O Regulamento da IA da UE e o KIFF Cloud

1. O que é esta página

Um mapeamento entre funcionalidades específicas do KIFF Cloud e artigos específicos do Regulamento da IA. Cada secção indica o que o KIFF Cloud fornece hoje e também o que não fornecemos, para que o mapeamento não possa ser lido como uma garantia de conformidade do cliente.

Quando esta página remete para o Regulamento da IA, o texto de referência é o publicado pela União Europeia no EUR-Lex. Em caso de divergência, prevalece o EUR-Lex.

2. A quem se destina esta página

A prestadores e responsáveis pela implantação de sistemas de IA de risco elevado, na aceção do artigo 6.º e do anexo III do Regulamento da IA, cujas obrigações incluem a manutenção de registos rastreáveis (artigo 12.º) e uma supervisão humana eficaz (artigo 14.º). O KIFF Cloud foi concebido para ajudar a cumprir especificamente essas duas obrigações; as restantes obrigações do Regulamento da IA continuam a ser da responsabilidade do cliente.

3. Artigo 12.º, Manutenção de registos

O artigo 12.º do Regulamento da IA exige que os sistemas de IA de risco elevado permitam «o registo automático de eventos (“registos”) durante a vida útil do sistema», de forma suficiente para permitir a identificação de situações que resultem em risco, a rastreabilidade e o acompanhamento pós-comercialização.

O que o KIFF Cloud fornece

• Registo automático de eventos para cada ação governada, event_ingested, state_changed, decision_recorded, action_validated, action_executed, approval_required, approval_granted, approval_denied, action_blocked.
• Atribuição por registo: cada evento contém o identificador do ator, a data e hora e o ID de rastreio que o ligam à sua cadeia causal.
• Cadeia de auditoria apenas de acréscimo ao nível da framework; a reprodução é determinística.
• Hashes de resumo que evidenciam adulterações, publicados num trilho público verificável (quando a implementação opta pelo modo de trilho verificável).
• Recibos assinados por cada ação governada, utilizáveis como prova fora da própria base de dados do KIFF Cloud.

O que o KIFF Cloud não fornece

• Decisões sobre o que registar. A configuração de domínio e os contratos de ação do cliente determinam que eventos são emitidos.
• Períodos de conservação. A conservação por omissão é a duração do tenant do cliente; a política do cliente determina se isso satisfaz o critério «adequado à finalidade prevista» do artigo 26.º, n.º 6 (pelo menos seis meses).
• Comunicação automatizada às autoridades de supervisão ao abrigo do artigo 73.º. O cliente é responsável por qualquer comunicação ao exterior.
• Uma determinação sobre se o sistema do cliente se qualifica como de risco elevado ao abrigo do anexo III. Essa classificação cabe ao cliente.

4. Artigo 14.º, Supervisão humana

O artigo 14.º do Regulamento da IA exige que os sistemas de IA de risco elevado sejam «concebidos e desenvolvidos de modo a poderem... ser eficazmente supervisionados por pessoas singulares durante o período em que estão em utilização». Isso inclui a capacidade de um supervisor designado interpretar os resultados, intervir no funcionamento e interromper o funcionamento, se necessário.

O que o KIFF Cloud fornece

• Requisito de aprovação por ação. Cada ActionContract declara o seu requisito de aprovação (Required, OptionalIfHigh ou None). As aprovações obrigatórias interrompem a execução até uma pessoa designada rever a proposta.
• Superfície de revisão de aprovações. O painel e a API apresentam as aprovações pendentes com todo o contexto causal: os eventos de origem, o estado atual, a ação proposta e os seus parâmetros, e a regra que desencadeou a retenção.
• Atribuição ao revisor. Cada registo approval_granted ou approval_denied contém o identificador do revisor, a data e hora e um campo de texto livre para o motivo.
• Uma recusa é definitiva. Uma aprovação recusada bloqueia a execução posterior da mesma proposta no mesmo contexto. O cliente não pode contornar acidentalmente uma decisão de supervisão ao tentar novamente.
• Campos do Recibo. O Recibo de uma ação sujeita a aprovação regista a atribuição ao revisor, tornando a supervisão visível para os auditores e reguladores a jusante.

O que o KIFF Cloud não fornece

• Formação do revisor humano. O artigo 26.º, n.º 2, exige que as pessoas encarregadas da supervisão tenham «as competências, a formação e a autoridade necessárias»; essa competência é estabelecida pelo cliente.
• A definição das ações que exigem supervisão. A configuração de domínio do cliente define os requisitos de aprovação; o KIFF Cloud aplica o que a configuração declara.
• Política organizacional. O artigo 14.º, n.ºs 2 e 3, impõe obrigações de supervisão à organização do responsável pela implantação; o KIFF Cloud não pode substituir essas obrigações.
• Um «botão de paragem» ao nível do sistema de IA. O KIFF Cloud opera ao nível da ação; interromper o sistema mais amplo exige os controlos do próprio cliente.

5. Outros artigos relevantes

Para além dos artigos 12.º e 14.º, o KIFF Cloud toca de forma mais ligeira em várias outras obrigações. Cada nota abaixo indica o artigo e o limite do nosso contributo.

Artigo 9.º, Gestão de riscos

O campo risk_score do Recibo está reservado para dados de referência entre tenants. Na v0.1 é nulo, porque o conjunto de dados ainda não foi construído. Os clientes não podem contar hoje com este campo.

Artigo 10.º, Dados e governação de dados

Fora do âmbito. Os dados de treino, validação e teste do cliente são da responsabilidade do cliente.

Artigo 13.º, Transparência para os responsáveis pela implantação

O formato do Recibo dá aos consumidores a jusante um registo de decisão estruturado que podem ler e auditar; alguns responsáveis pela implantação consideram-no suficiente como prova de transparência perante os utilizadores finais, consoante o seu cenário.

Artigo 15.º, Exatidão, solidez e cibersegurança

A postura de cibersegurança do próprio KIFF Cloud está documentada em /pt/security. A exatidão e a solidez do sistema de IA do cliente são da responsabilidade do cliente; o KIFF Cloud é uma camada de governação, não um modelo.

Artigo 17.º, Gestão da qualidade

Fora do âmbito. O sistema de gestão da qualidade do cliente é da responsabilidade do cliente.

Artigo 26.º, Obrigações dos responsáveis pela implantação

Muitas obrigações dos responsáveis pela implantação exigem provas de monitorização e supervisão. A cadeia de auditoria e os Recibos do KIFF Cloud foram concebidos para ser essas provas.

6. O que não está nesta lista

O KIFF Cloud é uma camada de governação para as ações realizadas por sistemas de IA. Não trata das obrigações que decorrem do próprio modelo (linhagem dos dados de treino, testes de enviesamento, documentação do modelo), das políticas organizacionais do responsável pela implantação (fluxos de comunicação de incidentes, registo do responsável pela implantação) nem da infraestrutura de acompanhamento pós-comercialização que vá além dos eventos registados.

Se a sua avaliação da conformidade identificar obrigações que não estejam aqui abrangidas, o KIFF Cloud não é a ferramenta certa para elas. Di-lo-emos numa conversa comercial, em vez de dar a entender o contrário.

7. O Recibo como prova

Um único Recibo do KIFF reúne, para uma ação governada:

• a cadeia causal: os eventos, o estado, a decisão e a validação da ação que produziram o resultado (prova de manutenção de registos do artigo 12.º);
• a atribuição ao revisor, quando foi exigida aprovação humana (prova de supervisão do artigo 14.º);
• a versão da política ao abrigo da qual a decisão foi tomada (rastreabilidade ao longo do ciclo de vida, nos termos do artigo 12.º, n.º 2, alínea b));
• uma atestação criptográfica sobre a cadeia, verificável independentemente da base de dados da cloud (integridade nos termos do artigo 15.º).

Um regulador que inspeciona uma ação apresenta um Recibo; um regulador que inspeciona um sistema ao longo do tempo apresenta o conjunto de recibos. A estrutura JSON estável do Recibo destina-se a tornar essa troca mecânica, em vez de discursiva.

8. Limitações

Não somos um organismo notificado, um avaliador da conformidade acreditado nem um mandatário na aceção do Regulamento da IA. Não certificamos os sistemas dos clientes. A avaliação da conformidade nos termos do artigo 43.º do Regulamento da IA continua a ser da responsabilidade do cliente. O papel do KIFF Cloud é fornecer provas em que a avaliação da conformidade do cliente se possa apoiar.

Quando a legislação derivada do Regulamento da IA (atos delegados, atos de execução, normas harmonizadas) for atualizada, este mapeamento pode ficar desatualizado durante algum tempo. Atualizamos esta página à medida que o texto regulamentar e as orientações relevantes da Comissão evoluem.

9. Versões

Este mapeamento tem versões. A v0.1 reflete o texto consolidado do Regulamento da IA publicado no JO L de 12 de julho de 2024 e as orientações da Comissão disponíveis na data indicada no cabeçalho.

10. Contacto

Perguntas sobre conformidade: legal@kiff.dev. Perguntas sobre privacidade: privacy@kiff.dev. Divulgações de segurança: security@kiff.dev.

Versão do documento: v0.1.
Última atualização: 24 de maio de 2026.