Três normas de governança de IA chegaram em uma semana. Veja o que cada uma muda.
ISO/IEC 27090 para segurança de IA, EN 18286 para a gestão da qualidade do EU AI Act, IEEE 2863 para a governança organizacional — e onde cada uma se encaixa.
Entre 14 e 16 de outubro de 2026, chegaram três normas sobre as quais todo programa de governança de IA será questionado. Elas têm funções diferentes, e apenas uma tem papel formal perante a lei.
A ISO/IEC 27090:2026 traz orientações sobre ameaças de segurança e comprometimentos de sistemas de IA. Ela aborda os ataques que os controles convencionais não detectam — envenenamento de dados e de modelos, evasão, inferência de pertencimento, inversão de modelos, extração de modelos por meio de consultas de aparência comum e injeção de prompts e de saídas — e as mitigações: modelagem de ameaças, red teaming, registro e monitoramento, segurança da cadeia de suprimentos e limitação do uso de modelos. Ela se apoia na ISO/IEC 27001 e complementa a ISO/IEC 42001. Não é certificável.
A EN 18286:2026 é a primeira norma harmonizada no âmbito do EU AI Act. Sua referência foi publicada no Jornal Oficial em 14 de outubro de 2026, de modo que segui-la confere presunção de conformidade com os requisitos do sistema de gestão da qualidade do Artigo 17 que ela abrange. Essa presunção é mais restrita do que parece: cobre os pontos listados no Anexo ZA da norma, não o Artigo 17(2) a (4), e não é um certificado. A ISO/IEC 42001 se sobrepõe a ela, mas a ISO/IEC 42001 não é uma norma harmonizada.
A IEEE 2863-2026 é uma prática recomendada para a governança organizacional de IA. Ela define princípios para o órgão de governança considerar e priorizar, processos para colocá-los em prática e estudos de caso sobre como resolver tensões entre princípios. É uma orientação, não um conjunto de requisitos, e um referencial útil para um conselho que está começando a supervisionar a IA.
No AI Gov Map, as três já estão no catálogo e mapeadas aos mesmos vinte e dois controles, de modo que um controle para o qual você já apresenta evidências para a ISO/IEC 42001 ou o EU AI Act mostra onde ele também vale para as novas normas. Se suas obrigações relativas à IA de alto risco começam em dezembro de 2027, a EN 18286 é a norma em torno da qual planejar desde já.
Publicado pela NexGuide.AI · Outubro de 2026 · Não constitui aconselhamento jurídico.