AI compliance from idea to exit

Conformidade da IA desde a ideia até à saída

Use the stage that matches your next decision. A funding round is a planning milestone. Duties can start earlier, including when the first real record enters a pilot.

Comece pela próxima decisão. Uma ronda de financiamento ajuda a planear. As obrigações podem começar antes, logo no primeiro registo real de um piloto.

O inglês mantém-se visível. Escolha uma segunda língua de leitura.

Which records need extra care?

Que dados exigem salvaguardas adicionais?

A photograph and a face template used to identify someone are different. Record the Article 6 basis and, for special-category processing, the Article 9 condition. Consider health inferences, children, dependence on a carer, an unsafe address and client secrets separately. Restrict input and access, offer a human alternative and complete a required DPIA before using live records.

Distinga uma fotografia de um modelo facial usado para identificar uma pessoa. Registe o fundamento do artigo 6.º e, para categorias especiais, a condição do artigo 9.º. Analise inferências sobre saúde, crianças, dependência de cuidadores, moradas cuja divulgação possa causar perigo e segredos dos clientes. Limite os dados e os acessos, ofereça uma alternativa humana e faça a avaliação de impacto exigível antes de usar dados reais.

12 detailed data decisions (EN) · ICO-SPECIAL · EU-GDPR

If a breach happens

Em caso de violação

Stop the disclosure, preserve restricted evidence and record awareness time. A processor tells the controller without undue delay. A controller notifies the competent authority without undue delay and, where feasible, within 72 hours of awareness unless risk to people’s rights and freedoms is unlikely. If high risk is likely, tell people without undue delay, subject to Article 34 exceptions. Record every personal data breach and the reasons for each decision.

Contenha o incidente, proteja as provas e registe quando teve conhecimento. O subcontratante informa o responsável sem demora injustificada. Este notifica a autoridade competente sem demora injustificada e, se possível, em 72 horas, salvo se for improvável um risco para os direitos e liberdades. Se for provável um risco elevado, informe as pessoas sem demora injustificada, com as exceções do artigo 34.º. Documente todas as violações e decisões.

Full incident playbook and messages (EN) · ICO-REPORT · EDPB-DOORS

01 · Pre-seed · Define the use

Pré-semente · Definir o uso

A useful idea can hide an unacceptable use. The founder names the decision, affected people and forbidden uses. Hold a live trial until a possible prohibition has been resolved.

Uma boa ideia pode esconder um uso inaceitável. O fundador regista a decisão, as pessoas afetadas e os usos proibidos. Adie testes reais até esclarecer uma possível proibição.

Prova ou resposta

One-page use case and manual alternative

Ficha de utilização e alternativa manual

Notas sobre as fontes / practical checks

Walk through a single item from input to output. Which person can be affected, what could they lose, and who can change the outcome?

Acompanhe um único elemento desde a entrada até à saída. Quem poderá ser afetado, o que poderá perder e quem pode alterar o resultado?

EU AI Act: do we build or market the system under our name, deploy it for work, or change its purpose? Check territorial scope, including where an output is used. Keep the reason for each role.

Ao abrigo do Regulamento da IA da UE, desenvolvemos ou comercializamos o sistema em nosso nome, utilizamo-lo na atividade profissional ou alteramos a sua finalidade? Verifique o âmbito territorial, incluindo o local de utilização dos resultados. Registe a justificação para cada papel.

Screen prohibited practices before testing with people. For example, workplace emotion inference has a narrow medical or safety exception. Escalate any possible prohibition before further use.

Verifique as práticas proibidas antes de realizar testes com pessoas. Por exemplo, a inferência de emoções no local de trabalho admite uma exceção limitada a razões médicas ou de segurança. Submeta qualquer possível proibição a apreciação antes de prosseguir.

EU-SCOPE · EU-PROHIB

02 · Formation and seed funding

Constituição e financiamento inicial

The company may not control code, data or designs made before incorporation. Trace each contribution and secure suitable rights before promising ownership to investors.

A empresa pode não deter o código, os dados ou os desenhos anteriores à constituição. Identifique cada contribuição e assegure os direitos antes de prometer titularidade aos investidores.

Prova ou resposta

Contributor and rights schedule with signed evidence

Mapa de contribuições e direitos com comprovativos assinados

Notas sobre as fontes / practical checks

Working alone? Wear several hats and record which one you used. Get a qualified second view for unfamiliar or serious decisions. With 2–10 people, separate the maker from the checker. With 11–50, name leads and deputies. These are suggested working arrangements.

Trabalha por conta própria? Assuma várias funções e registe em que qualidade decidiu. Peça uma segunda opinião qualificada em decisões pouco familiares ou graves. Numa equipa de 2–10 pessoas, separe a execução da verificação. Com 11–50, designe responsáveis e substitutos. Estas são sugestões de organização.

Compare doing nothing, a manual process and an AI-assisted process. Estimate time saved after checking, cost of errors, supplier fees and exit costs.

Compare manter a situação atual, usar um processo manual e usar um processo assistido por IA. Estime o tempo poupado depois das verificações, o custo dos erros, os encargos com o fornecedor e os custos de saída.

UK-IP · UK-NSI

03 · Source data and suppliers

Dados e fornecedores

Permission to view material may not cover training, retrieval or customer resale. Match each use to a right and check vendor reuse, subcontractors, costs and exit before uploading real records.

Poder consultar materiais pode não abranger treino, recuperação ou revenda. Antes de carregar registos reais, confira o direito para cada uso, reutilização pelo fornecedor, subcontratação, custos e saída.

Prova ou resposta

Permission matrix and signed supplier decision

Matriz de permissões e decisão de fornecedor assinada

Notas sobre as fontes / practical checks

Trace one data item through collection, prompts, retrieval, model, output, logs, support and deletion. Name source, people, country, recipients, retention, backups and someone who can test deletion.

Siga um dado desde a recolha até à eliminação, passando pelas instruções ao modelo, recuperação de informação, modelo, resultado, registos técnicos e apoio. Identifique origem, pessoas, país, destinatários, conservação, cópias de segurança e quem pode testar a eliminação.

Supplier check: identify processors and subprocessors, training or reuse terms, support access, contract, incidents, return or deletion, change notice and exit. Save the dated terms and unresolved questions.

Na verificação do fornecedor, identifique os subcontratantes e os seus próprios subcontratantes, condições de treino ou reutilização, acessos do suporte, contrato, incidentes, devolução ou eliminação, aviso de alteração e saída. Guarde as condições datadas e as questões em aberto.

Locate each restricted transfer. Record the applicable adequacy decision or safeguard, assessment and extra protections. Check EU SCCs and UK IDTA or Addendum separately. Revisit overseas support and onward transfers.

Localize cada transferência sujeita a restrições. Registe a decisão de adequação ou a garantia aplicável, a avaliação e as proteções suplementares. Verifique separadamente as cláusulas contratuais-tipo da UE (SCC) e o acordo britânico de transferência internacional de dados (IDTA) ou a adenda britânica às SCC. Reavalie o apoio a partir de outros países e as transferências ulteriores.

ICO-CONTRACT · EU-TRANSFER · ICO-TRANSFER · EDPB-MODEL

04 · Build and prototype

Construção e protótipo

A model can leak another customer’s records or turn a document instruction into an action. Use synthetic test cases, separate tenants, limit permissions and test a manual override before connecting live systems.

O modelo pode divulgar dados de outro cliente ou executar uma instrução num documento. Use casos sintéticos, separe clientes, limite permissões e teste a intervenção manual antes de ligar sistemas reais.

Prova ou resposta

Versioned test results, access map and rollback test

Testes versionados, mapa de acessos e ensaio de reversão

Notas sobre as fontes / practical checks

Engineering and data: freeze model, prompt, dataset and settings. Test typical, unusual and misleading inputs against an agreed baseline. Keep reproducible results and known limits.

Engenharia e dados: fixe as versões do modelo, instruções, dados e configurações. Teste entradas típicas, invulgares e enganosas contra a referência acordada. Guarde resultados reproduzíveis e limitações conhecidas.

Predeclare the test: purpose, dataset origin, expected answers, baseline, sample size, thresholds, critical failures, reviewer and retest date. Include language, disability and real operating conditions where relevant.

Defina previamente finalidade do teste, origem dos dados, respostas esperadas, referência, dimensão da amostra, limiares, falhas críticas, revisor e data de repetição. Inclua as línguas, a deficiência e as condições reais de operação quando pertinentes.

Security drill: send a harmless hostile instruction in a fictional attachment. Test a blocked export, denied permission, wrong recipient and unavailable supplier. Record what happened at each boundary.

Exercício de segurança: inclua num anexo fictício uma instrução hostil inofensiva. Teste uma exportação bloqueada, permissão recusada, destinatário errado e fornecedor indisponível. Registe o que aconteceu em cada fronteira de controlo.

NCSC · EU-GDPR

05 · Pilot with real users

Piloto com utilizadores reais

A free or closed pilot can still harm a person. Screen before real data, set limits and enable meaningful review. Hold high-risk processing if a required impact assessment or prior consultation is incomplete.

Um piloto fechado ou gratuito pode causar danos. Faça a triagem antes de usar dados reais, imponha limites e permita revisão humana efetiva. Suspenda tratamento de alto risco enquanto faltar avaliação de impacto ou consulta prévia obrigatória.

Prova ou resposta

Pilot protocol, DPIA decision and stop criteria

Protocolo do piloto, decisão de AIPD e critérios de paragem

Notas sobre as fontes / practical checks

A DPIA examines how processing personal data could harm people and how to reduce that harm. The controller must do it before likely high-risk processing begins, including a pilot using real personal data.

Uma AIPD examina os possíveis danos do tratamento de dados pessoais para as pessoas e a forma de os reduzir. O responsável pelo tratamento deve realizá-la antes de iniciar um tratamento suscetível de implicar elevado risco, incluindo um piloto com dados pessoais reais.

Seek the data protection officer’s advice where designated. Where appropriate seek affected people’s views. Record objections, accessibility needs, decisions and reasons for any justified departure.

Peça o parecer do encarregado da proteção de dados (EPD ou DPO), quando designado. Quando adequado, ouça as pessoas afetadas. Registe objeções, necessidades de acessibilidade, decisões e os motivos de qualquer afastamento justificado dos pareceres.

Decide whether high risk remains despite practical measures. If so, consult the competent authority before starting the processing under Article 36. Record correspondence and response. A founder’s signature cannot replace consultation.

Determine se subsiste um risco elevado apesar das medidas praticáveis. Em caso afirmativo, consulte a autoridade competente antes de iniciar o tratamento nos termos do artigo 36. Registe correspondência e resposta. A assinatura de quem fundou a empresa não substitui a consulta.

Check human oversight: can the reviewer see the evidence, disagree, correct the result and stop the next action in time? Save one override trace. A second click alone proves little.

Verifique a supervisão humana: quem revê consegue ver as provas, discordar, corrigir o resultado e parar a ação seguinte a tempo? Guarde um registo de uma decisão revertida. Um segundo clique, só por si, prova pouco.

ICO-DPIA · EU-GDPR · UK-GDPR

06 · Pre-launch · Decide whether to ship

Pré-lançamento · Decidir a publicação

A polished demo can outrun the evidence. Test the exact public claim, check applicable disclosures and sector approvals, and name the person who can withhold release.

Uma demonstração pode ultrapassar a prova. Teste a alegação pública exata, confirme avisos e autorizações setoriais aplicáveis e nomeie quem pode travar o lançamento.

Prova ou resposta

Claims-to-evidence table and dated release decision

Mapa de alegações e provas e decisão datada

Notas sobre as fontes / practical checks

Check Article 50 by actor and output. Telling people they interact with AI, machine-readable marking and disclosing a deepfake are different duties with exceptions. Record which applies and the release-date evidence.

Analise o artigo 50 por interveniente e tipo de resultado. Informar uma pessoa de que interage com IA, aplicar uma marcação legível por máquina e divulgar a natureza de um conteúdo ultrafalso são deveres distintos, sujeitos a exceções. Registe o dever aplicável e a prova relativa à data de lançamento.

Marketing, design and sales: substantiate claims, clear assets and check required disclosures. Save approved wording and versions. Escalate promises of exclusivity, ownership or guaranteed accuracy.

Marketing, design e vendas: fundamente as alegações, verifique os direitos de uso dos materiais e as divulgações necessárias. Guarde os textos e as versões aprovadas. Encaminhe para apreciação promessas de exclusividade, titularidade ou exatidão garantida.

Release options: approve within stated limits, approve with controls already in force, hold pending evidence, or stop. Name unresolved issues, lawful scope, approver, effective date, expiry and rollback owner.

Opções de lançamento: aprovar dentro de limites expressos, aprovar com controlos já em vigor, aguardar provas ou parar. Indique questões pendentes, âmbito legal, pessoa que aprova, data de início, termo e responsável pela reversão.

UK-ADS · EU-MARK · EU-AIA

07 · Launch and operate

Lançamento e operação

Complaints and changes in performance can reveal harm missed in testing. Give users a human route, test it, monitor errors by type and contain incidents promptly.

Reclamações e variações de desempenho podem revelar danos. Disponibilize e teste uma via humana, acompanhe erros por tipo e contenha incidentes rapidamente.

Prova ou resposta

Monitoring log, incident owner and response record

Registo de monitorização, responsável e resposta

Notas sobre as fontes / practical checks

After release: name an owner for errors, complaints, overrides, drift, security and costs. Specify sample, frequency, stop threshold and who can disable the workflow. Log changes and reapprove material ones.

Após o lançamento, designe um responsável por erros, reclamações, decisões revertidas, desvios de desempenho, segurança e custos. Especifique amostra, frequência, limiar de paragem e quem pode desativar o processo. Registe alterações e submeta as materiais a nova aprovação.

Incident: stop unsafe actions, preserve restricted evidence, assess people affected, activate the manual route and record notification decisions. Test a clean restore and correction before reopening.

Em caso de incidente, pare as ações inseguras, preserve as provas com acesso restrito, avalie o impacto nas pessoas, ative a via manual e registe as decisões de notificação. Teste um restauro a partir de uma versão íntegra e a correção antes de retomar.

For UK/EU personal-data breaches, controllers notify the regulator unless risk to people’s rights is unlikely. Notify without undue delay and where feasible within 72 hours of awareness. If high risk is likely, tell people without undue delay, subject to Article 34 exceptions. Processors notify controllers without undue delay.

Quando uma violação de dados pessoais estiver abrangida pelo regime do Reino Unido ou da UE, o responsável pelo tratamento notifica a autoridade, salvo se for improvável que haja risco para os direitos das pessoas. A notificação é feita sem demora injustificada e, se possível, nas 72 horas seguintes à tomada de conhecimento. Quando seja provável um risco elevado, informe as pessoas sem demora injustificada, ressalvadas as exceções do artigo 34. Os subcontratantes notificam o responsável pelo tratamento sem demora injustificada.

Intake: keep a secure reference to the original words. Record first receipt, controller, jurisdiction, each right, owner, safe reply channel and accessibility or representative needs.

Na receção, guarde uma referência segura ao texto original. Registe a primeira receção, o responsável pelo tratamento, jurisdição, direitos invocados, pessoa encarregada, canal seguro de resposta e necessidades de acessibilidade ou representação.

ICO-BGUIDE · EDPB-BREACH

08 · Scale or change the product

Expansão ou alteração do produto

A new market, model, customer group or automated action can change the risk and legal role. Reassess the changed scope before switching it on.

Novo mercado, modelo, grupo de clientes ou ação automática pode mudar risco e papel jurídico. Reavalie o âmbito antes de ativar.

Prova ou resposta

Market and change register with fresh approval

Registo de mercados e alterações com nova aprovação

Notas sobre as fontes / practical checks

Check the intended purpose against Annexes I and III. Recruitment screening is a listed example. Document any claimed Article 6(3) exception and its conditions. Profiling people rules out that exception.

Confronte a finalidade prevista com os anexos I e III. A seleção no recrutamento é um dos exemplos enumerados. Documente qualquer exceção invocada ao abrigo do artigo 6, n.º 3, e os seus requisitos. A definição de perfis de pessoas singulares afasta essa exceção.

The revised dates for Chapter III sections 1–3, except Article 6(5), are 2 December 2027 for Annex III systems and 2 August 2028 for Annex I systems. Other provisions have their own dates.

As datas revistas de aplicação das secções 1–3 do capítulo III, com exceção do artigo 6, n.º 5, são 2 de dezembro de 2027 para os sistemas do anexo III e 2 de agosto de 2028 para os sistemas do anexo I. Outras disposições têm datas próprias.

UK significant solely automated decisions require an Articles 22A–22D review, including restrictions on special-category data and the recognised legitimate interests basis. In the EU start with Article 22 and its specific exceptions. Test real human power to reconsider.

No Reino Unido, as decisões significativas exclusivamente automatizadas exigem análise dos artigos 22A–22D, incluindo as restrições aplicáveis a categorias especiais de dados e ao fundamento dos interesses legítimos reconhecidos. Na UE, comece pelo artigo 22 e pelas suas exceções específicas. Teste se existe poder efetivo de reapreciação humana.

EU-ROLE · EU-HIGH · UK-RIGHTS · EU-AIA

09 · Fundraise again, sell or merge

Novo financiamento, venda ou fusão

A buyer may acquire fewer rights than the pitch suggests. Separate deal-room disclosure, change of control and asset transfer. Resolve material consents and any required clearance before completion.

O comprador pode receber menos direitos do que o proposto. Distinga divulgação na sala de dados, mudança de controlo e transmissão de ativos. Obtenha os consentimentos relevantes e aprovações necessárias antes da conclusão.

Prova ou resposta

Diligence index, exceptions, consents and closing conditions

Índice de diligência, exceções, consentimentos e condições de conclusão

Notas sobre as fontes / practical checks

List the accountable organisation for each purpose. Who chooses why and how personal data are used? Who acts on instructions? Map each supplier’s own uses separately.

Identifique a organização responsável por cada finalidade. Quem decide porquê e como são utilizados os dados pessoais? Quem atua segundo instruções? Mapeie separadamente os usos próprios de cada fornecedor.

For each risk write cause → event → harm to a person. Record likelihood, impact, affected group and evidence before controls. Name the control, tester, due date and risk remaining afterwards.

Para cada risco, escreva «causa → acontecimento → dano para uma pessoa». Registe probabilidade, impacto, grupo afetado e provas antes dos controlos. Identifique o controlo, quem o testa, o prazo e o risco residual.

Your decision record: workflow and version, permitted and excluded uses, evidence IDs, decision and reasons, dissent, restrictions, owner, reviewer, review date, signature and time. Keep the previous version.

Registe fluxo de trabalho e versão, usos permitidos e excluídos, identificadores das provas, decisão e motivos, divergências, restrições, responsável, revisor, data da revisão, assinatura e hora. Guarde a versão anterior.

ICO-DEAL · UK-IP · UK-NSI

10 · Retire or close the business

Retirada ou encerramento

Data, keys and obligations outlive a website. Assign a custodian, return or erase data as applicable, document lawful holds, revoke access and test that restored backups do not reactivate deleted records.

Dados, chaves e obrigações sobrevivem ao sítio. Designe um responsável, devolva ou apague conforme aplicável, registe retenções legais, revogue acessos e teste se a restauração não reativa registos apagados.

Prova ou resposta

Decommissioning record, supplier evidence and remaining contact

Registo de encerramento, prova do fornecedor e contacto posterior

Notas sobre as fontes / practical checks

Trace one data item through collection, prompts, retrieval, model, output, logs, support and deletion. Name source, people, country, recipients, retention, backups and someone who can test deletion.

Other rights: examine correction, erasure, restriction, portability, objection and human review separately. Record applicable conditions, exceptions, recipients to notify, and any lawful retention or dispute hold.

Quanto aos outros direitos, analise separadamente retificação, apagamento, limitação, portabilidade, oposição e revisão humana. Registe condições aplicáveis, exceções, destinatários a notificar e deveres legais de conservação ou preservação por litígio.

Private filing: store completed forms, evidence and signatures with restricted access. Keep the public folder blank. Back up a versioned copy, keep an independently protected copy and test a restore. Set a retention period for each record.

Arquivo privado: guarde formulários preenchidos, provas e assinaturas com acesso restrito. Deixe apenas modelos em branco na pasta pública. Faça uma cópia de segurança com versão, mantenha outra com proteção independente e teste um restauro. Defina a conservação de cada registo.

ICO-ERASE · ICO-CONTRACT

Read the full UK and EU founder’s guide (EN)

Caderno de trabalho editável · Full English handbook (Word)

Toto-Rex can make mistakes. Everything here is general information, not legal advice: check the primary source, and take advice from a qualified professional before you act.