1. O que o pack iso 42001 controla
O pack ISO/IEC 42001 mapeia as cláusulas do AIMS para controles que rodam em cada requisição que cruza o gateway. Três cláusulas mapeiam para enforcement ao vivo; duas são organizacionais e são divulgadas como gaps em vez de afirmadas.| Cláusula do AIMS | Plano | Controle |
|---|---|---|
| A.6 Ciclo de vida do sistema de IA | guardrail | bloquear tentativas de jailbreak contra o sistema de IA |
| A.8 Informação para partes interessadas | guardrail | sinalizar aconselhamento jurídico/financeiro definitivo na saída |
| A.9 Uso de sistemas de IA | guardrail | registrar cada decisão de guardrail como evidência |
A Cláusula 5 Liderança & política de IA e a A.5 Avaliação de impacto do sistema de
IA são cláusulas de pessoas-e-processo. Um gateway não pode aplicá-las, então o
pack as exibe como gaps divulgados (ou linhas owner-attested) tanto no console
quanto no relatório — nunca como cobertura automatizada. Divulgar o que um proxy
não pode fazer é o que torna o resto da evidência confiável. Veja
a matriz de controles.
2. Instale o pack iso 42001 — um exemplo concreto
Instalar materializa o mapeamento em política de guardrail no seu workspace, cada controle marcado com a proveniência do pack. Você faz isso a partir do console, não de uma chave de relay: Compliance → Catalog → ISO/IEC 42001 → Install Essa é uma ação de Admin do workspace em um plano pago, e o servidor aplica ambos. Por baixo dos panos a sua sessão de console chama:A.6 — Guarda de segurança de IA
A.6 — Guarda de segurança de IA
Uma regra de
guardrail regex na requisição que bloqueia tentativas
comuns de jailbreak e role-play (“do anything now”, “developer mode”, “ignore
previous instructions”) antes que cheguem ao modelo — a evidência de que o
ciclo de vida do seu sistema de IA tem um controle de segurança no lado do
input.A.8 — Informação para partes interessadas
A.8 — Informação para partes interessadas
Uma regra de
guardrail regex que sinaliza saída que dá aconselhamento
jurídico/financeiro definitivo (“you are entitled to damages”, “guaranteed
return”). Ela anota em vez de bloquear, de modo que as chamadas sinalizadas vão
para revisão da equipe — o controle de transparência-aos-usuários para suas
partes interessadas.A.9 — Uso & monitoramento
A.9 — Uso & monitoramento
Uma regra
pii apenas-flag que registra cada decisão de guardrail como
evidência de sistema de gestão sem bloquear ou modificar o tráfego — a trilha
de monitoramento que um avaliador lê para “uso de sistemas de IA”.3. Observe primeiro, depois vá ao ar
Uma instalação ISO 42001 não começa a bloquear tráfego no primeiro dia. As instalações caem em observe mode: as ações de guardrail aplicadoras são forçadas paraflag, de modo que você coleta evidência de “would-have-blocked” contra o
tráfego real antes de qualquer coisa aplicar. Os controles A.8 e A.9 já são
apenas-flag, então seu comportamento é inalterado; a guarda de segurança A.6 é a
que segura seu veredito de block até o go-live.
Quando a evidência parece certa, um Admin do workspace promove o pack para
go-live, que restaura as ações declaradas — a guarda de jailbreak A.6 começa a
bloquear — e, opcionalmente, promove a política materializada para padrão do
workspace. Esta é a mesma disciplina descrita em
Observe vs enforce.
4. Evidência assinada para o seu AIMS
O ponto do pack é o relatório. A evidência ISO 42001 é gerada como um relatório assinado com Ed25519 com um hash de conteúdo SHA256, exportável como CSV, JSON ou PDF, e verificável publicamente — seu avaliador verifica a assinatura sem um login OrcaRouter.Cobertura por cláusula com contagens reais
Cobertura por cláusula com contagens reais
Cada linha do AIMS carrega seu status —
covered, observe, gap ou
attested — e quantas vezes o controle de fato disparou sobre o período. Uma
guarda de segurança A.6 que bloqueou tentativas reais de jailbreak lê diferente
para um avaliador do que uma com zero correspondências, e o relatório mostra
ambas.Linhagem de proveniência
Linhagem de proveniência
Cada controle materializado registra seu
control_id (ex.:
iso42001.safety), a cláusula literal (ISO/IEC 42001 A.6 AI system lifecycle), o plano e o id do objeto de política ao vivo que o aplica — de
modo que o avaliador percorre cláusula → controle → política que a aplica →
correspondências, sem nenhum passo inferido.Verificação pública
Verificação pública
Busque a chave pública de assinatura em
GET /api/public/compliance/pubkey,
submeta o relatório a POST /api/public/compliance/verify, ou abra um link de
compartilhamento com escopo para o avaliador em
GET /api/public/compliance/share/:token. Nenhuma conta necessária.5. Carimbe por região sua evidência ISO 42001
Os relatórios ISO 42001 são armazenados e servidos sob a sua região de residência declarada —us / eu / uk / ap / cn / global — e um relatório só é
servido sob uma região correspondente; as leituras cross-region são retidas. Um
Admin do workspace a define via PUT /api/compliance/residency.
A residência aqui é a região do artefato de evidência — onde os relatórios
assinados residem e são servidos. Não é a geo-fixação de dados de inferência. Veja
Residência de dados e
Cross-region para a fronteira.
6. Para onde ir a seguir
Conteúdo do pack
A anatomia completa de um pack — planos, status e proveniência.
Instale um pack
O fluxo de instalação de ponta a ponta, observe mode e go-live.
NIST AI RMF
O outro framework de governança de IA — GOVERN, MAP, MEASURE, MANAGE.
EU AI Act
O framework regulatório de IA e seus tiers de risco.
Frameworks
O catálogo completo — SOC 2, HIPAA, GDPR, ISO 27001 e mais.
Guardrails
A referência da camada de conteúdo para a qual os controles da ISO 42001
escrevem.