Se eu perguntasse hoje “quantos sistemas de Inteligência Artificial a sua empresa usa?”, a resposta mais comum seria “nenhum” ou “só estamos testando um chatbot”. Na prática, quase sempre é mentira — não por má-fé, mas porque a IA entrou pela porta dos fundos: dentro de um CRM, de uma planilha de score, de um plugin de triagem de currículos, de uma funcionalidade “nova” que o fornecedor de software ativou sem avisar.
É exatamente aqui que começa a ISO/IEC 42001: antes de falar em política, controle ou auditoria, a norma pede que a organização entenda o próprio contexto — e isso inclui saber, de fato, onde a IA já está operando.
O que a cláusula 4 pede, em termos simples
A cláusula 4 (Contexto da organização) não é um checklist técnico — é o ponto de partida que sustenta todo o resto do Sistema de Gestão de IA (SGIA). Ela pede três coisas, nessa ordem:
- Entender o contexto — quais fatores internos e externos afetam a forma como sua empresa usa (ou vai usar) IA: regulação do seu setor, maturidade tecnológica, dependência de fornecedores, expectativas de clientes.
- Entender as partes interessadas — quem é afetado pelas decisões que a IA participa: clientes, colaboradores, reguladores, parceiros — e o que cada um espera ou exige.
- Definir o escopo do SGIA — o que entra e o que fica de fora do sistema de gestão.
Nenhuma dessas três etapas é possível sem uma coisa que a maioria das empresas simplesmente não tem: um inventário real dos sistemas de IA em uso.
Um cenário comum (em qualquer setor)
Pegue três exemplos de segmentos diferentes:
- Uma fintech usa um modelo de score de crédito embutido no motor de análise que comprou pronto — ninguém internamente chama isso de “projeto de IA”, é só “o sistema que aprova ou nega”.
- Uma clínica usa uma ferramenta de apoio a laudos que sinaliza exames com “possível alteração” — parece um recurso do software de imagem, não um sistema de IA sob governança.
- Uma transportadora usa roteirização automática que decide, sem intervenção humana, qual motorista pega qual carga — e isso nunca entrou em nenhuma ata de reunião.
Nos três casos, existe um sistema tomando ou influenciando decisões relevantes — e nenhum deles está em lista nenhuma. É esse ponto cego que a cláusula 4 força a fechar.
Como montar esse inventário na prática
Não precisa ser complexo para ser útil. Para cada sistema (comprado, contratado ou desenvolvido internamente) que usa dados para gerar uma previsão, classificação, recomendação ou decisão, vale registrar:
- Para que serve — que decisão ou processo ele apoia ou substitui.
- Que dados usa — inclusive se envolve dados pessoais ou sensíveis.
- Quem é afetado — cliente final, colaborador, terceiro.
- Quem é o responsável interno — quase sempre esse campo fica em branco na primeira tentativa, e isso já é um achado.
- Nível de autonomia — o sistema decide sozinho ou só sugere para um humano decidir?
Um detalhe que costuma passar despercebido: sistema de terceiro também entra no inventário. Não é porque a IA foi comprada pronta, dentro de outro software, que ela sai da responsabilidade da empresa que a usa.
Um erro comum de interpretação
Muita gente lê “contexto da organização” e tenta encaixar isso numa SWOT genérica, ou copia trechos da própria norma achando que isso já cumpre o requisito. Não cumpre. O que a cláusula 4 pede é específico: contexto aplicado à IA — e o inventário de sistemas é o jeito mais direto de gerar essa evidência, não um exercício teórico à parte.
Vale lembrar também que esse levantamento não é algo que se faz uma vez e arquiva — sistemas de IA mudam, são atualizados, ganham novas funções. O inventário precisa ser revisado com a mesma regularidade que qualquer outro processo do sistema de gestão.
Fechamento
Nós fizemos exatamente esse exercício aqui na Quality Lean, como parte da implementação do nosso próprio Sistema de Gestão de IA — e o primeiro resultado, antes de qualquer política ou controle, foi descobrir sistemas que ninguém tinha listado. Se você quiser trocar uma ideia sobre como estruturar esse levantamento na sua empresa, é só chamar.
