Em 28 de outubro de 2026, o AICPA, entidade profissional norte-americana dos auditores contábeis, publicou um rascunho dos Trust Services Criteria revisados. Esses critérios são a base de todo relatório SOC 2. O rascunho reorganiza os critérios e acrescenta pontos de verificação sobre inteligência artificial. Comentários podem ser enviados até 15 de janeiro de 2027. Se aprovados, os critérios valerão para exames cujo período comece em ou após 31 de dezembro de 2027.
O que é o SOC 2
Um relatório SOC 2 é o resultado de um exame realizado por um auditor independente. Ele atesta como um prestador de serviços protege a segurança e a disponibilidade de seus sistemas, bem como a confidencialidade e a integridade dos dados tratados. No Tipo 1, avalia-se o desenho dos controles em uma data-base; no Tipo 2, também sua eficácia ao longo de um período.
O SOC 2 surgiu nos EUA, mas há muito tempo também é procurado na Europa. Sobretudo fornecedores de software e serviços de nuvem que vendem para empresas norte-americanas são questionados sobre ele em licitações e avaliações de fornecedores. Não existe um certificado no sentido das normas ISO, e sim um relatório que o cliente recebe sob confidencialidade.
O que deve mudar
Os critérios atuais são de 2017, e os pontos de verificação explicativos foram revisados em 2022. O novo rascunho mantém as cinco áreas conhecidas: segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade. Dentro dessas áreas, porém, a reestruturação é significativa. Segundo o AICPA, critérios sobrepostos serão unificados, alguns critérios excluídos, outros acrescentados para esclarecimento e redações existentes reescritas para que sua finalidade fique mais clara. O objetivo é tornar os relatórios SOC 2 mais compreensíveis e úteis para os leitores.
Quem já tem um relatório SOC 2 deve, portanto, contar com mudanças no mapeamento de seus controles aos critérios. Isso afeta principalmente a documentação, não necessariamente as próprias medidas.
Novos pontos de verificação sobre IA
A novidade são pontos de verificação sobre inteligência artificial e outras novas tecnologias. O rascunho menciona, entre outros:
- a governança e a responsabilidade pelos sistemas de IA na empresa,
- o monitoramento contínuo de modelos,
- a proteção contra entradas manipuladas,
- a proteção contra dados de treinamento envenenados,
- a rastreabilidade de resultados gerados por uma IA,
- o tratamento dos dados de treinamento,
- os riscos de decisões automatizadas.
Pontos de verificação não são critérios obrigatórios adicionais. Eles ajudam empresas e auditores a avaliar se um critério foi atendido. Mas quem usa IA em seu produto ou em processos internos precisará explicar esses temas no exame no futuro.
Cronograma
| Etapa | Data |
|---|---|
| Publicação do rascunho | 28 de outubro de 2026 |
| Fim do prazo para comentários | 15 de janeiro de 2027 |
| Vigência após aprovação | Exames a partir de 31 de dezembro de 2027 |
Segundo o rascunho, a aplicação antecipada dos novos critérios é permitida. Até a aprovação, continuam valendo os critérios de 2017 com os pontos de verificação de 2022. Ainda não se sabe se conteúdos ou prazos mudarão após os comentários.
Relação com a ISO 42001 e o EU AI Act
Os novos pontos de verificação sobre IA coincidem amplamente em seus temas com o que a ISO 42001 exige de um sistema de gestão de inteligência artificial: responsabilidades, avaliação de riscos, tratamento de dados e monitoramento na operação. Quem implanta um sistema de gestão de IA conforme a ISO 42001 ou se prepara para as obrigações do EU AI Act gera evidências que também servem para o exame SOC 2. Por outro lado, um relatório SOC 2 não substitui uma certificação ISO 42001 nem o cumprimento de obrigações legais.
O que isso significa para você
Para exames SOC 2 em andamento, nada muda por enquanto. Mas se você planeja seu período de exame para 2028, deve considerar os novos critérios desde já:
- Leia o rascunho e compare-o com seu mapeamento atual de controles aos critérios.
- Registre onde você usa IA, tanto no produto quanto em processos internos, e quem é responsável por isso.
- Defina como você monitora modelos e gerencia dados de treinamento, e documente isso.
- Converse cedo com seu auditor sobre se uma aplicação antecipada faz sentido.
- Aproveite o prazo para comentários se algum ponto não estiver claro para seu modelo de negócio.
O Sightadel conduz você controle por controle pelo SOC 2 em uma avaliação guiada, registra tarefas em planos de ação e armazena evidências na biblioteca de evidências, à qual seu auditor pode ter acesso de leitura. Saiba mais na página sobre SOC 2 e na página sobre ISO 42001. Você pode testar a plataforma gratuitamente por 14 dias.
Atualizado em: 5 de novembro de 2026 · Não constitui consultoria jurídica. Vale a norma ou a lei na versão em vigor.
