AI Act: uma avaliação confidencial do fornecedor não substitui o dossiê do utilizador

O sinal e os factos que mudam a decisão

O piloto de avaliação em duplo-cego divulgado pela DeepMind cria uma forma promissora de proteger prompts e pesos, mas o AI Act distribui obrigações por papéis e casos de utilização. A empresa que implementa um sistema continua a precisar de inventário, classificação, instruções, supervisão, logs e controlo no seu contexto.

O texto consolidado do AI Act deve ser lido por papel e sistema; classificação e obrigações não nascem do rótulo comercial do modelo. Desde 2 de agosto de 2026, a Comissão assinala uma nova fase de aplicação e transparência; a cronologia oficial deve controlar o plano, incluindo alterações do Omnibus.

Uma avaliação protegida pode aumentar a confiança na integridade do teste, mas não documenta por si mesma a supervisão humana, o tratamento de dados ou a operação do sistema final. Confundir avaliação de capacidades com conformidade produz uma falsa transferência de responsabilidade: o fornecedor conhece o modelo, mas não conhece necessariamente os dados, finalidade, pessoas afetadas, integrações, supervisão ou vias de recurso da entidade utilizadora.

Decisão, limites e condição de bloqueio

Aceite a avaliação externa como um item do dossier e exija uma tabela que ligue cada resultado ao requisito, risco e configuração de utilização. Se o relatório não permite determinar versão, âmbito ou limitações, ele não deve sustentar sozinho uma decisão de conformidade ou colocação em produção.

Confundir avaliação de capacidades com conformidade produz uma falsa transferência de responsabilidade: o fornecedor conhece o modelo, mas não conhece necessariamente os dados, finalidade, pessoas afetadas, integrações, supervisão ou vias de recurso da entidade utilizadora.

Execução e prova de conclusão

A execução deve começar por mapear fornecedor, importador, distribuidor, responsável pela implementação e demais papéis aplicáveis ao caso concreto. Depois, registar versão, finalidade, dados, utilizadores, decisões afetadas, supervisão, logs, métricas, incidentes e alterações materiais. O fecho exige pedir parecer jurídico para a classificação e manter a avaliação técnica separada da conclusão legal.

O dossier fecha quando cada obrigação aplicável aponta para uma evidência atual, um responsável, uma data e um teste; conclusões do fornecedor aparecem como atribuições e nunca como substituto automático da análise da entidade.

• mapear fornecedor, importador, distribuidor, responsável pela implementação e demais papéis aplicáveis ao caso concreto.
• registar versão, finalidade, dados, utilizadores, decisões afetadas, supervisão, logs, métricas, incidentes e alterações materiais.
• pedir parecer jurídico para a classificação e manter a avaliação técnica separada da conclusão legal.
• O dossier fecha quando cada obrigação aplicável aponta para uma evidência atual, um responsável, uma data e um teste; conclusões do fornecedor aparecem como atribuições e nunca como substituto automático da análise da entidade.