Conformidade como Prova: Quando a Governança Vira Certificado

Em julho de 2026, a Figma anunciou que obteve a certificação ISO/IEC 42001:2023: 38 controles distribuídos em nove objetivos de controle, auditados pela Schellman, um organismo credenciado pela ANAB, cobrindo nove de seus produtos. A empresa resumiu a mudança em uma frase: “Dizer que você usa IA de forma responsável é fácil, mas provar isso para um auditor credenciado é mais difícil.”

Essa frase marca uma transição. Por dois anos, “IA responsável” viveu em slides. Era uma afirmação, uma declaração de valor, um parágrafo numa página de confiança. Em 2026 começou a virar certificado, um documento produzido por um auditor independente que examinou seus controles e assinou o resultado. A distância entre dizer e provar é agora o terreno competitivo.

Duas funções de força chegaram juntas

A passagem da afirmação para a evidência é impulsionada por dois mecanismos que surgiram com poucas semanas de diferença, um voluntário e um regulatório.

O voluntário é a ISO/IEC 42001, a primeira norma internacional de sistema de gestão para inteligência artificial. Ela funciona como a ISO 27001 funciona para segurança: você constrói um sistema de gestão, um terceiro credenciado o audita, e o certificado atesta que o sistema existe e funciona. A certificação da Figma cobre nove objetivos de controle que se leem como um índice de governança: avaliação de impacto de IA, governança e responsabilização, gestão de risco de IA, gestão de ciclo de vida, governança de dados, risco de IA de terceiros, monitoramento, supervisão humana e uso responsável. Nenhuma dessas ideias é inédita. O que é novo é que um auditor externo agora verifica cada uma contra evidência, não contra intenção.

O regulatório é o EU Cloud and AI Development Act, ou CADA, proposto em junho de 2026. Conforme a proposta, o CADA introduz um framework de soberania em quatro níveis para nuvem do setor público, com consequências diretas para operadores ferroviários nacionais, bancos europeus e operadoras de telecomunicações. Onde a ISO 42001 pede que você prove que sua IA é governada, o CADA pede que você prove onde seus dados e modelos residem fisicamente e quem pode forçar acesso a eles. A soberania vira uma propriedade auditável, não um adjetivo de marketing.

Por que “usamos IA de forma responsável” deixou de bastar

Uma afirmação não tem custo de entrada. Qualquer fornecedor pode escrevê-la, e até 2026 quase todos escreveram. Quando toda página inicial diz a mesma coisa, a frase não carrega informação. Os compradores aprenderam a descontá-la.

Um certificado auditado tem custo. Alguém precisou construir o sistema de gestão, reunir a evidência, submeter-se ao exame e passar. Esse custo é exatamente o que torna o certificado um sinal. Ele não pode ser copiado da página de marketing de um concorrente. O enquadramento da Figma é preciso: a parte fácil é a afirmação, a parte difícil é a prova, e a parte difícil é agora a que fecha contratos em compras reguladas.

Essa é a lógica composta da verificação. Como explorei em Model Cards São Governança como Produto, artefatos de governança ganham valor quando se tornam externamente legíveis. Um model card documenta um sistema. Um certificado faz algo mais forte: coloca o credenciamento de um terceiro por trás da documentação. O artefato interno diz “aqui está o que fizemos.” A auditoria externa diz “um organismo credenciado confirmou que fizeram.”

O que um auditor de fato verifica

Cada um dos nove objetivos da ISO 42001 carrega uma exigência específica de evidência. Uma política escrita é onde você começa. O auditor quer prova de que ela funciona.

Avaliação de impacto de IA pede análise documentada com data anterior à implantação. Um documento gerado após um incidente falha nesse objetivo. Governança e responsabilização pergunta quem é dono de cada decisão, por nome e cargo. Gestão de risco pede um registro vivo e atualizado, com histórico de revisões recentes. Gestão de ciclo de vida pergunta como modelos são versionados, aposentados e reavaliados. Governança de dados pede linhagem. Risco de terceiros pergunta o que você sabe sobre os modelos que não construiu. Monitoramento pede a telemetria. Supervisão humana pergunta onde uma pessoa pode intervir e se essa intervenção é registrada. Uso responsável pede os limites e a aplicação por trás deles.

Um auditor credenciado trata cada objetivo como um auditor financeiro trata um livro contábil. Afirmações sem evidência reprovam. É por isso que o certificado significa algo: é verificação adversária, feita por alguém cujo credenciamento depende de ser rigoroso.

Soberania está virando aplicada por plataforma, não documentada

O framework de quatro níveis do CADA muda como a soberania é demonstrada. Um PDF descrevendo sua política de residência de dados é documentação. Um regulador pedindo a um banco nacional que prove residência quer aplicação, algo que a plataforma garante por construção.

Conforme a análise da CNCF publicada em julho de 2026, equipes construindo para soberania estão convergindo para um padrão específico: Kubernetes com OpenStack, GitOps e política-como-código com OPA ou Kyverno, em vez de comprar o “SKU de soberania” de um hyperscaler. A razão é que política-como-código transforma uma regra de residência em uma restrição executável. Uma política Kyverno que bloqueia qualquer workload de ser agendado fora de uma região aprovada aplica a regra em tempo de execução. Ela admite ou rejeita o workload, e a rejeição é registrada. Quando o auditor chega, a evidência é o histórico de decisões do motor de políticas, não uma declaração assinada por um time comercial.

Isso espelha o argumento de Especificações de Agentes São Artefatos de Governança: o ativo durável de governança é a restrição legível por máquina e aplicada, não a descrição legível por humano da intenção. Soberania segue a mesma trajetória. O nível que você reivindica é tão real quanto a política que o aplica.

A assimetria que isso cria

Dois fornecedores concorrem ao mesmo contrato regulado. Um diz que usa IA de forma responsável e mantém dados na região. O outro entrega um certificado ISO 42001 de um auditor credenciado e um rastro de auditoria do motor de políticas mostrando a decisão de posicionamento de cada workload nos últimos doze meses.

O segundo fornecedor encerra a discussão. O time de conformidade do comprador pode encaminhar o certificado ao seu próprio auditor e marcar uma caixa que o primeiro fornecedor deixa aberta. Em compras reguladas, uma caixa aberta é um negócio parado.

Essa assimetria se acumula. A organização que constrói o sistema de gestão uma vez pode certificar repetidamente, estender a cobertura a novos produtos e responder a toda auditoria futura de uma posição estabelecida. A organização que trata governança como slide precisa reconstruir evidência sob pressão de prazo toda vez que um regulador ou um grande cliente pergunta. Uma tem postura de auditoria permanente. A outra tem um exercício de emergência.

Faça isto agora

Escolha um sistema de IA que toca um cliente regulado ou um mercado regulado, e rode-o contra os nove objetivos da ISO 42001 como uma avaliação de lacunas. Não para certificar amanhã, mas para descobrir honestamente quais objetivos você já consegue evidenciar e quais ainda são apenas afirmações. Para cada objetivo que é só afirmação, identifique se a evidência deve vir de um documento, de um log ou de uma política aplicada. Respostas de documento satisfazem os objetivos mais fracos. Respostas de política aplicada satisfazem os mais fortes, e são elas que um regime de soberania como o CADA vai eventualmente exigir.

As organizações que começarem essa avaliação agora, enquanto a certificação é um diferencial, terão uma vantagem assinada quando ela virar requisito. As que esperarem construirão o mesmo sistema de gestão depois, sob pressão de auditoria, a custo maior e sem a dianteira.

A afirmação sempre foi fácil. A prova é o produto agora.

Fontes

Figma. “Trust You Can Verify: Figma is now ISO 42001 Certified.” Julho de 2026.
CNCF. “How data sovereignty is changing cloud native infrastructure design.” Julho de 2026.

A Victorino ajuda organizações a transformar afirmações de IA responsável em evidência pronta para auditoria que resiste ao escrutínio de terceiros: contato@victorino.com.br | www.victorino.com.br