ISO 42001: a história da ISO 27001 está se repetindo — e você já sabe como termina

Você já viu esse filme.

Uma norma técnica surge. As empresas ignoram. Reguladores começam a citar. Grandes corporações incluem no contrato. Quem não tem, fica de fora da licitação.

A ISO 27001 passou exatamente por isso. Levou menos de uma década para sair de "documento técnico opcional" para "requisito de entrada em clientes enterprise".

A ISO 42001 está no mesmo trilho. Só que o trem está mais rápido.

Como a ISO 27001 virou cláusula contratual obrigatória

A ISO 27001 foi publicada em 2005. Nos primeiros anos, era território de nicho — auditorias de TI, seguradoras, alguns bancos.

Em 2013 veio a revisão. O mercado financeiro começou a exigir. Depois vieram as contratações governamentais. Depois os grandes varejistas e as fintechs.

Em 2018, a LGPD entrou em vigor no Brasil. A ISO 27001 virou atalho de conformidade. Contratos de fornecimento passaram a pedir. RFPs corporativas adicionaram como critério eliminatório.

Hoje, uma empresa de serviços de TI sem ISO 27001 simplesmente não entra em certas rodadas de venda.

Não é opinião. É o que os compradores fazem.

O ciclo completo levou cerca de 13 anos. Do lançamento ao requisito obrigatório de mercado.

O paralelo exato com ISO 42001

A ISO 42001 foi publicada em dezembro de 2023. É a norma de sistema de gestão de IA — o primeiro padrão internacional especificamente construído para governança de inteligência artificial.

Já em 2024, o AI Act europeu entrou em vigor com obrigações vinculantes. O regulador brasileiro de IA está em consulta pública. A SEC americana sinalizou disclosure de IA em relatórios financeiros.

Contratos com empresas europenas já começaram a incluir cláusulas de conformidade com o AI Act — que referencia diretamente frameworks de gestão de IA compatíveis com ISO 42001.

O prazo? A compressão é evidente. O que levou 13 anos na ISO 27001 vai levar 5 a 7 na ISO 42001.

Por uma razão simples: a pressão regulatória já veio antes do mercado amadurecer. Na ISO 27001, o mercado puxou. Na ISO 42001, o regulador está puxando junto — ao mesmo tempo.

Onde estamos agora e para onde vai

Estamos em 2026. A ISO 42001 tem menos de 3 anos de vida.

Mas os sinais são claros:

Empresas globais de auditoria — Deloitte, PwC, KPMG — já oferecem certificação ISO 42001 formalmente. Isso não acontece quando não há demanda de cliente.

O TCU publicou em 2024 referências diretas a frameworks de governança de IA. Licitações públicas federais estão sendo desenhadas com esses requisitos.

Seguradoras de cyber risk e D&O já começam a perguntar sobre governança de IA nos questionários de subscrição. Quando a seguradora pergunta, o risco está precificado.

O movimento é o mesmo. A diferença é velocidade e pressão simultânea.

Em 2027 a ISO 42001 estará em RFPs de grandes empresas. Em 2028 estará em contratos de fornecimento como cláusula padrão. Quem começar em 2027 vai chegar tarde.

Quanto tempo leva para certificar — e por que começar antes

Certificação ISO 42001 não acontece em 30 dias.

Uma empresa que parte do zero — sem políticas de IA, sem inventário de sistemas, sem processo de avaliação de risco — leva entre 9 e 18 meses para estar pronta para auditoria.

Por quê?

Porque a norma exige que o sistema de gestão funcione, não apenas que exista no papel. O auditor quer ver evidências de ciclos de melhoria, atas de revisão, registros de incidentes, treinamentos aplicados.

Isso demanda tempo de operação real do sistema.

Uma empresa que começa hoje, em 2026, pode estar certificada em 2027 — quando o mercado ainda vai tratar isso como diferencial. Quem esperar até 2028 vai correr para se adequar enquanto perde contratos.

A vantagem de ser early mover em certificação não é só o certificado. É o processo. Quem constrói primeiro aprende onde estão os riscos reais. Quem corre para certificar aprende a passar na auditoria — que é diferente.

O que fazer enquanto ainda é vantagem competitiva

Primeiro: saiba onde você está.

Sem inventário de sistemas de IA, você não tem ponto de partida. Sem mapeamento de risco, você não sabe o que precisa controlar.

Diagnóstico não é opcional — é o passo zero.

Segundo: não espere a norma estar "estabilizada". A ISO 27001 também foi revisada em 2013 e 2022. Quem ficou esperando a versão final para começar nunca ficou pronto na hora certa.

Terceiro: use o período 2026–2027 para construir o sistema de gestão com calma. Sem pressão de prazo de contrato. Sem auditoria emergencial. Sem treinamento em fim de semana.

A janela existe. Não vai durar.

Quem estava em 2008 pensando "a ISO 27001 é coisa de banco" e não se mexeu, em 2020 estava pagando consultoria de emergência para não perder cliente.

A história é a mesma. Você já sabe como termina.

A pergunta é: em qual lado você vai estar?

Faça o diagnóstico de governança de IA agora: alc.ia.br/diagnostico