ISO/IEC 27090: nova norma amplia a proteção de sistemas de inteligência artificial
A segurança da inteligência artificial envolve desafios que não se limitam à proteção de servidores, redes e contas de acesso. Dados usados no treinamento, parâmetros dos modelos, instruções fornecidas por usuários e integrações com outros sistemas também podem ser explorados. É nesse contexto que a ISO/IEC 27090:2026 apresenta orientações específicas para identificar e reduzir ameaças direcionadas a soluções de IA.
Publicada em 14 de outubro, a norma foi elaborada pelo comitê ISO/IEC JTC 1/SC 27 e se destina a organizações públicas e privadas, independentemente do porte, que desenvolvam ou utilizem inteligência artificial. O documento, intitulado *Cybersecurity – Artificial intelligence (AI) – Addressing security threats and compromises to AI systems*, tem 56 páginas e aborda riscos presentes em diferentes etapas do ciclo de vida desses sistemas.
A publicação não substitui um Sistema de Gestão de Segurança da Informação (SGSI) nem cria uma certificação própria para empresas. Sua contribuição é oferecer uma referência técnica para que as organizações entendam como modelos e aplicações de IA podem ser comprometidos e definam medidas para prevenir, identificar e tratar esses problemas.
Por que a segurança convencional não basta
Controles tradicionais continuam indispensáveis. Proteger servidores, atualizar sistemas, restringir acessos e monitorar atividades ajuda a reduzir riscos conhecidos, como invasões de infraestrutura e exposição de credenciais. Ainda assim, esses mecanismos não cobrem todas as formas de ataque que podem afetar uma solução de IA.
A superfície de risco inclui, por exemplo, os dados utilizados para treinar o modelo, as informações recuperadas durante uma consulta, os comandos escritos em linguagem natural, os parâmetros internos e as conexões com ferramentas externas. Mesmo que a infraestrutura esteja protegida, uma falha nesses componentes pode influenciar respostas, expor informações ou levar o sistema a executar ações indevidas.
Entre as ameaças contempladas está o *data poisoning*, ou envenenamento de dados. Nesse tipo de ataque, informações manipuladas são introduzidas no conjunto de treinamento ou em processos de atualização, com a possibilidade de alterar o comportamento do modelo. Outro risco é o roubo de modelos: consultas feitas por uma interface aparentemente legítima podem ser usadas para inferir características do sistema ou reproduzir aspectos de seu funcionamento.
Isso significa que um invasor nem sempre precisa obter acesso direto ao servidor para tentar comprometer uma aplicação de IA. Dependendo de como ela foi construída, a própria interface de uso pode se tornar um caminho para explorar vulnerabilidades. Por essa razão, é importante analisar não apenas quem pode acessar a solução, mas também o que usuários autorizados conseguem fazer por meio dela.
A proteção precisa acompanhar todo o ciclo de vida
Os riscos não desaparecem quando o modelo entra em produção. Dados coletados durante o uso podem ser reaproveitados em ajustes ou treinamentos posteriores. Se essas informações estiverem contaminadas, o problema pode ser incorporado a uma nova versão do sistema e permanecer oculto até provocar consequências operacionais.
A organização deve, portanto, acompanhar a origem e a qualidade dos dados, registrar alterações relevantes, controlar versões e testar mudanças antes de disponibilizá-las. Também é necessário definir quais informações podem ser reutilizadas no aprendizado e quem tem autoridade para aprovar esse processo.
Outro ponto importante é compreender as dependências da solução. Um sistema de IA pode combinar modelos, bancos de dados, serviços em nuvem, ferramentas de terceiros e aplicações internas. Uma falha em qualquer elemento pode afetar o conjunto. Mapear essas conexões ajuda a determinar onde estão os dados sensíveis, quais componentes podem executar ações e que controles devem ser aplicados.
Como a ISO/IEC 27090 se relaciona com as normas 27001 e 42001
A ISO/IEC 27001 estabelece requisitos para criar, manter e melhorar continuamente um Sistema de Gestão de Segurança da Informação. Ela orienta a organização a identificar riscos, distribuir responsabilidades, selecionar controles e demonstrar que a segurança é gerenciada de forma consistente.
Já a ISO/IEC 42001 trata da gestão de sistemas de inteligência artificial. Seu foco está na governança, nos objetivos e nos riscos associados ao desenvolvimento e ao uso dessa tecnologia. A ISO/IEC 27090 tem uma função diferente: aprofunda a análise de ameaças e medidas de proteção específicas para sistemas de IA ao longo do seu ciclo de vida.
As normas podem ser usadas de maneira complementar, sem que uma substitua a outra. A 27001 pode estruturar a gestão geral da segurança; a 42001 pode organizar a governança de IA; e a 27090 pode apoiar avaliações técnicas sobre ameaças, detecção e mitigação. A ISO aponta a complementaridade da 27090 com as normas 27001 e 27002. Sua integração com a 42001 também é compatível com os objetivos de gestão de IA, embora não represente uma exigência nova imposta pela publicação.
É importante distinguir orientações de certificação. A ISO/IEC 27090 é uma norma de orientação voltada a ameaças e medidas de proteção, não uma certificação autônoma equivalente às normas ISO/IEC 27001 ou ISO/IEC 42001. Adotar suas recomendações pode fortalecer os processos de uma empresa, mas não significa, por si só, obter uma certificação.
Como começar a aplicar as orientações
O primeiro passo é identificar onde a organização desenvolve ou utiliza IA e quais dados e sistemas estão envolvidos. Esse inventário deve incluir modelos próprios e serviços contratados, além das integrações que permitem enviar informações ou executar ações. Sem essa visão, é difícil estabelecer prioridades ou avaliar o impacto de um incidente.
Em seguida, convém revisar as avaliações de risco existentes para incluir ameaças próprias da IA. Além da confidencialidade, integridade e disponibilidade, a análise pode considerar a possibilidade de manipulação de dados, extração de informações por meio de consultas e alterações indesejadas no comportamento do modelo.
As medidas devem ser proporcionais ao contexto e ao impacto potencial de cada aplicação. Entre as práticas a considerar estão a validação da procedência dos dados, a limitação de acessos, o monitoramento de comportamentos incomuns, a revisão das integrações e a realização de testes antes de atualizações. Também é útil estabelecer procedimentos para suspender ou reverter mudanças quando uma nova versão apresentar resultados inesperados.
Por fim, a segurança precisa envolver mais do que a equipe técnica. As áreas responsáveis por dados, desenvolvimento, privacidade, gestão de riscos e operações devem compreender seus papéis. A ISO/IEC 27090 oferece uma referência para aprofundar essa colaboração e tratar a proteção da IA como parte contínua da gestão, desde a escolha dos dados até o acompanhamento do sistema em funcionamento.