores de IA são hoje realmente certificados pela ISO 42001, e a amaiko não é um deles: ela é alinhada com a ISO 42001, mas não certificada. Dizemos isso com essa clareza porque o mercado embaralha sistematicamente essa distinção — e porque você pode verificá-la sozinho, para qualquer fornecedor, em dois minutos.

O que você leva deste artigo:

• A ISO/IEC 42001:2023 é a primeira norma internacional para sistemas de gestão de IA, publicada em dezembro de 2023.
• Um certificado só é emitido por um organismo de certificação acreditado — nunca pelo próprio fornecedor.
• Três termos, três afirmações diferentes: certificada, alinhada, ready.
• Verificar leva dois minutos: número do certificado, organismo de certificação, escopo.
• Para a média empresa, geralmente o que decide é outra coisa: onde os dados são processados e o que diz o contrato de tratamento de dados.

O que é a ISO 42001 — e o que significa realmente «certificada»?

A ISO/IEC 42001:2023 estabelece os requisitos de um sistema de gestão de IA: como uma organização identifica riscos de IA, define responsabilidades, documenta decisões e melhora tudo isso continuamente. Foi publicada em dezembro de 2023 pelo comitê conjunto ISO/IEC JTC 1/SC 42.

Importante: a norma descreve um sistema de gestão, não uma característica de produto. Ela não diz nada sobre a qualidade das respostas de um modelo — apenas se o fornecedor opera sua IA de forma controlada.

«Certificada» significa: um organismo de certificação independente e acreditado auditou o sistema de gestão e emitiu um certificado com número, escopo e prazo de validade. Na Alemanha, a DAkkS — o organismo nacional de acreditação alemão — credencia esses organismos. Uma autodeclaração não é uma certificação, por mais convincente que pareça.

Como verificar se um fornecedor de IA é realmente certificado?

Três perguntas, e você vai saber. Faça-as por escrito, assim você também terá a resposta para o seu processo de compras:

1. «Qual é o número do certificado, e qual organismo o emitiu?» Um certificado real tem os dois. Quem indica uma página de marketing em vez disso não tem certificado nenhum.
2. «Esse organismo é acreditado — e por quem?» Organismos de certificação precisam de sua própria acreditação, na Alemanha por meio da DAkkS. Sem acreditação, o papel é só uma opinião.
3. «Qual é o escopo?» A pergunta que mais revela algo. Um certificado pode valer para uma única subsidiária, um único data center ou um único produto — e não para o que você está realmente comprando.

Se faltar uma dessas três respostas, não há certificação. Isso não é um motivo para descartar o fornecedor — mas precisa constar corretamente na sua documentação.

Qual a diferença entre «certificada», «alinhada» e «ready»?

É aqui que o mercado mais confunde as coisas, então, sem rodeios:

• Certificada — auditada e confirmada por um organismo acreditado, verificável pelo número do certificado.
• Alinhada — o sistema de gestão foi construído segundo os requisitos da norma, mas sem auditoria externa. Verificável por documentação e processos, só que sem certificado.
• Ready — o fornecedor se considera pronto para ser certificado. Uma declaração de intenção, não uma prova.

As três podem ser legítimas. Só a primeira é um certificado, e só ela pode ser chamada assim.

Onde a amaiko se posiciona?

A amaiko é alinhada com a ISO 42001, não certificada. Não existe número de certificado nem organismo acreditado ao qual possamos apontar. Se você precisa de uma frase para sua documentação de compliance: «alinhada com a ISO 42001, não certificada». Exatamente isso.

O que podemos comprovar é o processamento: a amaiko opera com infraestrutura própria na Alemanha — os dados não ficam na nuvem da Microsoft, mas em nossa própria infraestrutura, separada dela. a amaiko está em conformidade com o RGPD e é alinhada com o AI Act europeu (Regulamento (UE) 2024/1689). Detalhes na página de segurança.

Critério	O que significa	Comprovação
Certificada pela ISO 42001	Passou por auditoria externa	Número do certificado + organismo acreditado
Alinhada com a ISO 42001	Sistema de gestão construído segundo a norma	Documentação, processos
ISO 42001 ready	Autoavaliação	Nenhuma
Conformidade com o RGPD	Tratamento lícito	Contrato de tratamento de dados, medidas técnicas e organizacionais, registro de atividades
Local de processamento	Qual jurisdição pode acessar	Contrato + localização do data center

O que importa mais que um certificado para a média empresa?

Desconfortável, mas verdadeiro: um certificado não responde à pergunta que sua comissão de funcionários faz. Essa pergunta não é «qual norma?», mas «quem pode acessar nossos dados?».

Três coisas pesam mais na prática.

O local de processamento. Não onde os dados ficam armazenados, mas onde os tokens são realmente processados. Um fornecedor americano com um data center europeu continua sendo um fornecedor americano — uma questão de jurisdição que nenhum certificado resolve. Detalhamos isso em IA em conformidade com o RGPD no Microsoft Teams.

O contrato de tratamento de dados. Subcontratados, prazos de exclusão, direito de instrução. O documento que realmente conta em uma disputa — e mais concreto que qualquer norma.

Se o sistema realmente é usado. Uma IA perfeitamente certificada que ninguém abre é um item de compliance, não uma ferramenta. É exatamente aí que a maioria dos rollouts falha, como mostramos em por que os funcionários ignoram o Copilot.

Quer verificar onde seus dados são realmente processados — com contrato em vez de selo? Agende agora uma demo gratuita.

Perguntas frequentes (FAQ)

A amaiko é certificada pela ISO 42001?

Não. a amaiko é alinhada com a ISO 42001, mas não possui nenhuma certificação segundo essa norma — nem número de certificado, nem organismo de certificação acreditado. Para a documentação interna de compliance, a formulação correta é: «alinhada com a ISO 42001, não certificada».

Como sei se um fornecedor de IA é realmente certificado pela ISO 42001?

Peça o número do certificado, o organismo emissor e o escopo. Esses três dados existem em um certificado real. Verifique também se esse organismo é acreditado — na Alemanha, pela DAkkS, o organismo nacional de acreditação alemão. Se faltar uma dessas três respostas, não há certificação.

Qual é a diferença entre «certificada pela ISO 42001» e «alinhada com a ISO 42001»?

Certificada significa que um organismo independente e acreditado auditou e confirmou o sistema de gestão de IA. Alinhada significa que o fornecedor construiu seu sistema de gestão segundo os requisitos da norma, sem auditoria externa. As duas podem ser legítimas, mas só a primeira é um certificado.

Preciso de certificação ISO 42001 para o AI Act europeu?

Não. O Regulamento (UE) 2024/1689 não exige certificação ISO. Um sistema de gestão conforme a ISO 42001 ajuda a cumprir de forma estruturada os requisitos de documentação e governança, mas não é uma prova exigida por lei.

O que é exatamente a ISO/IEC 42001?

A ISO/IEC 42001:2023 é a primeira norma internacional para sistemas de gestão de IA, publicada em dezembro de 2023. Ela define como uma organização identifica riscos de IA, atribui responsabilidades e documenta decisões. Descreve um sistema de gestão, não uma característica de produto — não diz nada sobre a qualidade das respostas de um modelo.

O que devo verificar em vez de um certificado?

O local de processamento — ou seja, onde os tokens são realmente processados, não apenas onde os dados ficam armazenados —, o contrato de tratamento de dados com subcontratados e os prazos de exclusão, e se o sistema realmente é usado no dia a dia. Um certificado não responde a nenhuma dessas três perguntas.

Quanto custa a amaiko?

a amaiko custa 29,91 € por usuário por mês com faturamento anual (37,39 € com faturamento mensal). Para requisitos de dados mais rígidos, existe a amaiko liberté por 44,87 € por usuário por mês: exclusivamente modelos da Mistral, com todo token processado na UE.