A ISO publicou em outubro de 2026 a primeira norma internacional dedicada às ameaças contra sistemas de inteligência artificial. Ela não substitui a ISO/IEC 27001 nem a 42001, mas preenche um espaço que as duas deixavam aberto: como um modelo pode ser atacado e o que fazer a respeito. Para quem já colocou IA em produção, vale entender o que a norma cobre e onde ela entra no que a empresa já faz.
O que é a ISO/IEC 27090
A ISO/IEC 27090:2026 foi publicada em 14 de outubro de 2026, na sua primeira edição. O título oficial é Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. Ela saiu do mesmo comitê responsável pela família 27000, o ISO/IEC JTC 1/SC 27, que começou a trabalhar no texto em 2022.
Segundo a ISO, o objetivo é ajudar organizações a entender, detectar e mitigar ameaças específicas de sistemas de IA ao longo de todo o ciclo de vida, do treinamento à operação. A própria descrição oficial cita como exemplos o envenenamento de dados e o roubo de modelos.
Três características ajudam a entender o alcance da norma:
- ela é um guia de orientação, e não um conjunto de requisitos, por isso não existe certificação ISO/IEC 27090
- o foco está em ataques deliberados, e falhas acidentais ficam em grande parte de fora
- vale para qualquer organização que desenvolva ou use IA, e não só para quem trabalha com chatbots ou IA generativa
Análises publicadas depois do lançamento descrevem um documento de 56 páginas, organizado em três blocos. O primeiro trata da segurança da informação aplicada à IA. O segundo descreve cada tipo de ataque, com consequências, formas de detecção e de mitigação. O terceiro discute como manter a proteção ao longo do tempo. Há ainda anexos que relacionam os ataques às etapas do ciclo de vida e tratam do aprendizado federado.
O texto completo é vendido pela ISO. O resumo que segue se apoia na descrição oficial e nessas análises públicas.
As ameaças que a norma descreve
Segundo a análise da Reconn, a cláusula 6 da norma dedica uma seção a cada tipo de comprometimento. Para cada um, o texto traz a descrição do ataque, o que pode dar errado e como detectar e mitigar.
| Ameaça | O que acontece | Exemplo |
|---|---|---|
| Envenenamento de dados | Dados maliciosos entram no conjunto de treinamento | Avaliações falsas plantadas para ensinar um classificador a aprovar fraudes |
| Evasão | Uma entrada é alterada para enganar o modelo | Pequenas mudanças num arquivo fazem o antivírus com IA classificá-lo como seguro |
| Inferência de pertencimento | O atacante descobre se um registro estava nos dados de treino | Confirmar que o prontuário de alguém foi usado para treinar um modelo de saúde |
| Exfiltração de modelo | O modelo é copiado a partir de muitas consultas | Um concorrente consulta a API milhares de vezes e treina um modelo parecido |
| Inversão de modelo | Dados de treino são reconstruídos a partir das respostas | Recuperar traços de rostos usados para treinar um sistema de reconhecimento |
| Envenenamento direto do modelo | O próprio modelo é adulterado | Um modelo baixado de um repositório público vem com um comportamento escondido |
| Saída sensível | O modelo revela dados que não deveria | Um assistente interno repete informações de outro usuário |
| Injeção de prompt | Instruções escondidas desviam o comportamento do modelo | Um e-mail com texto oculto faz o assistente encaminhar dados para fora |
| Saída com ataque de injeção | A resposta do modelo carrega código ou comandos maliciosos | O texto gerado contém um script que o sistema seguinte executa sem checar |
Os exemplos da terceira coluna são ilustrativos e não vêm da norma.
Parte dessas ameaças é antiga com roupa nova. Os anexos, segundo as análises, tratam justamente de versões específicas para IA de ataques conhecidos, como negação de serviço, comprometimento da cadeia de suprimentos e backdoors.
Onde ela se encaixa com a 27001 e a 42001
Muitas empresas já conhecem a ISO/IEC 27001, e algumas começaram a olhar para a ISO/IEC 42001, publicada para sistemas de gestão de IA. A 27090 chega para conversar com as duas:
| Norma | Tipo | Certificável | Pergunta que responde |
|---|---|---|---|
| ISO/IEC 27001 | Requisitos para um sistema de gestão de segurança da informação | Sim | Como a organização protege suas informações? |
| ISO/IEC 42001 | Requisitos para um sistema de gestão de IA | Sim | Como a organização governa o uso de IA? |
| ISO/IEC 27090 | Guia de orientação | Não | Como um sistema de IA pode ser atacado e como se defender? |
A ISO descreve a 27090 como complementar às práticas da 27001 e da 27002. As análises publicadas resumem a divisão assim: a 42001 cuida da gestão e da governança da IA, e a 27090 detalha a análise de ameaças que essa gestão precisa considerar.
Para quem já tem um sistema de gestão de segurança, o ponto de entrada é a avaliação de riscos. As ameaças da tabela anterior entram no registro de riscos ao lado das que a empresa já acompanha, e os controles escolhidos passam a cobrir também os sistemas de IA. Segundo a análise da Reconn, essa é uma das poucas passagens em tom de obrigação na norma: considerar os comprometimentos específicos de IA ao longo do ciclo de vida, com controles baseados em avaliação de risco.
O que a norma recomenda na prática
As análises publicadas descrevem as recomendações em dois níveis. O primeiro aplica à IA práticas que a segurança da informação já conhece:
- um programa de governança com responsáveis definidos
- princípios de confiança zero entre componentes do sistema
- práticas de engenharia de software seguro
- controle da cadeia de suprimentos, que inclui modelos e conjuntos de dados de terceiros
- modelagem de ameaças e red teaming, com ataques simulados contra o próprio modelo
O segundo nível trata da manutenção ao longo do tempo. Entram aqui o registro e o monitoramento de entradas e saídas, a proteção dos ambientes onde os modelos são desenvolvidos, a detecção de entradas maliciosas e a limitação de uso, que restringe o número de consultas para dificultar a cópia do modelo.
Dois pontos fogem do senso comum. As mitigações podem entrar em conflito: limitar demais as respostas para evitar vazamento pode piorar a utilidade do sistema, e cada escolha precisa ser pesada contra as outras. Além disso, tanto os modelos quanto as proteções perdem eficácia com o tempo, à medida que os dados mudam e os atacantes aprendem, e por isso a avaliação precisa ser repetida, e não feita uma vez só.
Por onde começar
Para uma empresa que já usa IA, cinco passos dão um bom começo:
- Fazer um inventário dos sistemas de IA em uso, incluindo modelos de terceiros, APIs contratadas e assistentes internos.
- Para cada sistema, marcar quais ameaças da tabela se aplicam. Um modelo treinado com dados internos se expõe a envenenamento e inversão, e um assistente conectado a e-mails se expõe a injeção de prompt.
- Levar esses riscos ao registro de riscos que a área de segurança já mantém, com responsável e prazo.
- Testar os sistemas mais críticos com red teaming antes de ampliar o uso.
- Registrar e monitorar entradas e saídas, com alertas para padrões fora do comum, como volumes de consulta incompatíveis com o uso normal.
Duas ressalvas valem para o planejamento. Seguir a 27090 não comprova conformidade legal, seja com a LGPD, seja com o AI Act europeu. E, como é um guia, a norma não oferece certificado. Para quem precisa demonstrar maturidade a clientes ou auditores, os caminhos certificáveis continuam sendo a 27001 e a 42001, agora com um guia mais detalhado sobre as ameaças específicas de IA.
Olá, deixe seu comentário para O que a ISO/IEC 27090 muda na segurança de sistemas de IA