Lei da IA da UE
Checklist de prontidão para IA de alto risco

Regulamento (UE) 2024/1689 | Artigos 5, 9–15, 43, 49, 53–55, 72 | Sistemas de Alto Risco e GPAI

Organização

Nome da organização

Referência do documento

XXX

Data de avaliação

2026

Avaliador Líder

Versão regulamentar

UE 2024/1689 (Lei da IA)

Sistema / Caso de Uso

Descrição do Sistema de IA

Função (Fornecedor / Implementador)

Fornecedor/Implantador

Relatório de Status

Rascunho: Em revisão

Esta lista de verificação abrange práticas proibidas de IA (Artigo 5), triagem de escopo de alto risco (Anexo III), as oito obrigações de conformidade obrigatórias para sistemas de IA de alto risco (Artigos 9 a 15), requisitos de avaliação de conformidade e registro (Artigos 43 e 49), conformidade com o modelo GPAI (Artigos 53 a 55) e monitoramento pós-comercialização (Artigo 72). O prazo de 2 de dezembro de 2027 (adiado de agosto de 2026 pelo Digital Omnibus) se aplica aos sistemas de IA de alto risco listados no Anexo III. Clique em qualquer indicador de status para alternar entre SIM / PARCIAL / NÃO / N/A. As colunas Evidências e Observações são editáveis no navegador. Use Ctrl+P para imprimir ou salvar como PDF.

Aviso importante: Apenas para fins de orientação. Este documento foi elaborado pela Cyvra como uma ferramenta de trabalho interna para apoiar as atividades de preparação para a conformidade com a IA. Trata-se de um guia estruturado, não um instrumento regulamentar oficial, e não constitui aconselhamento jurídico, regulamentar ou profissional. A Cyvra não é um organismo de avaliação da conformidade, organismo notificado, autoridade de acreditação ou regulador. O preenchimento ou a pontuação desta lista de verificação não constitui uma marcação CE, declaração de conformidade, aprovação oficial de auditoria ou confirmação de conformidade regulamentar nos termos do Regulamento (UE) 2024/1689. O conteúdo reflete a interpretação da Cyvra dos requisitos regulamentares publicamente disponíveis no momento da elaboração deste documento. As organizações devem procurar aconselhamento jurídico e regulamentar independente adequado às suas circunstâncias específicas.

Checklist de prontidão para a Lei de IA da UE: Avaliação do escopo

Página 2 de 5

Seção 1: Práticas de IA proibidas (Artigo 5)

8 itens: se algum se aplicar, o sistema está proibido.

Esses usos são proibidos pela Lei de IA da UE, independentemente do nível de risco. Se o seu sistema se enquadrar em alguma dessas categorias, ele não poderá ser implementado na UE. Marque SIM se essa prática se aplicar ao seu sistema.

Art. Ref	Prática Proibida	Aplica-se?
Art. 5(1)(a)	IA subliminar ou manipulativa › Utiliza técnicas além da consciência para distorcer materialmente o comportamento. › Explora fragilidades psicológicas para causar danos a essa pessoa ou a outros.	—
Art. 5(1)(b)	Exploração das vulnerabilidades de grupos específicos › Visa idade, deficiência ou situação socioeconômica para distorcer o comportamento › Causa ou pode causar danos significativos a essas pessoas ou a terceiros	—
Art. 5(1)(c)	Avaliação social por autoridades públicas › Avalia ou classifica pessoas com base no comportamento social ou em características pessoais. › Leva a tratamento prejudicial em contextos não relacionados ou a danos desproporcionais	—
Art. 5(1)(d)	Avaliação de risco criminal exclusivamente por meio de perfilamento. › Prevê ou avalia o risco de uma pessoa física cometer um delito criminal com base exclusivamente em perfis ou traços de personalidade. › Exceção: Sistemas de IA usados para apoiar a avaliação humana com base em fatos objetivos e verificáveis.	—
Art. 5(1)(e)	Extração não direcionada de imagens faciais para bancos de dados de reconhecimento › Extrai imagens faciais da internet ou de gravações de câmeras de segurança para criar ou expandir bancos de dados. › Aplica-se independentemente de as imagens serem posteriormente utilizadas para fins de aplicação da lei.	—
Art. 5(1)(f)	Reconhecimento de emoções no ambiente de trabalho ou em instituições de ensino › Infere as emoções de pessoas naturais nesses contextos. › Exceção: somente para fins de segurança ou uso médico e de pesquisa.	—
Art. 5(1)(g)	Categorização biométrica por características sensíveis › Categoriza indivíduos para inferir raça, opiniões políticas, religião, vida sexual ou orientação sexual a partir de dados biométricos. › Exceção: dados biométricos coletados legalmente para rotulagem ou filtragem por parte das autoridades policiais	—
Art. 5(1)(h)	Identificação biométrica remota em tempo real em espaços públicos (aplicação da lei) › Não se aplica a exceção prevista no artigo 5.º, n.º 2 (busca direcionada, prevenção de ameaça iminente, repressão de crimes graves). › As isenções exigem autorização judicial ou administrativa independente prévia.	—

Seção 2: Verificação de Escopo de Alto Risco (Anexo III)

8 categorias: se alguma se aplicar, aplicam-se todas as obrigações.

O Anexo III lista oito categorias de sistemas de IA de alto risco sujeitos às obrigações de conformidade integral descritas nas páginas 3 a 5. Marque SIM se o seu sistema se enquadra em alguma dessas categorias. Caso contrário, você estará sujeito apenas às obrigações gerais de transparência (Art. 50).

Categoria	Caso de Uso de Alto Risco (Anexo III)	No âmbito de aplicação?
1. Biometria	Identificação ou categorização biométrica › Identificação biométrica remota; categorização biométrica; reconhecimento de emoções (aplicam-se exceções de segurança/médicas)	—
2. Infraestrutura	Gestão de infraestruturas críticas › Componentes de segurança de: transporte rodoviário, água, gás, aquecimento, eletricidade, infraestrutura digital	—
3. Educação	Formação educacional e profissional › Determina o acesso/admissão; avalia os resultados da aprendizagem; detecta comportamentos estudantis proibidos.	—
4. Emprego	Emprego, RH e gestão de trabalhadores › Recrutamento/Triagem de currículos; promoção; alocação de tarefas; monitoramento de desempenho; decisões de rescisão	—
5. Serviços	Serviços essenciais privados e públicos › Avaliação de crédito; risco de seguro de vida/saúde; despacho de serviços de emergência; elegibilidade para benefícios sociais	—
6. Aplicação da lei	Usos da lei › Avaliação do risco de reincidência; ferramentas do tipo polígrafo; análise criminal; avaliação da confiabilidade das evidências	—
7. Migração	Migração, asilo e controle de fronteiras › Verificação da autenticidade de documentos; avaliação de riscos; processamento de pedidos de asilo ou visto	—
8. Justiça/Democracia	Administração da justiça e processos democráticos › Auxilia as autoridades judiciais na pesquisa ou aplicação da lei; influencia eleições ou votações.	—

Se estiver dentro do escopo: Páginas 3 a 5 completas (artigos 9 a 15, 43 e 49). Registre-se no banco de dados da Lei de IA da UE antes de 2 de dezembro de 2027. Se estiver fora do escopo: As obrigações gerais de transparência (artigo 50.º) podem ainda ser aplicáveis aos chatbots e aos sistemas geradores de deepfakes.

Checklist de prontidão para a Lei de IA da UE: Gestão de riscos, governança de dados e documentação técnica

Página 3 de 5

Clique em qualquer indicador de status para alternar: SIM (em conformidade) → PARCIAL (em andamento) → NÃO (lacuna) → N/A (não aplicável) → redefinir. Os campos de Evidências e Observações são editáveis. Essas obrigações aplicam-se principalmente a provedores de sistemas de IA de alto risco.

Ref	Obrigação	Status
Seção 3: Sistema de Gestão de Riscos (Artigo 9)
9.1	Sistema de gestão de riscos estabelecido e documentado › Processo iterativo contínuo que abrange todo o ciclo de vida do sistema › Atualizado regularmente e sempre que o sistema for substancialmente modificado.	—
9.2	Riscos conhecidos e razoavelmente previsíveis identificados › Riscos para a saúde, segurança e direitos fundamentais avaliados para cada fase do ciclo de vida › Inclui riscos decorrentes de uso indevido previsível e impactos adversos razoavelmente previsíveis	—
9.3	Estimativa e avaliação de risco realizadas › Riscos avaliados para a finalidade pretendida e cenários de uso indevido previsíveis › Os dados pós-mercado retroalimentam a avaliação contínua de risco.	—
9.4	Medidas de mitigação e controle de riscos adotadas › Medidas de projeto e desenvolvimento aplicadas primeiro; em seguida, treinamento, informação e instruções. › As medidas técnicas incluem recursos de explicabilidade, limites de precisão e opções de contingência.	—
9.5	Riscos residuais comunicados e considerados aceitáveis. › Riscos residuais documentados e comunicados aos responsáveis pela implantação nas instruções de uso. › Considerado aceitável quando ponderado em relação aos benefícios da finalidade pretendida	—
9.6	Testes de sistema para avaliação de riscos realizados antes da colocação no mercado. › Testes com base em métricas e limiares de probabilidade predefinidos › Resultados dos testes documentados na documentação técnica (Anexo IV)	—
9.7	Consideração especial para grupos vulneráveis › Crianças e pessoas com deficiência serão consideradas quando o uso previsível as envolver. › Salvaguardas adicionais documentadas quando aplicável	—
Seção 4: Dados e Governança de Dados (Artigo 10)
10.1	Práticas de governança de dados estabelecidas › Abrange conjuntos de dados de treinamento, validação e teste › Examina as escolhas de design, a coleta de dados, a rotulagem e o armazenamento.	—
10.2	Relevância, representatividade e precisão dos dados avaliadas. › Dados de treinamento relevantes, suficientemente representativos e completos para a finalidade pretendida › Lacunas e deficiências de dados conhecidas identificadas e documentadas	—
10.3	Propriedades estatísticas de conjuntos de dados documentadas › Características e distribuições documentadas em nível individual e agregado › Aplicado em todas as três divisões do conjunto de dados (treinamento / validação / teste)	—
10.4	Medidas de detecção e correção de viés implementadas. › Identificados os vieses que podem afetar os direitos fundamentais ou produzir resultados discriminatórios › Medidas adequadas para detectar e corrigir vieses implementadas e documentadas	—
10.5	Dados pessoais de categoria especial tratados adequadamente › As categorias do Artigo 9 do RGPD são utilizadas apenas quando estritamente necessário para a detecção de viés (Artigo 10(5)) › Salvaguardas adequadas documentadas; DPA ou base legal confirmada	—
10.6	Avaliação das fontes de dados sintéticos e de terceiros › Proveniência de todas as fontes de dados documentada › Métodos de geração de dados sintéticos e controles de qualidade documentados quando utilizados.	—
10.7	Procedimentos de pré-processamento e rotulagem documentados › Diretrizes de anotação e processos de rotulagem descritos › Garantia de qualidade na rotulagem aplicada e comprovada	—
10.8	Conjuntos de dados de validação e teste separados dos dados de treinamento. › Conjunto de validação distinto usado para ajuste; conjunto de teste separado para avaliação final › O conjunto de testes reflete a distribuição de implantação no mundo real	—
Seção 5: Documentação Técnica (Artigo 11 e Anexo IV)
Anexo IV especifica o conteúdo mínimo. A documentação deve ser mantida por 10 anos após o sistema ser colocado no mercado ou em serviço.
11.1	Descrição geral do sistema de IA preparado › Finalidade pretendida, responsáveis, informações sobre a versão › Interações com outros hardwares ou softwares, se aplicável	—
11.2	Processo de projeto e desenvolvimento documentado › Lógica geral, algoritmos, principais escolhas de projeto › Arquitetura e infraestrutura computacional descritas	—
11.3	Metodologia e técnicas de treinamento documentadas › Processo de treinamento, técnicas, parâmetros e configurações de hiperparâmetros › Métodos de otimização e funções de perda descritas	—
11.4	Resultados da validação e dos testes documentados › Protocolos, procedimentos e resultados para validação e testes › Ambientes e condições de teste descritos	—
11.5	Métricas de desempenho estabelecidas e documentadas › Métricas de precisão, robustez e cibersegurança especificadas › Resultados de benchmark e limiares mínimos documentados	—
11.6	Limitações conhecidas e uso indevido previsível documentados › Limitações do sistema identificadas e comunicadas › Cenários de uso indevido previsíveis considerados e mitigados ou documentados	—
11.7	Instruções de uso (IFU) para implementadores preparadas › Identidade do provedor, finalidade pretendida, métricas de desempenho, requisitos de manutenção › Medidas de supervisão humana e requisitos de competência do operador especificados	—
11.8	Plano de monitoramento pós-comercialização incluído na documentação › Descreve como o desempenho será monitorado após a implantação. › Inclui mecanismos de coleta de dados e gatilhos de relatório	—
11.9	Modificações substanciais rastreadas e redocumentadas › Sistema de controle de versão mantido para todas as alterações no sistema › Modificações substanciais desencadeiam uma nova avaliação de conformidade	—

Checklist de prontidão para a Lei de IA da UE: manutenção de registros, transparência, supervisão humana e desempenho técnico.

Página 4 de 5

Ref	Obrigação	Status
Seção 6: Registro e arquivamento de dados (Artigo 12)
12.1	Recursos de registro automático integrados ao sistema › O sistema registra automaticamente os eventos durante toda a sua vida útil operacional. › O registro de logs é compatível com a finalidade pretendida do sistema.	—
12.2	Os registros capturam detalhes suficientes para identificar riscos. › São registrados os eventos que podem constituir um risco ou levar a uma modificação substancial. › Facilita o monitoramento e a investigação pós-comercialização de incidentes graves	—
12.3	Períodos de retenção de logs estabelecidos e documentados › Retido pelo período mínimo definido na documentação técnica › Para sistemas biométricos: mínimo de 6 meses, salvo disposição legal em contrário	—
12.4	Implementação de controles de acesso a logs e proteção de integridade › Acesso restrito a pessoas autorizadas; os responsáveis pela implantação têm o acesso necessário para o cumprimento de suas obrigações. › Os registros não podem ser alterados ou excluídos por terceiros não autorizados.	—
12.5	Os responsáveis pela implementação têm acesso aos registros relevantes (Art. 12(3)) › Os responsáveis pela implantação podem recuperar os registros necessários para cumprir suas próprias obrigações do Artigo 26. › Mecanismo de acesso ao log documentado nas instruções de uso	—
Seção 7: Transparência e Informação (Artigo 13)
13.1	Sistema projetado para permitir a compreensão do implementador › Transparência suficiente para permitir que os responsáveis pela implementação interpretem os resultados e os utilizem adequadamente. › Recursos de explicabilidade incorporados sempre que tecnicamente viável	—
13.2	Instruções de utilização fornecidas aos operadores › Identidade do provedor; finalidade pretendida; nível de desempenho e métricas de precisão › Circunstâncias em que o sistema pode falhar ou produzir erros; requisitos de manutenção	—
13.3	Capacidades, limitações e riscos conhecidos comunicados › Capacidades técnicas, limites de precisão e limitações de desempenho declarados › Circunstâncias em que o sistema não deve ser utilizado especificadas	—
13.4	Requisitos de hardware e ambiente de TI especificados › Características dos dados de entrada necessários descritas quando relevantes. › Requisitos de infraestrutura técnica, computação e rede especificados	—
13.5	Identidade da IA divulgada aos usuários finais quando exigido (Art. 50) › Chatbots, reconhecimento de emoções e sistemas deepfake revelam a natureza da IA aos usuários › Aplica-se independentemente da classificação de alto risco quando o Artigo 50 for acionado.	—
Seção 8: Supervisão Humana (Artigo 14)
14.1	Interface homem-máquina adequada para supervisão integrada › As medidas permitem que as pessoas físicas compreendam suas capacidades e limitações. › Interface projetada para evitar viés de automação e dependência excessiva de resultados.	—
14.2	Os operadores podem detectar anomalias, desvios e falhas. › Os resultados são interpretáveis e as anomalias são comunicadas aos operadores. › Indicadores de confiança ou medidas de incerteza fornecidos quando apropriado.	—
14.3	Existe um mecanismo de sobreposição/parada para os operadores. › Os operadores podem interromper, anular ou parar o sistema em tempo real. › Capacidade de estado seguro automático integrada onde tecnicamente viável	—
14.4	Requisitos de treinamento e competência do operador definidos. › As instruções de uso especificam os requisitos de competência em supervisão humana e conhecimento técnico. › Materiais de treinamento ou qualificações para funções de supervisão especificadas	—
14.5	Revisão humana obrigatória de decisões de alto impacto › Para decisões com impacto individual significativo, é necessária revisão humana antes da implementação do efeito. › Particularmente necessário em contextos de emprego, crédito e serviços públicos	—
14.6	Funções de supervisão e procedimentos de escalonamento atribuídos › Indivíduos ou funções designadas como responsáveis pela supervisão humana › Procedimentos de escalonamento para casos extremos e entradas fora da distribuição documentados	—
Seção 9: Precisão, Robustez e Segurança Cibernética (Artigo 15)
15.1	Níveis de precisão estabelecidos, documentados e alcançados. › Métricas de precisão adequadas à finalidade pretendida, definidas e testadas. › Nível comunicado nas Instruções de Uso e na entrada do banco de dados de IA da UE	—
15.2	Sistema robusto contra erros, falhas e inconsistências › Resiliência a erros e falhas durante a operação demonstrada por meio de testes › Plano de contingência ou estado de segurança ativado em caso de falha do sistema	—
15.3	Implementação de medidas de cibersegurança proporcionais ao risco. › Proteção contra manipulação adversária, envenenamento de dados e ataques de inversão de modelo › Segurança por concepção aplicada ao longo de todo o ciclo de vida do desenvolvimento	—
15.4	Robustez adversária avaliada e documentada › Testes de robustez adversarial conduzidos › Vulnerabilidades conhecidas documentadas e mitigadas	—
15.5	Desempenho consistente entre os grupos demográficos › Precisão validada em subpopulações e grupos demográficos › Desempenho discrepante identificado e mitigado ou documentado	—

Checklist de prontidão para a Lei de IA da UE: Avaliação de conformidade, conformidade com o GPAI e monitoramento pós-mercado

Página 5 de 5

Ref	Obrigação	Status
Seção 10: Avaliação da Conformidade e Registro (Artigos 43, 49)
A maioria dos sistemas do Anexo III utiliza autoavaliação (Art. 43(2)). Os sistemas que envolvem identificação biométrica remota requerem um organismo notificado (Art. 43(1) + Anexo VII).
43.1	Rota de avaliação da conformidade identificada › Autoavaliação (Art. 43(2)) ou avaliação por organismo notificado (Art. 43(1)) confirmada como aplicável › Organismo notificado obrigatório para identificação biométrica remota e identificação biométrica em tempo real em espaços públicos	—
43.2	Procedimento de controle interno concluído (Anexo VI) › O provedor verifica se o sistema atende a todos os requisitos dos Artigos 9 a 15. › Procedimento documentado em arquivo antes da colocação no mercado	—
43.3	Declaração de conformidade ( DoC ) da UE assinada › Contém informações do Anexo V: fornecedor, descrição do sistema, normas aplicáveis › Assinado por pessoa autorizada; conservado por 10 anos a partir da colocação no mercado.	—
43.4	Marcação CE afixada onde exigido. › Aplicado antes da colocação no mercado para sistemas que o exigem. › Se incorporado em um produto, aplicam-se também as regras setoriais de marcação CE.	—
49.1	Sistema registado na base de dados de IA da UE antes da sua colocação no mercado. › O registro em ai-prd.ec.europa.eu é obrigatório antes de 2 de dezembro de 2027. › Inclui nome do sistema, finalidade pretendida, métricas de desempenho e status de conformidade.	—
49.2	Documentação técnica conservada por 10 anos. › Toda a documentação deverá ser mantida a partir da data de colocação no mercado por um período mínimo de 10 anos. › Disponível para as autoridades de fiscalização de mercado e para o Gabinete de Informática mediante pedido.	—
Seção 11: Monitoramento pós-mercado (Artigo 72)
72.1	Plano de monitoramento pós-comercialização estabelecido e ativo › Planejar de forma proporcional à natureza e ao risco do sistema › Dados coletados sobre o desempenho no mundo real ao longo da vida útil do sistema	—
72.2	Incidentes graves comunicados à autoridade de fiscalização do mercado › Relatado em até 15 dias (ou 72 horas para riscos críticos ou generalizados) › Quase acidentes que poderiam ter causado um incidente grave também devem ser relatados.	—
72.3	Mau funcionamento comunicado aos responsáveis pela implantação e aos importadores › Os fornecedores informam os responsáveis pela implantação sobre falhas que afetam a segurança ou o desempenho. › Procedimentos de ação corretiva definidos e comunicados	—
72.4	Estabelecido o processo de retirada do mercado e de ação corretiva. › Processo para retirar, desativar ou recolher o sistema se for identificada uma não conformidade. › Plano de comunicação para notificar os responsáveis pela implantação e as autoridades afetadas	—
Seção 12: Conformidade do Modelo de IA de Propósito Geral (Artigos 53–55)
Os artigos 53 a 55 aplicam-se aos fornecedores de modelos GPAI (modelos de base, LLMs) disponibilizados na UE. Aplicam-se obrigações adicionais se o modelo representar um risco sistémico (computação de treino cumulativa >10²⁵ FLOPs ou designação do Gabinete de IA).
53.1	Documentação técnica para o modelo GPAI preparada (Anexo XI/XII) › Dados de treinamento, poder computacional utilizado, arquitetura, capacidades, limitações, resultados da avaliação › Mantido atualizado; disponível para o Gabinete de IA e autoridades nacionais mediante solicitação.	—
53.2	Implementada a política de conformidade com os direitos autorais. › Política de respeito à legislação de direitos autorais da UE em vigor (Art. 53(1)(c)) › Resumo dos dados de treinamento publicados publicamente (Art. 53(1)(d))	—
53.3	Informações suficientes fornecidas aos fornecedores a jusante › Os provedores downstream que integram o GPAI recebem informações sobre capacidades, limitações e salvaguardas. › Permite que os fornecedores downstream cumpram suas próprias obrigações da Lei de IA	—
Risco Sistêmico GPAI apenas (Art. 55): aplica-se se o cálculo for superior a 10²⁵ FLOPs ou se designado pelo Escritório de IA.
55.1	Testes adversários (red teaming) conduzidos › Modelo avaliado quanto aos riscos graves identificados nas diretrizes do AI Office › Resultados documentados e relatados ao Escritório de IA no relatório anual	—
55.2	Estabelecido o sistema de comunicação de incidentes graves ao Gabinete de IA. › Incidentes relacionados a riscos sistêmicos relatados ao Escritório de IA sem demora indevida › Implementadas medidas de cibersegurança adequadas aos riscos identificados (Art. 55(1)(d))	—

Resumo Geral de Conformidade

SIM

PARCIAL

GAP

N/A

Lei da IA da UEChecklist de prontidão para IA de alto risco

Seção 1: Práticas de IA proibidas (Artigo 5)

Seção 2: Verificação de Escopo de Alto Risco (Anexo III)

Lei da IA da UE
Checklist de prontidão para IA de alto risco