O manual da E-ARI

Um guia completo da plataforma — o que faz, como funciona e por que está construída assim.

Versão 1.0 · maio de 2026

Prefácio

A maioria das ferramentas de «preparação para a IA» são folhas de cálculo disfarçadas. Fazem umas quantas perguntas, desenham um gráfico radar e entregam-lhe um PDF que envelhece no momento em que a sua direção financeira o lê.

A E-ARI foi construída para fazer algo mais difícil: transformar a realidade desarrumada, regulada e em movimento da adoção de IA na empresa num único espaço de trabalho vivo, onde a medição, as provas e a conformidade se acumulam ao longo do tempo. Um número num painel é fácil. Uma pista de auditoria defensável que sobreviva à apreciação de um organismo notificado daqui a três anos não é.

Este documento explica cada parte da plataforma — o motor de avaliação que classifica a sua preparação, os seis agentes de IA que transformam pontuações em narrativa, o piloto automático de conformidade que mapeia os seus sistemas de IA no Regulamento da UE sobre a IA, e a camada de monitorização que procura novas lacunas enquanto dorme.

Leia-o de ponta a ponta ou salte para a secção de que precisa. Há um glossário no final se algum termo lhe parecer pouco familiar.

Índice

1. O que é a E-ARI
2. O problema que resolvemos
3. Como a E-ARI está estruturada
4. Camada 1 — O motor de avaliação
5. Camada 2 — Os seis agentes de IA
6. Camada 3 — O piloto automático de conformidade
7. Camada 4 — Monitorização contínua
8. O percurso do utilizador em quatro passos
9. Metodologia e pontuação
   • A nossa metodologia, dita com honestidade
10. Privacidade, segurança e tratamento de dados
11. Planos e preços
12. A quem se destina
13. Roteiro
14. Glossário

1. O que é a E-ARI

A E-ARI — abreviatura de Enterprise AI Readiness Index — é uma plataforma orientada para o Regulamento da UE sobre a IA que ajuda uma organização a responder a quatro perguntas, por esta ordem:

O resultado não é um PDF único. É um espaço de trabalho vivo: pontuações, avaliações de impacto sobre os direitos fundamentais, documentações técnicas, relatórios de lacunas e cobertura de obrigações mantêm-se versionados, exportáveis e prontos para auditoria.

2. O problema que resolvemos

2.1 O panorama da conformidade mudou em 2024

O Regulamento da UE sobre a IA entrou em vigor a 1 de agosto de 2024 com aplicação faseada, alterado pelo Digital Omnibus sobre a IA (Regulamento (UE) 2026/1744, em vigor a 27 de julho de 2026):

• 2 de fevereiro de 2025 — aplicam-se os artigos 5.º (práticas proibidas) e 4.º (literacia no domínio da IA).
• 2 de agosto de 2025 — governação, obrigações relativas a modelos de IA de finalidade geral, coimas e designação de organismos notificados.
• 2 de agosto de 2026 — aplicam-se os deveres de transparência do artigo 50.º (as pessoas têm de saber que interagem com uma IA, e os conteúdos gerados por IA têm de ser marcados).
• 2 de dezembro de 2026 — mais duas proibições (imagens íntimas não consentidas; material de abuso sexual de crianças) e deveres de marcação para sistemas de conteúdo sintético já no mercado antes de 2 de agosto de 2026.
• 2 de dezembro de 2027 — aplicam-se as obrigações de risco elevado aos sistemas autónomos do anexo III. O Digital Omnibus adiou esta data face a 2 de agosto de 2026 — é tempo adicional de construção para uma avaliação de impacto e uma documentação técnica do anexo IV, não um motivo para esperar.
• 2 de agosto de 2028 — obrigações de risco elevado para a IA integrada em produtos regulados (anexo I).

As coimas chegam a 35 M€ ou 7 % do volume de negócios mundial por violação das práticas proibidas. Não existe uma versão «trataremos disso no próximo trimestre».

2.2 As ferramentas existentes falham de três formas previsíveis

2.3 O que a E-ARI otimiza

Três propriedades que tratamos como inegociáveis:

1. Defensabilidade — cada recomendação, cada classificação e cada lacuna é rastreável até uma cláusula de um regulamento, uma frase de uma prova ou uma pergunta da avaliação. Sem veredictos opacos de um modelo de linguagem.
2. Acumulação — o trabalho feito num sítio alimenta o seguinte. A sua avaliação de base classifica os seus sistemas de IA. Uma prova carregada para uma obrigação liga-se automaticamente a outras. Fechar uma lacuna num sistema atualiza a monitorização de toda a carteira.
3. Disciplina de âmbito — deliberadamente não tentamos ser uma ferramenta de gestão de projetos, um gigante do GRC ou um registo de modelos. A E-ARI fica entre a sua equipa de estratégia e as suas autoridades de controlo.

3. Como a E-ARI está estruturada

A plataforma está construída como quatro camadas que cooperam. Cada camada tem o seu próprio modelo de dados, as suas próprias superfícies de interface e os seus próprios pontos de integração — mas partilham uma única fonte de verdade.

Uma avaliação de base é o cristal semente. A partir daí, cada sistema de IA que registar fica ligado a essa base, de modo que o seu perfil de conformidade herda automaticamente o contexto organizacional (setor, dimensão, maturidade de governação).

4. Camada 1 — O motor de avaliação

4.1 Os 8 pilares

Pontuamos a preparação em oito pilares, com ponderações derivadas da literatura de investigação sobre fatores de sucesso na adoção de IA. As ponderações somam 1,00.

Cada pilar contém exatamente 5 perguntas numa escala de Likert (1–5). 40 perguntas no total. Tempo mediano de realização: cerca de 15 minutos.

4.2 Faixas de maturidade

Depois de ponderada, a pontuação global (0–100) corresponde a uma de quatro faixas:

As faixas são deliberadamente mais largas do que um percentil — servem para orientar comportamentos (onde investir), não para alimentar vaidades.

4.3 O que recebe de volta

Uma avaliação concluída produz um registo Assessment estruturado:

• Pontuação global (0–100, ponderada pelo setor) e pontuação de base (sem ponderação) por transparência
• Pontuações por pilar com desagregação ao nível da pergunta e os ajustamentos de interdependência aplicados
• Faixa de maturidade com uma interpretação em linguagem clara
• Constatações X-Ray — padrões estruturais de risco detetados a partir de combinações de respostas (ver §9.4), cada uma com gravidade, rasto de provas, impacto no negócio e uma ação concreta
• Aplicação da ponderação setorial — que pilares foram acentuados para o seu setor e porquê
• Comparação setorial (as suas pontuações face a médias setoriais curadas)
• Matriz de forças e fraquezas — os três melhores pilares e os três últimos
• Mapeamento regulamentar inicial — os pilares que se alinham com a regulamentação aplicável (RGPD, Regulamento da UE sobre a IA, ISO 42001, NIST AI RMF)
• Análise de alavanca — o pipeline é reexecutado melhorando cada resposta um degrau, ordenando cada movimento possível pelo seu ganho exato na pontuação global (incluindo a libertação de regras de interdependência e a ponderação setorial), mais um caminho ganancioso simulado até à faixa de maturidade seguinte

Este registo é a semente de tudo o resto. O essencial: as constatações X-Ray são aquilo em que cada agente a jusante ancora a sua narrativa — o relatório que recebe fica assim preso aos seus padrões estruturais concretos, e não a uma redação genérica dos seus números.

5. Camada 2 — Os seis agentes de IA

Quando uma avaliação termina, um orquestrador executa um pipeline de seis agentes. Cada agente tem uma única tarefa, e as saídas dos agentes anteriores alimentam as entradas dos seguintes.

O pipeline corre em quatro etapas sequenciais:

5.1 Agente de pontuação

Determinista, sem envolvimento de um modelo de linguagem, corre primeiro. Executa um pipeline de oito passos:

1. Validar — cada pergunta exigida está respondida, contando como resposta uma anotação «Não sei» ou «Não aplicável»; um pilar com menos de três das suas cinco perguntas classificadas é recusado (E_INSUFFICIENT_PILLAR_COVERAGE), e um sem qualquer classificação é recusado como E_NO_PILLAR_COVERAGE
2. Normalizar — cada pilar é mapeado da sua soma de Likert para 0–100, sobre as perguntas efetivamente classificadas: os limites acompanham o número de respostas, pelo que uma pergunta anotada não puxa o pilar para baixo nem o inflaciona
3. Ajustar — disparam seis regras documentadas de interdependência entre pilares (§9.2)
4. Composto de base — o global sem ponderação é preservado por transparência
5. Ponderação setorial — as ponderações dos pilares são reequilibradas para o setor da organização e renormalizadas para 1,0 (§9.3)
6. Compor e classificar — pontuação global final, faixa de maturidade, sinalização de falhas críticas
7. Deteção X-Ray — oito detetores estruturais percorrem as combinações de respostas (§9.4). Um detetor cujas entradas declaradas incluam uma pergunta anotada não corre e é reportado como «não pôde ser avaliado», nunca como um que correu e nada encontrou
8. Simulação de alavanca — todo o pipeline é reexecutado subindo cada resposta um degrau, produzindo uma ordenação exata do ganho de pontuação de cada melhoria possível e um caminho ganancioso simulado até à faixa seguinte. Como o motor é determinista, estes são factos reproduzíveis e não estimativas — a mesma propriedade que permite a um cliente auditar a sua pontuação permite-lhe auditar o seu roteiro

A aritmética de pontuação é aberta e reproduzível. É o único passo determinista do pipeline — todos os outros agentes ancoram as suas saídas neste resultado de pontuação e nas suas constatações X-Ray, o que significa que as alucinações de um modelo de linguagem não podem mover a sua pontuação, e a narrativa não pode afastar-se dos seus padrões estruturais reais.

5.2 Agente Insight

Assente num modelo de linguagem, gera análises narrativas ancoradas no resultado de pontuação. Para cada pilar:

• Uma interpretação da pontuação em linguagem de negócio, em duas ou três frases
• Dois riscos concretos se a pontuação ficar onde está
• Duas oportunidades concretas que se abrem ao alcançar a faixa de maturidade seguinte

As saídas passam por um verificador de ancoragem — as afirmações que não se ligam a uma pontuação numérica do resultado são removidas antes de serem mostradas.

5.3 Agente Discovery

Corre em paralelo com o Insight, já que as suas entradas não se sobrepõem. O Discovery responde à pergunta «que aspeto tem realmente a sua organização vista de fora?»:

• Classifica automaticamente o seu setor com uma chamada de 30 tokens a um modelo de linguagem (sem contaminação entre setores)
• Recolhe sinais públicos através do Tavily Search e Extract (notícias recentes, comunicações a reguladores, padrões públicos de recrutamento)
• Sintetiza uma nota contextual: tendências do setor, anúncios de pares, pressão regulamentar observada
• As citações vão em linha, [S1], [S2] — sem fonte, não há afirmação

Se o sinal público for fraco ou pouco fiável, o Discovery abdica de sintetizar em vez de fabricar uma leitura «de confiança média».

5.4 Agente de relatório

Compila tudo o que precede num documento de direção estruturado:

• Sumário executivo (uma página, ponderado pelo seu contexto setorial)
• Aprofundamento pilar a pilar, com análises e riscos
• As três ações recomendadas, cada uma ligada a pilares e obrigações concretos
• Secção de comparação com o contexto setorial vindo do Discovery
• Anexo: respostas completas, notas de metodologia, mapeamento regulamentar

Disponível como vista na aplicação, descarga .docx e PDF otimizado para impressão.

5.5 Agente Literacy

Adaptativo, corre depois do relatório. Olha para os seus pilares mais fracos e monta um minicurrículo personalizado:

• Artigos direcionados do hub Literacy
• Questionários calibrados à sua faixa de maturidade
• Percursos de aprendizagem recomendados (p. ex. «De Seguidor a Perseguidor em governação» — 4 módulos, cerca de 3 horas)

Ao contrário de uma base de conhecimento estática, o Literacy nunca recomenda conteúdos de pilares em que já é forte. Ganha o seu lugar no pipeline por ser personalizado.

5.6 Agente de assistência

A pedido, depois do pipeline. Uma interface de diálogo ancorada, com acesso só de leitura à sua avaliação, aos seus sistemas de IA, às suas provas e à sua cobertura de obrigações.

• Pergunta-se-lhe: «O que nos impede de ser Perseguidor?»
• Recusa responder a perguntas fora do seu âmbito de dados (sem aconselhamento geral sobre IA — apenas o que está ancorado no estado da sua plataforma)
• Todas as citações remetem para registos concretos da sua conta

6. Camada 3 — O piloto automático de conformidade

É aqui que a E-ARI deixa de ser uma ferramenta de medição e passa a ser um motor de defensabilidade. O piloto automático de conformidade mapeia os seus sistemas de IA no Regulamento da UE sobre a IA e produz as peças que uma autoridade de controlo (ou a sua própria auditoria interna) irá pedir.

6.1 O registo de sistemas de IA

Cada sistema de IA que opere ou implante é registado com:

• Nome e finalidade — descrição em linguagem clara
• Papel na implantação — prestador, responsável pela implantação, importador, distribuidor (determina que obrigações se aplicam)
• Setor e populações afetadas — orienta a lógica de classificação do risco
• Ligação à sua base de preparação — herda automaticamente o seu contexto organizacional

Uma única conta pode registar sistemas ilimitados nos planos Growth e Enterprise.

6.2 O classificador de risco

Para cada sistema registado corre um classificador face à taxonomia de risco do Regulamento:

Cada classificação é entregue com uma fundamentação: os artigos concretos que desencadearam o nível, a orientação pública que os interpreta e a ambiguidade residual (para que o seu EPD possa sobrepor-se caso a posição da autoridade evolua).

6.3 O cofre de provas

Um armazém de objetos tipado para provas de conformidade:

• Contratos, avaliações de impacto sobre a proteção de dados, fichas de modelo, documentação de conjuntos de dados, registos de formação, auditorias de segurança, relatórios de equidade, etc.
• Provas ao nível da organização (válidas para todos os sistemas) e provas por sistema
• Versionadas — substituir uma prova cria uma nova versão, ficando a anterior ligada às avaliações de impacto históricas
• Armazenadas no Vercel Blob com acesso privado; URL pré-assinados para descarga (cerca de 5 minutos de validade)

Ao carregar um ficheiro acontecem duas coisas automaticamente:

1. Classificação — um modelo de linguagem categoriza o tipo de documento (avaliação de impacto, ficha de modelo, relatório de auditoria, etc.)
2. Extração de cláusulas — o documento é dividido e um modelo de linguagem identifica que cláusulas ou frases correspondem a que artigo do Regulamento. Essas correspondências são guardadas como registos EvidenceClause e ficam reutilizáveis entre obrigações.

Uma avaliação de impacto que carregue para um sistema pode satisfazer automaticamente partes de três obrigações diferentes em dois sistemas.

6.4 O gerador de avaliações de impacto sobre os direitos fundamentais (artigo 27.º)

Para os sistemas de risco elevado, a avaliação de impacto sobre os direitos fundamentais é obrigatória.

O gerador da E-ARI:

1. Recolhe os metadados do seu sistema de IA (finalidade, populações afetadas, papel na implantação)
2. Recolhe as cláusulas de prova já ligadas a artigos sobre direitos fundamentais
3. Gera uma avaliação estruturada que cobre: descrição do processo, períodos, frequência, categorias de pessoas singulares afetadas, riscos concretos de dano, disposições de governação, mecanismos de reclamação
4. Mostra as lacunas no próprio texto (p. ex. «Não foram encontradas provas sobre a conceção da supervisão humana — requisito do artigo 14.º»)
5. Exporta em PDF e .docx com citações de origem incorporadas

Só pode finalizar uma avaliação de impacto quando todas as secções exigidas tiverem provas de suporte. As incompletas ficam guardadas como rascunhos.

6.5 O gerador de documentação técnica (anexo IV)

A documentação técnica do anexo IV é o documento formal que um organismo notificado ou uma autoridade de fiscalização pedirá primeiro.

A E-ARI gera a estrutura completa exigida pelo anexo IV:

1. Descrição geral do sistema de IA
2. Descrição detalhada (métodos de desenvolvimento, ferramentas de terceiros, conjuntos de dados de treino)
3. Informação sobre acompanhamento, funcionamento e controlo
4. Documentação do sistema de gestão de riscos
5. Registo de alterações do ciclo de vida
6. Métricas de desempenho, limiares de exatidão, testes de robustez
7. Lista das normas harmonizadas aplicadas
8. Declaração de conformidade (modelo)
9. Plano de acompanhamento pós-comercialização

Cada secção bebe do seu cofre de provas e do seu plano de acompanhamento. As secções sem provas de suporte ficam claramente assinaladas, para que saiba exatamente o que falta.

6.6 O radar de lacunas

Uma vista em direto do que falta:

• Por obrigação: cláusulas exigidas no total face às cláusulas atualmente provadas
• Ponderado pela gravidade (uma lacuna na gestão de riscos do artigo 9.º pesa muito mais do que uma no registo do artigo 53.º para um sistema que não é de finalidade geral)
• Envelhecimento — as lacunas abertas há mais de 30 dias sobem para o topo
• Cada lacuna tem um fluxo «Resolver» de um clique, que pede o tipo de prova concreto necessário

6.7 O pacote de submissão

Uma única exportação .zip, pronta a entregar a um organismo notificado, a um auditor ou ao seu próprio departamento jurídico:

• Documentação técnica do anexo IV (PDF)
• Avaliação de impacto sobre os direitos fundamentais (PDF, se de risco elevado)
• Todos os ficheiros de prova citados
• Relatório de cobertura de obrigações
• Plano de acompanhamento
• Manifesto com somas de verificação SHA-256 como prova de integridade

6.8 Descoberta de IA-sombra

A maioria das organizações descobre ferramentas de IA cuja utilização desconhecia: uma exportação de utilização de aplicações lista-as, mas nada lê essa lista face a um modelo de risco. O Discovery fecha essa falha sem qualquer trabalho de integração: exporte a sua lista de utilização de aplicações do Google Workspace, Okta ou Microsoft Entra (ou uma lista de comerciantes da sua ferramenta de despesas), carregue o CSV, e a E-ARI compara-a com um catálogo curado de ferramentas de IA — cada entrada anotada com o prestador, a categoria, se a ferramenta treina com dados de clientes por omissão, e a sua relevância para o Regulamento da UE sobre a IA.

As ferramentas correspondidas aparecem como não declaradas até as registar. Um clique promove uma ferramenta descoberta para o registo de sistemas de IA (§6.1), com o prestador criado automaticamente no módulo de risco de fornecedores — a partir daí aplica-se o pipeline habitual: classificação de risco, obrigações, provas.

6.9 Risco de prestadores de IA terceiros

Todo o produto de IA de terceiros é o modelo de outrem e as condições de dados de outrem. O módulo de risco de fornecedores envia a cada fornecedor um questionário versionado de cerca de 10 minutos (tratamento de dados, segurança, específicos de IA, jurídicos) através de uma ligação assinada — não precisam de conta do lado deles. A pontuação é determinista: cada resposta vale pontos, as perguntas por responder contam como o pior caso, e os sinais críticos (sem contrato de subcontratação, treino com dados de clientes, sem via de eliminação) forçam uma classificação crítica independentemente do valor numérico. Os documentos do fornecedor (contratos de subcontratação, relatórios SOC 2, listas de subcontratantes ulteriores) são carregados para o cofre de provas e passam pela mesma extração de cláusulas que as provas de sistema.

6.10 Conformidade com o artigo 4.º sobre literacia no domínio da IA

O artigo 4.º do Regulamento — em vigor desde 2 de fevereiro de 2025 — exige que o pessoal tenha literacia no domínio da IA suficiente para a sua função. A E-ARI inclui um currículo versionado (fundamentos da IA, o essencial do Regulamento, proteção de dados, uso responsável), atribuído aos membros da equipa através de ligações mágicas pessoais que expiram ao fim de 30 dias. As conclusões registam a pontuação do questionário e um hash de atestação SHA-256 que liga membro, módulo, marca temporal e versão do conteúdo. Toda a lista é exportável como relatório de prova pronto para uma autoridade; os membros em atraso são lembrados automaticamente todas as semanas.

6.11 Controlos contínuos

A vista de controlos responde à pergunta que um auditor realmente faz: que obligações está a cumprir neste momento? Cada obrigação aplicável aos seus sistemas registados recebe um estado em direto — cumprida (sustentada por pelo menos uma cláusula de prova extraída), não cumprida (uma lacuna crítica ou elevada em aberto) ou pendente (aplicável mas ainda sem provas) — além de avisos para as atestações que vencem em 30 dias. Os estados são derivados do cofre de provas e do radar de lacunas, nunca autodeclarados. Um resumo semanal só lhe é enviado quando há algo a fazer.

6.12 API pública

A partir do Growth há acesso de leitura; o Enterprise obtém escrita. Os pontos de acesso em /api/v1/ expõem avaliações, o registo de IA, resultados de risco de fornecedores e estados de controlo derivados, autenticados com chaves revogáveis de âmbito limitado. A referência está em /developers.

7. Camada 4 — Monitorização contínua

A conformidade não é um projeto. É um processo que corre indefinidamente.

7.1 Verificações de pulso

Pontos de situação mensais leves, dirigidos às perguntas mais sensíveis ao desvio (governação, segurança, talento). Demoram 3 a 5 minutos. Geram um relatório de diferenças face à sua última avaliação completa.

7.2 Registo de alterações regulamentares e monitorização da conformidade

A E-ARI não recolhe um fluxo regulamentar. As datas regulamentares vêm de uma única fonte curada e versionada — o registo de alterações regulamentares, que publica o texto consolidado do Regulamento com que trabalha — e cada motor lê as suas datas dessa fonte.

Uma tarefa agendada diária (/api/cron/compliance-monitoring) verifica os seus planos de acompanhamento e envia um lembrete de atestação devida quando a próxima atestação de um sistema cai nos 30 dias seguintes — no máximo um email de lembrete por sistema e por semana, mais uma notificação na aplicação. O resumo semanal (§7.4) cobre controlos não cumpridos, provas pendentes e atestações devidas.

7.3 Calendário de atestações

O anexo IV exige atestações periódicas para os sistemas de risco elevado. A plataforma acompanha:

• As datas de reavaliação anual da conformidade
• As janelas de atualização das avaliações de impacto sobre a proteção de dados (a cada 24 meses para sistemas em evolução)
• Os prazos dos relatórios de acompanhamento pós-comercialização
• Os ciclos de revisão interna (configuráveis por sistema)

Quando um prazo cai nos 30 dias seguintes, a tarefa diária de conformidade envia um lembrete de atestação devida — no máximo um por sistema e por semana — e cria uma notificação na aplicação. É este o comportamento de lembrete entregue; não existe uma cadência escalonada de 60/30/7/1 dias.

7.4 Notificações por email e na aplicação

Todas as notificações são entregues pelo sistema unificado de modelos:

• Resumo semanal de conformidade (planos pagos — enviado apenas quando há algo a fazer)
• Deteção de desvio agendada com alertas na mudança — as verificações de pulso e o motor de monitorização sinalizam regressões da pontuação; os alertas disparam na mudança, não continuamente

Cancelamento de subscrição e gestão de preferências em /portal/preferences.

8. O percurso do utilizador em quatro passos

Cada utilizador vive a plataforma como quatro passos sucessivos. O painel torna isso explícito com uma faixa de progresso.

Passo 1 — Avaliar

Faça a avaliação sobre 8 pilares. Cerca de 15 minutos. Produz uma base que ancora todo o trabalho de conformidade a jusante.

Passo 2 — Verificar

Registe os seus sistemas de IA, carregue provas, deixe o classificador correr. A plataforma diz-lhe exatamente que obrigações se aplicam a cada sistema.

Passo 3 — Cumprir

Gere avaliações de impacto e documentações técnicas. Feche lacunas. Exporte pacotes de submissão quando for auditado.

Passo 4 — Monitorizar

Leia o registo de alterações regulamentares. Cumpra o calendário de atestações. Faça verificações de pulso trimestrais para apanhar o desvio cedo.

O progresso é representado no seu portal como uma única barra horizontal de passos — Avaliar → Verificar → Cumprir → Monitorizar — com o passo atual destacado e um apelo à ação contextual que aponta para a próxima ação concreta.

9. Metodologia e pontuação

9.1 Normalização dos pilares

Para cada pilar p com perguntas q₁ … q₅ respondidas numa escala de Likert de 1 a 5:

pillar_score(p) = (Σ qᵢ - 5) / 20 × 100

Isto normaliza a soma bruta de 5–25 para uma escala de 0–100.

9.2 Regras de interdependência

Seis regras documentadas disparam sobre as pontuações normalizadas dos pilares. Cada regra tem uma fundamentação publicada e fica registada no registo de avaliação, para que qualquer ajustamento seja reproduzível.

As regras aplicam-se pela ordem declarada. A pontuação original, a ajustada e a regra que disparou ficam todas guardadas na avaliação para repetição em auditoria.

Composição: as regras aplicam-se por ordem ao valor corrente, pelo que cada regra atua sobre o que a anterior deixou. Exemplo resolvido: Governação 25, Segurança 25, Tecnologia 75: R1 dá 52,50; depois R3 aplica-se a 52,50 e dá 44,63. Se R3 tivesse atuado sobre o 75 original em vez do valor corrente, teria produzido 63,75 — o registo de auditoria guarda a entrada e a saída de cada regra, que é exatamente o que torna a cadeia repetível.

9.3 Ponderação setorial

As ponderações por omissão vivem no motor (15 % Estratégia, 15 % Dados, 12 % Tecnologia, 13 % Talento, 15 % Governação, 10 % Cultura, 10 % Processos, 10 % Segurança). Depois dos ajustamentos de interdependência, aplicam-se multiplicadores setoriais a essas ponderações e o resultado é renormalizado para somar 1,00. Assim a pontuação global mantém-se na escala de 0 a 100 e reflete ao mesmo tempo o que realmente importa em cada setor.

A pontuação global de base sem ponderação é preservada ao lado da global ponderada pelo setor, para que os relatórios possam mostrar como o contexto setorial moveu o número — e porquê.

9.4 O motor X-Ray — deteção de padrões estruturais

Uma pontuação é um número. Um padrão é uma história. Duas organizações podem ambas ficar nos 47 % — uma porque é uniformemente medíocre, outra porque tem uma ambição agressiva em IA sem base de dados. As intervenções para essas duas não têm nada a ver.

O motor X-Ray executa oito detetores deterministas sobre o mapa de respostas e traz à superfície modos de falha estruturais que emergem do modo como as perguntas interagem entre pilares. Cada constatação traz a sua gravidade (baixa / média / elevada / crítica), as provas ao nível da pergunta que a desencadearam, o impacto no negócio em termos claros e uma única ação concreta recomendada.

O bloco X-Ray é depois colocado à cabeça da instrução de cada agente a jusante. O agente Insight tem de ligar cada risco e cada passo seguinte que produz a um identificador de constatação. O agente de roteiro tem de neutralizar cada constatação CRÍTICA na fase 1 e cada constatação ELEVADA na fase 2. O agente Discovery tem de refletir as constatações nos seus indicadores de lacunas. É isto que faz o relatório parecer feito à medida — os agentes estão ancorados no seu conjunto de padrões concreto, não a parafrasear um número.

9.5 Intervalo de confiança

Um resultado de pontuação inclui uma banda de confiança derivada de:

• Taxa de conclusão das perguntas — as avaliações parciais recebem bandas mais largas
• Variância das respostas — extremos altos e baixos em pilares vizinhos sugerem cansaço de questionário
• Coerência do texto livre — quando uma explicação contradiz a pontuação de Likert, a confiança desce

A banda é mostrada na interface como um intervalo (p. ex. «68 ± 4») e é preservada nas exportações.

9.6 Referências setoriais

As referências são curadas a partir de investigação pública (relatórios de associações setoriais, estudos académicos, estatísticas publicadas por reguladores). Estão explicitamente identificadas na interface:

As referências setoriais são estimadas por IA e destinam-se apenas a orientação indicativa. O desempenho real do setor pode variar.

Nunca afirmamos que uma referência está atualizada — citamos o ano dos dados subjacentes.

9.7 Porque não usamos uma única «pontuação de confiança»

Algumas plataformas comprimem tudo num único número de 0 a 100 de «fiabilidade». Nós não. Um número único esconde o único sinal útil: que dimensão está a falhar. Uma organização pode ser Referência em estratégia e Retardatária em segurança ao mesmo tempo — isso é acionável. Fazer a média para «Perseguidor, 62» não é.

A nossa metodologia, dita com honestidade

A E-ARI pede a uma organização que classifique a sua própria preparação para a IA. A literatura publicada sobre autoavaliação é inequívoca quanto ao que isso pode e não pode medir, e esta página diz as duas coisas. Cada decisão de conceção abaixo nomeia a sua fonte.

O modelo de três níveis

1. Autodeclarado — o questionário tal como foi respondido — uma medida de perceção, identificada como tal.
2. Sustentado por provas — as respostas com artefactos no cofre — existência verificada, um limite inferior da preparação real.
3. Verificado de forma independente — as respostas verificadas por um auditor ou pelo motor determinista face ao cofre de provas — funcionamento verificado. Ainda não oferecido.

Uma avaliação concluída mostra por isso três números, não um: a pontuação autodeclarada (identificada como «Autodeclarada — uma medida de perceção»), a pontuação sustentada por provas (identificada como «Sustentada por provas — apenas respostas com artefactos no cofre») e a quota de cobertura («X % das respostas estão sustentadas por provas»). Quando nenhuma resposta traz prova, a pontuação sustentada não é mostrada de todo — um número autodeclarado sem nada por trás não é uma segunda opinião, é a mesma opinião.

As respostas sem prova contam com metade do peso na pontuação sustentada. O 0,5 é uma escolha nossa, não uma constante da literatura. O que a investigação estabelece é a direção: as autoavaliações são indulgentes em cerca de um terço de desvio-padrão (d = 0,32; Heidemeier e Moser, 2009), e a aquiescência empurra para cima as respostas em escalas de concordância (Krosnick, 1999). Nenhuma delas nos dá um número. Reduzimos a metade aquilo que ninguém pode verificar, arredondamos de propósito para que não seja confundido com uma medição, e mostramos ao lado a quota de cobertura para que se veja sobre quanto da pontuação esse peso sequer atua. Descontar a perceção — e não apagá-la — é o que o modelo de níveis afirma.

A conceção com vários avaliadores

Uma única pessoa a responder às 40 perguntas é uma conceção de informante único. Conway e Huffcutt (1997) situam a fiabilidade entre avaliadores em ,50 para superiores, ,37 para pares e ,30 para subordinados — e a concordância ENTRE fontes ainda mais baixa, ,22 entre o próprio e o superior. Mesmo no melhor caso, metade da variância fica no avaliador e não na organização. O modo de vários avaliadores convida até quatro responsáveis funcionais — o diretor técnico para Tecnologia e Dados, o EPD para Governação e Segurança, o diretor de operações para Processos e Cultura, o diretor de pessoas para Talento e Estratégia — a responder apenas aos pilares que a sua função cobre. A pontuação de consenso é a resposta mediana por pergunta entre avaliadores, pontuada pelo mesmo motor determinista. As avaliações com um só avaliador são assinaladas como tal, com essa ressalva anexada.

A divergência entre avaliadores é um sinal, não um erro — indica onde os responsáveis funcionais têm visões diferentes da preparação da organização.

Não sei, não aplicável e o papel de quem responde

Uma escala de concordância de escolha forçada só oferece más opções a quem genuinamente não sabe. Os honestos escolhem «Discordo totalmente» — e o instrumento regista uma constatação que essa pessoa nunca fez: um défice de governação que é, na verdade, uma lacuna de conhecimento. As experiências de Schuman e Presser (1981) com filtros de «sem opinião» são o resultado clássico — os formulários de escolha forçada recolhem pseudo-opiniões de quem não as tem — citadas aqui apenas para a direção: essa fonte NÃO ESTÁ VERIFICADA DE FORMA INDEPENDENTE, e nenhum número dela é usado. A avaliação regista por isso duas anotações que uma resposta pode trazer em vez de uma classificação — Não sei e Não aplicável — e ambas ficam excluídas da aritmética de pontuação: o pilar renormaliza sobre as suas perguntas respondidas, pelo que um desconhecido nunca puxa uma pontuação para baixo nem a inflaciona. São antes mostradas como lacunas de cobertura — por pilar, «x de 5 respondidas», com as perguntas sem resposta nomeadas. Um pilar cujas perguntas estão todas anotadas é recusado por completo (E_NO_PILLAR_COVERAGE): uma pontuação calculada a partir de nenhuma medição não é uma pontuação. A renormalização é limitada pela mesma razão — pede emprestadas as perguntas respondidas para fazerem as vezes das que faltam — pelo que um pilar com menos de três das suas cinco perguntas classificadas também é recusado (E_INSUFFICIENT_PILLAR_COVERAGE), em vez de deixar duas respostas fazerem de pilar. Sem limite, a aritmética atingia o seu extremo com uma resposta classificada por pilar: oito em quarenta, todas no topo da escala, produziam um composto de 99,99 exatamente igual a um calculado sobre o instrumento inteiro. Os detetores X-Ray não disparam sobre uma pergunta anotada, pela mesma razão das recusas — o seu desencadeador não pode ser avaliado sobre dados que não existem — e um detetor que não pôde ser avaliado é reportado como tal, nunca como um que correu e nada encontrou. Esta é uma alteração de pontuação, não um acrescento de interface: uma avaliação que usa as anotações pontua de forma diferente de uma em que as mesmas perguntas são respondidas com 1. As anotações chegaram como SCORING_VERSION 5.5 e o limite da renormalização como SCORING_VERSION 5.6, cada um com vetores de conformidade rederivados; o limite não move qualquer pontuação, e as avaliações pontuadas sem anotações continuam idênticas bit a bit à 5.4.

«Avaliador único» é a versão grosseira de uma pergunta mais afiada: qual avaliador? Um diretor técnico que responde às 40 perguntas fala em primeira mão de Tecnologia e Dados e em segunda mão de Governação e Cultura, e o custo em fiabilidade não se reparte por igual (Conway e Huffcutt, 1997; a prática 360° de emparelhar avaliadores com os seus domínios é Bracken, Timmreck e Church, 2001). Cada avaliação regista por isso o papel funcional de quem responde, e os resultados nomeiam que pilares esse papel cobre em primeira mão — os de segunda mão são identificados como tal, para que um leitor veja onde a perceção é mais fina. O papel também semeia os convites a outros avaliadores: os papéis que quem responde não ocupa são os que vale a pena convidar.

O segundo instrumento: os construtos regulamentares

A auditoria de redesenho perguntou também que terreno regulamentar as 40 perguntas não cobrem de todo, e encontrou nove construtos: um inventário de sistemas de IA com as classificações do art. 6.º registadas, as obrigações de cadeia de fornecimento para prestadores e modelos de finalidade geral, a gestão de incidentes, o registo, as especificidades da supervisão humana, o acompanhamento pós-comercialização, a profundidade das métricas de enviesamento, e os ciclos de auditoria interna (9.2) e de revisão pela direção (9.3) da ISO/IEC 42001. Não são deliberadamente acrescentados ao instrumento pontuado — as 40 perguntas são metodologia congelada (SCORING_VERSION 5.6), e acrescentar perguntas reescreveria todas as avaliações alguma vez feitas. Formam antes um segundo instrumento: uma lista de verificação diagnóstica respondida com sim / não / parcialmente / não sei / não aplicável, onde não e parcialmente são lacunas abertas, não sei é uma lacuna de conhecimento, e não aplicável é registado e excluído. É reportado como diagnóstico e lacunas — nunca como pontuação. Que obrigações se aplicam é decidido pelo motor de conformidade; os itens remetem para os seus códigos de obrigação para mostrar sobre que dever uma lacuna faz pressão, nada mais.

Verificação ancorada no comportamento

Quando uma pergunta tem forma factualmente verificável («O seu plano de resposta a incidentes trata especificamente das falhas de sistemas de IA?» em vez de «Que maturidade tem a sua resposta a incidentes?»), a avaliação oferece as duas: o item de Likert original, que continua a ser a resposta pontuada por compatibilidade, e um controlo «Verificar esta resposta» com Sim/Não/Parcialmente. Um Sim verificado conta com peso total na pontuação sustentada por provas; a resposta de Likert não muda. Este é o padrão BARS: perguntar se algo concreto e observável é verdade em vez de que tal parece. Latham, Wexley e Pursell (1975) e Schwarz (1999) sustentam o mecanismo — o formato fixa o quadro de referência, e uma pergunta verificável é mais difícil de inflacionar do que uma global. Nenhum dos dois reporta uma redução percentual, e os «~40 %» que este documento antes afirmava não estavam em nenhum deles.

A investigação sobre enviesamentos em que isto assenta

• Podsakoff, MacKenzie e Podsakoff (2012). «Sources of Method Bias in Social Science Research and Recommendations on How to Control It.» Annual Review of Psychology 63, 539–569. — A variância de método comum — uma mesma pessoa a responder dos dois lados — inflaciona as relações observadas em construtos subjetivos. A revisão estabelece a direção e como desenhar contra ela; não dá uma percentagem única, e os «25–40 %» antes aqui indicados não tinham fonte.
• Kruger e Dunning (1999). «Unskilled and Unaware of It.» Journal of Personality and Social Psychology 77(6), 1121–1134. — Quem tinha desempenho no quartil inferior pontuava no percentil 12 e colocava-se a si próprio no 62 — 50 pontos, nas palavras do próprio artigo. As organizações menos equipadas para governar a IA são as que mais provavelmente se classificam alto, porque não conseguem ver que aspeto tem a maturidade.
• Heidemeier e Moser (2009). «Self–Other Agreement in Job Performance Ratings: A Meta-Analytic Test of a Process Model.» Journal of Applied Psychology 94(2), 353–370. — Em 128 amostras, a concordância entre o próprio e o superior é r = ,22 e as autoavaliações são indulgentes em d = 0,32 (Δ = ,49 corrigido) — cerca de um terço de desvio-padrão, não a metade antes aqui indicada.
• Latham, Wexley e Pursell (1975). «Training Managers to Minimize Rating Errors in the Observation of Behavior.» Journal of Applied Psychology 60(5), 550–555. — Os avaliadores a quem se pergunta por comportamentos observáveis concretos erram menos do que aqueles a quem se pede um juízo global. É um estudo sobre formação de avaliadores, não uma comparação entre BARS e Likert, e não reporta qualquer percentagem — os «~40 %» antes aqui indicados não estavam lá.
• Schwarz (1999). «Self-Reports: How the Questions Shape the Answers.» American Psychologist 54(2), 93–105. — O formato da pergunta fixa o quadro de referência: «Que maturidade tem a sua resposta a incidentes?» convida a um juízo global; «O seu plano de resposta a incidentes trata das falhas de sistemas de IA?» invoca um facto verificável.
• Krosnick (1999). «Survey Research.» Annual Review of Psychology 50. — A aquiescência — concordar independentemente do conteúdo — é uma ameaça conhecida aos itens em escala de concordância, e diminui quando as perguntas pedem factos em vez de adesão. Aqui não se atribui qualquer percentagem: os «~10–15 %» anteriores não tinham fonte, e um número dessa ordem não justificaria, de todo o modo, cortar uma resposta a meio. O desconto de 0,5 é a nossa própria escolha conservadora, descrita abaixo.
• Conway e Huffcutt (1997). «Psychometric Properties of Multisource Performance Ratings: A Meta-Analysis of Subordinate, Supervisor, Peer, and Self-Ratings.» Human Performance 10(4), 331–360. — A fiabilidade difere consoante a fonte: superiores ,50, pares ,37, subordinados ,30 — o ,50 é o melhor caso, não a média. A concordância entre fontes é ainda menor (o próprio face ao superior, ,22). Qualquer avaliador único deixa a maior parte da variância ligada ao avaliador, e é por isso que existem o modo de vários avaliadores e a marca de avaliador único. O ganho de fazer a média de vários avaliadores é Spearman-Brown, projeção nossa e não uma conclusão deste artigo.
• Van der Heijden e Nijhof (2004). «The value of subjectivity: problems and prospects for 360-degree appraisal systems.» International Journal of Human Resource Management 15(3), 493–511. — A divergência entre avaliadores de proveniências funcionais diferentes é em si um sinal diagnóstico válido — a base para reportar a divergência em vez de a diluir na média.
• Bracken, Timmreck e Church (2001). The Handbook of Multisource Feedback. Jossey-Bass. — A prática 360° estabelecida: os avaliadores respondem a conjuntos de perguntas emparelhados com o seu domínio de conhecimento, e o desacordo é reportado como constatação.
• Oxford Insights (2024). Government AI Readiness Index Methodology. — Recorre a fontes de dados verificáveis externamente sempre que possível e apresenta os dados de inquérito como «baseados em perceção» — o padrão de honestidade que as nossas etiquetas de nível seguem.
• Cisco (2024). AI Readiness Index Methodology. — Diz sem rodeios: «This is a perception study reflecting business leaders' views» — uma autoavaliação identificada como perceção, não como preparação objetiva.

O que podemos afirmar

• «A pontuação autodeclarada é uma medida de perceção — identificamo-la como tal»
• «A pontuação sustentada por provas conta apenas as respostas com artefactos no cofre — é um limite inferior da preparação real»
• «A quota de cobertura diz-lhe que parte da autoavaliação está sustentada por provas verificáveis»
• «O modo de vários avaliadores traz à superfície o desacordo entre responsáveis funcionais como sinal diagnóstico»
• «As respostas Não sei e Não aplicável são excluídas da pontuação e reportadas como lacunas de cobertura — nunca convertidas na pior resposta»
• «Cada avaliação regista o papel funcional de quem responde, e os resultados nomeiam de que pilares esse papel fala em primeira mão e de quais não fala»
• «O instrumento de construtos cobre nove áreas regulamentares que o instrumento pontuado não cobre, reportadas como diagnóstico e lacunas — nunca como pontuação»

O que continuamos sem poder afirmar

• «Uma pontuação E-ARI mais alta prevê o sucesso dos projetos de IA — não há dados de resultado»
• «O instrumento está validado de forma independente — não há estudo de validação publicado (exige mais de 50 organizações e 12 meses)»
• «A pontuação sustentada por provas equivale a conformidade auditada — verifica existência, não eficácia operacional»

O estudo de validação

A recolha de dados para um estudo de validação já começou. As organizações que consentiram recebem um instantâneo mensal das suas pontuações — autodeclarada, sustentada por provas, quota de cobertura, mapa de pilares, versão de pontuação — e o lado dos resultados é registado ao lado: eventos autodeclarados de projeto, incidente e auditoria, mais o próprio registo de acerto da contagem decrescente de conformidade, unidos às pontuações apenas no momento da análise. A retirada elimina os instantâneos e os resultados de uma organização. Nada disto muda uma afirmação: não existe qualquer número de validade, e a lista «o que continuamos sem poder afirmar» acima mantém-se inalterada até que um estudo sobre estes dados seja publicado. A prontidão do estudo é publicada como um contador — organizações e meses — onde quer que esta metodologia seja divulgada, para que a distância que falta percorrer seja dita em vez de insinuada.

Estes limites são estruturais. Quando o instrumento tiver dados de resultado, um estudo de validação publicado ou o aval de um auditor por trás de um nível, a linha correspondente passa de «não podemos» a «podemos» — e não antes.

10. Privacidade, segurança e tratamento de dados

10.1 O que guardamos

10.2 Cifragem

• Em trânsito — TLS 1.3 em todo o lado, com pré-carregamento HSTS
• Em repouso — AES-256 (fornecido pelo Supabase e pelo Vercel Blob)
• Palavras-passe — bcrypt com fator de custo 12

10.3 Autenticação

• Email e palavra-passe (fornecedor de credenciais do NextAuth)
• Google OAuth (fornecedor Google do NextAuth)
• SSO (OIDC) no plano Enterprise — configurado com o seu fornecedor de identidade (Okta, Entra ID, Google Workspace, Keycloak). O SSO ainda não pode ser imposto; a autenticação por palavra-passe mantém-se disponível.

As sessões usam JWT com cookies HttpOnly, Secure e SameSite=Lax.

10.4 Localização dos dados

O cálculo está fixado a uma região da UE (Vercel, Frankfurt). A base de dados corre no Supabase (AWS) e está atualmente na região us-east-1 da AWS; uma migração para uma região da UE está no roteiro. Não afirmamos hoje localização de dados na UE; as garantias para transferências transfronteiriças estão descritas no contrato de subcontratação.

10.5 Eliminação de dados

• A eliminação da conta é feita pelo próprio em /portal/preferences
• A eliminação é definitiva (não lógica) — em 30 dias são expurgados todos os dados da conta, incluindo ficheiros de prova, avaliações, avaliações de impacto e registos
• A conservação do registo de auditoria é independente e é expurgada ao fim de 90 dias, seja qual for o estado da conta

10.6 Postura face ao RGPD

• Contrato de subcontratação disponível mediante pedido (hello@e-ari.com)
• Lista de subcontratantes ulteriores mantida em /privacy#sub-processors
• Direito ao apagamento cumprido em 30 dias
• Direito à portabilidade — exportação completa da conta em JSON a partir de /portal/preferences

10.7 Utilização de modelos de linguagem de terceiros

Usamos vários fornecedores de modelos de linguagem (Gemini, GLM, modelos alojados pela NVIDIA). Todos os fornecedores estão configurados com retenção de dados nula para a nossa chave de API. Não usamos dados de clientes para treinar qualquer modelo. As entradas de texto livre são expurgadas de padrões comuns de dados pessoais antes de serem enviadas para qualquer ponto de acesso de modelo de linguagem.

11. Planos e preços

11.1 O que está incluído em cada plano

11.2 Cancelamento

Cancele quando quiser. O acesso mantém-se até ao fim do período de faturação. A conta volta automaticamente ao Starter — os seus dados são preservados, apenas perde o acesso às funcionalidades pagas.

12. A quem se destina

12.1 Três perfis principais

O responsável de programa de IA numa empresa de média dimensão (cerca de 500 a 5.000 colaboradores). Reporta ao diretor de operações ou de sistemas. É dono do roteiro da estratégia de IA. Precisa da E-ARI para:

• demonstrar progresso à direção, trimestre após trimestre
• traduzir lacunas de preparação em propostas de investimento concretas
• mostrar ao conselho que a empresa não está atrás dos seus pares

O EPD ou responsável de conformidade em qualquer organização que implante IA em jurisdições da UE. Precisa da E-ARI para:

• classificar automaticamente os sistemas de IA face ao Regulamento
• manter um cofre de provas vivo que sobreviva a uma auditoria
• gerar avaliações de impacto e documentações técnicas sem contratar uma grande sociedade de advogados

O auditor interno que prepara uma auditoria externa, uma certificação ISO 42001 ou a apreciação de um organismo notificado. Precisa da E-ARI para:

• produzir um único pacote de submissão com somas de verificação
• mostrar tendências de cobertura ao longo do tempo (ritmo de fecho de lacunas)
• fornecer registos à prova de adulteração de qualquer alteração a um artefacto

12.2 A quem não se destina

Sobre isto somos explícitos. A E-ARI não é a ferramenta certa se precisa de:

• um registo de modelos (use MLflow, Weights & Biases ou uma plataforma MLOps)
• uma ferramenta GRC generalista que abranja SOC 2, ISO 27001, HIPAA (use Vanta, Drata, Secureframe)
• aconselhamento jurídico (a E-ARI expõe obrigações; não substitui um advogado)
• gestão de projetos de entrega de IA (use Linear, Jira, Asana)

Quanto mais apertado o âmbito, melhor a ferramenta.

13. Roteiro

Focos atuais (sujeitos a alteração):

O roteiro é publicado na plataforma e atualizado todos os meses.

14. Glossário

Regulamento sobre a IA — Regulamento (UE) 2024/1689 do Parlamento Europeu e do Conselho que estabelece regras harmonizadas em matéria de inteligência artificial. Em vigor desde 1 de agosto de 2024.

Anexo III — A lista de casos de utilização de IA de risco elevado enumerados no anexo III do Regulamento (biometria, educação, emprego, serviços essenciais, aplicação da lei, migração, justiça).

Anexo IV — A estrutura da documentação técnica exigida para os sistemas de IA de risco elevado.

Artigo 5.º — Proíbe determinadas práticas de IA: manipulação subliminar, exploração de vulnerabilidades, classificação social, identificação biométrica à distância em tempo real em espaços públicos.

Artigo 27.º — Impõe uma avaliação de impacto sobre os direitos fundamentais para os sistemas de IA de risco elevado utilizados por autoridades públicas ou operadores de serviços essenciais.

Artigos 50.º a 53.º — Obrigações de transparência para os sistemas de risco limitado (chatbots, ultrafalsificações, categorização biométrica, reconhecimento de emoções).

Avaliação da conformidade — O procedimento pelo qual um sistema de IA de risco elevado demonstra o cumprimento dos requisitos do Regulamento antes de ser colocado no mercado da UE.

Responsável pela implantação — Qualquer pessoa singular ou coletiva, autoridade pública ou organismo que utilize um sistema de IA sob a sua autoridade. Distinto do prestador (a entidade que desenvolve o sistema ou o manda desenvolver).

AIPD — Avaliação de impacto sobre a proteção de dados, nos termos do artigo 35.º do RGPD. Muitas vezes um pré-requisito da avaliação de impacto sobre os direitos fundamentais.

AIDF — Avaliação de impacto sobre os direitos fundamentais, nos termos do artigo 27.º do Regulamento sobre a IA.

Modelo de IA de finalidade geral — Modelo de base. Sujeito a um regime de obrigações próprio nos artigos 51.º a 55.º.

Organismo notificado — Organismo designado por um Estado-Membro da UE para avaliar a conformidade de certos sistemas de IA de risco elevado antes da sua colocação no mercado.

Pilar — Uma das oito dimensões de preparação da E-ARI (Estratégia, Dados, Tecnologia, Talento, Governação, Cultura, Processos, Segurança).

Verificação de pulso — Uma avaliação mensal curta, dirigida às perguntas sensíveis ao desvio.

Pacote de submissão — A exportação .zip única que reúne documentação técnica do anexo IV, avaliação de impacto, provas e manifesto — pronta para um organismo notificado ou um auditor.

Documentação técnica — O dossiê exigido pelo anexo IV para os sistemas de IA de risco elevado. Tem de ser mantido atualizado durante toda a vida do sistema.

Anexo A — URL principais

Anexo B — Contacto

A E-ARI é operada pela equipa E-ARI. O cálculo da aplicação está fixado à UE (Vercel, Frankfurt); a base de dados corre no Supabase (AWS, hoje us-east-1), com uma migração para uma região da UE no roteiro. Este documento faz fé à data da versão indicada acima; a versão mais atual é sempre servida em https://www.e-ari.com/docs/e-ari-handbook.md.