A ISO/IEC 42001 trata da gestão de sistemas de IA dentro da organização. Quando contratos e clientes pedem confiança, o teste de segurança das aplicações com IA é uma evidência que sustenta o que a empresa afirma.
A ISO/IEC 42001:2023 é a norma internacional de sistema de gestão de inteligência artificial, publicada em dezembro de 2023 pela ISO e pela IEC. Segundo a ISO, ela define requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de IA dentro da organização, e vale para qualquer empresa que ofereça ou use produtos e serviços que utilizem sistemas de IA. Na prática, a pergunta chega pelo cliente: grandes compradores B2B passaram a querer saber como a fornecedora governa o uso de IA, e a norma virou uma linguagem comum para essa conversa, já que a empresa mostra que tem processo e responsabilidades definidos. A norma não é lei e não é um manual técnico de segurança. É aqui que o teste entra. Uma empresa que afirma ter a IA sob controle precisa demonstrar que as aplicações que a usam resistem a quem tenta abusar delas: o acesso a dados e a modelos, as informações que alimentam e treinam o sistema, as respostas que o sistema entrega e as integrações com outros sistemas. O pentest da LDL entrega essa evidência, com relatório, plano de ação e reteste. Nós testamos; a avaliação de conformidade com a norma é um trabalho separado, de quem audita o sistema de gestão.
O que você recebe
- Relatório de pentest das aplicações com IA do escopo, com evidência e impacto no negócio
- Sumário executivo para diretoria, jurídico e quem responde a clientes
- Plano de ação priorizado para cada achado
- Mapa de quem e o que tem acesso aos dados e aos modelos avaliados
- Reteste das correções, com confirmação do que foi resolvido
- Certificado de pentest verificável em /certificado, quando o escopo permitir
O que cobrimos
Aplicações que usam IA
Avaliamos o sistema como o usuário e o parceiro o veem, incluindo o que acontece quando alguém usa a IA de um jeito que o produto não previu.
Dados que alimentam e treinam a IA
Verificamos se as informações usadas pelo sistema estão protegidas contra acesso indevido, vazamento e alteração.
Acesso a modelos e a recursos
Conferimos quem consegue chamar o modelo, com que permissões e o que ele pode acessar em outros sistemas da empresa.
Integrações e contas de serviço
Avaliamos as conexões entre a IA, as APIs e os sistemas internos, onde um acesso amplo demais costuma passar despercebido.
Indicado para
- Empresas que oferecem produtos ou serviços com IA para clientes corporativos
- Organizações que implantam ou planejam implantar um sistema de gestão de IA baseado na ISO/IEC 42001
- Times que recebem questionários de clientes sobre governança e segurança de IA
- Empresas que usam IA em processos internos com dados sensíveis, como atendimento, análise e decisão
Como conduzimos
Inventário dos sistemas com IA
Reunimos o que a empresa usa e oferece com IA, os dados envolvidos e os responsáveis por cada sistema.
Definição do escopo e das regras
Combinamos o que será testado, em quais ambientes, e como proteger a operação e os dados durante o teste.
Avaliação manual
Nosso time avalia as aplicações, o acesso aos dados e aos modelos e as integrações, com perfis diferentes de usuário.
Relatório e devolutiva
Apresentamos achados, evidências e plano de ação ao time técnico e à gestão, em linguagem de cada público.
Reteste
Depois das correções, repetimos os testes relevantes e confirmamos o que foi resolvido.
Perguntas Frequentes
O que é a ISO/IEC 42001?
É a norma internacional de sistema de gestão de inteligência artificial, publicada em 2023 pela ISO e pela IEC. Ela estabelece requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de IA dentro de uma organização, e se aplica a empresas de qualquer porte que ofereçam ou usem produtos e serviços com IA.
A ISO 42001 é obrigatória?
Não. É uma norma voluntária, e não uma lei. Na prática, ela passa a ser cobrada quando um cliente, um contrato ou um processo de compra pede evidência de que a empresa governa o uso de IA de forma estruturada.
A norma exige pentest?
Não afirmamos isso. O texto completo da norma é vendido pela ISO e não o reproduzimos aqui, nem inventamos cláusula. O que dizemos é que, para sustentar na prática o que um sistema de gestão de IA promete, o teste de segurança das aplicações é uma evidência útil e comum em conversas com clientes. Para saber o que a sua implementação precisa registrar, consulte o texto oficial da norma ou o seu auditor.
O pentest da LDL certifica a empresa na ISO 42001?
Não. A certificação ou a avaliação de conformidade com a norma é feita por quem audita o sistema de gestão. O pentest avalia a segurança das aplicações e entrega relatório, plano de ação e reteste, que a empresa pode usar como evidência no seu processo.
O que um pentest em aplicações com IA avalia?
Avalia a segurança do sistema como um todo: quem acessa os dados e os modelos, se as informações estão protegidas, como a IA se conecta a outros sistemas e se ela pode ser levada a fazer o que não deveria. O foco é o impacto para o negócio, e não os detalhes técnicos do teste.
Quem deve contratar este teste?
Quem oferece IA a clientes corporativos, quem implanta um sistema de gestão baseado na norma e quem usa IA com dados sensíveis. Em geral, a conversa começa quando um cliente pede evidência de segurança, e o ideal é testar antes de ela ser pedida.