O software de governação de IA ajuda as organizações a gerir as políticas, controlos, documentação, classificação de risco, fluxos de trabalho de revisão e provas de auditoria necessários para sistemas de inteligência artificial. A Plataforma Smart Integrity suporta o inventário de sistemas de IA, a classificação de risco, a governação de modelos, os fluxos de trabalho de auditoria, a revisão de documentação e a conformidade regulatória de IA.

Uma plataforma de conformidade com IA ajuda as equipas a organizar sistemas de IA, classificar riscos, documentar controlos, atribuir tarefas de revisão e preparar provas para revisão interna ou regulamentar. O SIP conecta a documentação de IA de ferramentas como Confluence e SharePoint com fluxos de trabalho de governação e relatórios prontos para auditoria.

O software de auditoria de IA ajuda as organizações a recolher, organizar e rever evidências relacionadas com sistemas de IA. O SIP apoia os fluxos de trabalho de auditoria ao ligar documentação de origem, informações de modelos, questionários de risco, passos de revisão humana e registos de conformidade numa única plataforma.

O software de inventário de IA ajuda as organizações a criar e manter uma lista de sistemas de IA utilizados em toda a empresa. O SIP suporta os fluxos de trabalho de inventário de IA ao ligar a documentação existente, identificar os detalhes do sistema e ajudar as equipas a controlar o propósito, a propriedade, o nível de risco e o estado da revisão.

Os sistemas de IA de alto risco devem ostentar a marcação CE para indicar a sua conformidade com o presente regulamento, de modo a poderem circular livremente no mercado interno. No caso dos sistemas de IA de alto risco incorporados num produto, deve ser afixada uma marcação CE física, que pode ser complementada por uma marcação CE digital. No caso dos sistemas de IA de alto risco fornecidos exclusivamente em formato digital, deve ser utilizada uma marcação CE digital. Os Estados-Membros não devem criar obstáculos injustificados à colocação no mercado ou à entrada em serviço de sistemas de IA de alto risco que cumpram os requisitos estabelecidos no presente regulamento e ostentem a marcação CE. Antes de começar, deve determinar se a sua IA é de “alto risco”. Categorias do Anexo III: Inclui IA para recrutamento (triagem de CV), pontuação de crédito, educação (classificação) ou infraestruturas críticas. Produtos do Anexo I: Se a sua IA for um componente de segurança de um produto que já exija uma marcação CE (por exemplo, dispositivos médicos ou máquinas), é automaticamente considerada de alto risco.

Para passar na avaliação, a sua governação da IA tem de provar a conformidade nestas áreas:

1. Sistema de gestão de riscos (art. 9.º): Um processo contínuo para identificar e mitigar riscos.

2. Governação de dados (art. 10.º): Provar que os seus dados de formação/testes são “relevantes, representativos e isentos de erros”.”

3. Documentação técnica (artigo 11.º e anexo IV): Um ficheiro enorme (frequentemente mais de 200 páginas) que descreve em pormenor a arquitetura, os algoritmos e o consumo de energia.

4. Controlo humano (artigo 14.º): Conceber a IU de modo a que um humano possa “parar” ou anular a IA em qualquer altura.

A forma como obtém a classificação depende do caso de utilização específico da sua IA: Controlo interno (autoavaliação): Para a maioria dos sistemas do Anexo III (como ferramentas de RH ou de crédito), pode efetuar a avaliação por si próprio - desde que siga “Normas Harmonizadas” (como a ISO 42001).

Avaliação por terceiros (organismo notificado): Obrigatório para a identificação biométrica ou se não seguir normas harmonizadas. Tem de contratar um “Organismo Notificado” autorizado pela UE para auditar a sua tecnologia.

Depois de ter provado a conformidade, assina um documento legal formal (a DoC) que declara que o seu sistema cumpre toda a Lei da IA e outras leis relevantes da UE (como a Lei da Ciber-resiliência). Com esta assinatura, assume toda a responsabilidade legal.

Aposição da marcação CE (art. 48.º) Produtos digitais: Para SaaS, a marca CE deve ser visível na interface digital (por exemplo, no ecrã de início de sessão ou na secção “Sobre”).

Produtos físicos: Se estiver incorporado no hardware, deve estar no produto ou na embalagem.

Número de identificação: Se tiver sido envolvido um organismo notificado, o seu número de identificação de 4 dígitos deve aparecer junto ao logótipo CE.

Registo na base de dados da UE Antes de a IA entrar em funcionamento, é necessário registar o fornecedor e o sistema na base de dados oficial da UE para sistemas de IA de alto risco.

1. 2 de agosto de 2026: Este é o “Prazo Difícil”. Após esta data, qualquer novo sistema de IA de alto risco colocado no mercado deve ter uma marca CE.

2. O estrangulamento do “Organismo Notificado”: Se precisa de uma auditoria de terceiros, comece já. Desde o início de 2026, os tempos de espera estão a exceder 12 meses devido à falta de auditores autorizados.

Em termos jurídicos, a governação da IA ao abrigo da Lei da IA é um sistema obrigatório de controlos internos e responsabilidades concebido para garantir que a inteligência artificial é segura, transparente e compatível ao longo de todo o seu ciclo de vida. A lei muda a supervisão da IA de diretrizes éticas voluntárias para um quadro vinculativo de “segurança do produto”, exigindo que as organizações mantenham uma gestão rigorosa dos riscos, normas de qualidade dos dados e supervisão humana. Para sistemas de “alto risco”, esta governação é o pré-requisito legal para garantir uma marcação CE, envolvendo pistas de auditoria permanentes e documentação técnica para provar o alinhamento regulamentar. Em última análise, funciona como o “sistema operativo” operacional que liga a responsabilidade empresarial à transparência técnica para evitar danos algorítmicos e penalizações financeiras maciças.

A Lei da IA da UE e o RGPD são quadros normativos complementares: enquanto o RGPD protege a privacidade dos dados pessoais, a Lei da IA funciona como uma lei de segurança dos produtos para os próprios sistemas. Ambos se sobrepõem significativamente em áreas de alto risco, como a tomada de decisões automatizada, onde as empresas têm frequentemente de realizar tanto uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) como uma Avaliação de Impacto sobre os Direitos Fundamentais (FRIA). Fundamentalmente, a Lei da IA inclui uma “exceção” específica que permite o tratamento de dados sensíveis para detetar e corrigir preconceitos algorítmicos, o que, de outra forma, seria restrito ao abrigo do RGPD. A conformidade não é uma questão de “ou isto ou aquilo” — para evitar multas que podem atingir até 71% do volume de negócios em 2026, as organizações devem garantir que a sua governação da IA cumpre simultaneamente ambos os conjuntos de regulamentos.

Nos termos da Lei da IA, os chatbots devem ser concebidos para informar imediatamente os utilizadores de que estão a interagir com uma IA, garantindo a transparência desde a primeira interação. Se o sistema gerar texto, imagens ou áudio sintéticos, este conteúdo deve ser marcado num formato legível por máquina para permanecer detetável como produzido por IA. Além disso, se o seu chatbot utilizar o reconhecimento de emoções para ajustar as suas respostas com base no estado de espírito do utilizador, esta capacidade específica deve ser claramente divulgada. O não cumprimento destas normas de transparência até ao prazo de agosto de 2026 pode resultar em coimas significativas de até 15 milhões de euros ou 3% do volume de negócios global.

A Lei da IA da UE estabelece uma estrutura de coimas escalonada, em que as violações mais graves que envolvem práticas de IA proibidas podem atingir 35 milhões de euros ou 7% do volume de negócios anual global. Em caso de incumprimento das obrigações de “alto risco” ou das regras de transparência, as empresas podem ser objeto de sanções até 15 milhões de euros ou 3% do volume de negócios, enquanto a prestação de informações enganosas aos reguladores pode custar até 7,5 milhões de euros. Para proteger a inovação, a lei aplica o princípio do “valor mais baixo” às PME e às empresas em fase de arranque, garantindo que as coimas são proporcionais à dimensão da empresa.

As empresas fora da UE perguntam se são afectadas pelo simples facto de a sua produção ser utilizada por alguém dentro da UE (a resposta é quase sempre afirmativa).

Um inventário de sistemas de IA é um registo estruturado de sistemas de IA, modelos, casos de uso, proprietários, documentação, níveis de risco e estado de conformidade. Ajuda as organizações a compreender onde a IA é utilizada e quais os sistemas que podem necessitar de revisão adicional, controlos ou documentação.

A classificação de risco de IA é o processo de categorizar sistemas de IA por nível de risco com base no seu propósito, caso de uso, impacto e requisitos regulamentares. O SIP suporta fluxos de trabalho de classificação de risco de IA para sistemas de IA proibidos, de alto risco, de risco limitado e de risco mínimo.

O software de conformidade de IA apoia os fluxos de trabalho da Lei Europeia da IA, ajudando as equipas a classificar sistemas de IA, documentar controlos de risco, gerir provas de supervisão humana, preparar documentação técnica, organizar registos de auditoria e rever os requisitos de sistemas de IA de alto risco.

As ferramentas de governação de IA apoiam a governação de modelos ao ajudar as equipas a documentar o propósito do modelo, fontes de dados, controlos técnicos, avaliações de risco, propriedade, aprovações, necessidades de monitorização e decisões de revisão. O SIP liga estes registos a fluxos de trabalho de conformidade mais amplos.

A gestão do risco de modelos para sistemas de IA significa identificar, avaliar, controlar e monitorizar os riscos que podem surgir do design do modelo de IA, da qualidade dos dados, da implementação, de vieses, do desempenho ou do uso indevido. O SIP apoia a gestão do risco de modelos através de questionários de risco, revisão de documentação e fluxos de trabalho de tarefas.