Somos prestadores ou responsáveis pela implantação?
Depende de cada sistema. Quem desenvolve um sistema de IA ou o coloca no mercado em nome próprio é prestador. Quem utiliza um sistema de terceiros sob a sua própria autoridade é responsável pela implantação. Muitas empresas são ambas as coisas. No Sightadel regista o papel por sistema. O enquadramento final é uma questão jurídica para a sua assessoria.
O nosso produto assenta num modelo de linguagem de terceiros. O que se aplica a nós?
Pelo modelo em si, é o respetivo prestador que assume as obrigações aplicáveis a modelos de finalidade geral. Pelo seu sistema, que utiliza o modelo, é em regra a sua empresa o prestador. Precisa então de documentação do prestador do modelo para cumprir as suas próprias obrigações. Registe-o no Sightadel como fornecedor, com avaliação.
Que prazos se aplicam agora?
Proibições e literacia em IA desde fevereiro de 2025, regras para modelos de IA de finalidade geral desde agosto de 2025, obrigações de transparência desde agosto de 2026. As obrigações relativas a sistemas de risco elevado foram adiadas em 2026: para dezembro de 2027 no caso de sistemas autónomos e para agosto de 2028 no caso de IA integrada em produtos regulamentados.
Precisamos da ISO/IEC 42001 para cumprir o regulamento?
Não. A norma é voluntária. Mas fornece a base organizativa que o regulamento pressupõe: inventário, responsabilidades, avaliação de risco, avaliação de impacto. Passos legais como a avaliação da conformidade, o registo e determinadas obrigações de transparência são verificados à parte.
Podemos usar dados de clientes para o treino?
Não sem análise. Precisa de uma base jurídica para essa finalidade concreta, de informar os titulares e, muitas vezes, de uma avaliação de impacto sobre a proteção de dados. Compromissos contratuais com clientes podem ainda excluí-lo. O Sightadel guia pelas perguntas e regista o resultado; a avaliação jurídica cabe ao seu encarregado da proteção de dados ou à sua assessoria.
Quem nos audita, e o Sightadel certifica?
O Sightadel não certifica. Uma certificação ISO/IEC 42001 é emitida por um organismo acreditado. Nos sistemas de risco elevado, a avaliação da conformidade é feita, consoante o sistema, internamente ou através de um organismo notificado. Os auditores são escolhidos na nossa rede de parceiros independente ou por si. As auditorias não geram qualquer comissão, nem para nós nem para os parceiros.
A IA do Sightadel preenche a classificação por nós?
Não, propositadamente. Fornece rascunhos a partir de modelos e ajuda na redação. O papel, a classe de risco e os riscos residuais são decididos por si, porque tem de conseguir defender essas decisões perante autoridades e clientes. Para casos difíceis, pode adquirir consultoria como pacote na aplicação.
Onde ficam os nossos documentos?
O Sightadel é desenvolvido e operado na Alemanha. Com cada cliente celebramos um acordo de subcontratação nos termos do art. 28.º do RGPD. Os dados de treino e os modelos não devem ser guardados no Sightadel, apenas a respetiva documentação.
