Inventário, classificação de risco e preparação para a ISO/IEC 42001 — sobre os sistemas de IA que as tuas equipas usam de facto, com evidências que um auditor consegue seguir.
De confiança em toda a Europa
Equipas de engenharia em setores regulados e críticos — cada projeto auditado, documentado e levado a nível de produção.
Infraestrutura de pagamentos e core bancário em conformidade com PCI-DSS — latência p99 abaixo de 100 ms, registo de auditoria ponta a ponta e tokenização no edge.
Pipelines de dados de doentes alinhados com HIPAA
Observabilidade do core 5G à escala
99,99% de disponibilidade em picos de tráfego
Cloud soberana com registo de auditoria completo
Rastreio de frotas em tempo real e ingestão IoT
O que entregamos
De um inventário completo de IA a evidências prontas para auditoria, alinhadas com os referenciais sobre os quais reguladores e clientes perguntam
Não consegues governar o que não tens listado. Construímos um registo de todos os sistemas de IA que desenvolves, compras ou integras — incluindo as funcionalidades de IA ativadas dentro de ferramentas que já pagas — e classificamos cada um segundo o Regulamento da IA: proibido, risco elevado, obrigações de transparência ou risco mínimo. Cada entrada indica se atuas como prestador ou como responsável pela implantação, porque as obrigações são diferentes.
Registo de sistemas de IA · classe de risco por sistema · papel de prestador ou responsável pela implantaçãoA governação tem de refletir a forma como os sistemas de IA são realmente atacados. Modelamos as ameaças aos teus modelos, pipelines RAG e agentes com as táticas e técnicas do MITRE ATLAS — prompt injection, envenenamento de dados, roubo de modelos, exfiltração através de ferramentas — e transformamos os achados em controlos com um responsável identificado.
MITRE ATLAS · modelo de ameaças por sistema crítico · responsáveis por cada controloMapeamos as tuas práticas às quatro funções do NIST AI Risk Management Framework — Govern, Map, Measure, Manage — para que as decisões sobre o risco da IA sigam um método documentado e não o critério de cada pessoa. Útil quando clientes dos EUA ou as políticas do grupo o pedem, e uma base sólida para o trabalho na UE.
Govern · Map · Measure · ManageA ISO/IEC 42001 é a norma de sistemas de gestão para a IA. Fazemos a análise de lacunas, ajudamos-te a desenhar o sistema de gestão de IA — âmbito, política, papéis, avaliação de riscos e de impacto, controlos — e preparamos as evidências para a auditoria. A Privum prepara a tua organização; o certificado é emitido por um organismo de certificação acreditado.
Análise de lacunas · desenho do sistema de gestão de IA · preparação da auditoriaA maior parte do risco da IA começa com um colaborador bem-intencionado e uma ferramenta gratuita. Redigimos a Política de Utilização Aceitável de IA, a lista de ferramentas aprovadas, as categorias de dados que nunca devem chegar a um prompt e as regras de anonimização para tudo o resto, além da formação que faz a política pegar — curta o suficiente para que as pessoas a leiam de facto.
Política de utilização aceitável · lista de ferramentas aprovadas · formação das equipasCada fornecedor de IA trata tudo o que as tuas equipas lhe enviam. Revemos os contratos dos fornecedores, os DPA, as condições sobre treino com os teus dados, a residência dos dados e os subcontratantes ulteriores, e mapeamos por onde entram os dados pessoais nos teus sistemas de IA — prompts, conjuntos de fine-tuning, índices RAG, logs — para que as tuas AIPD e os registos das atividades de tratamento reflitam a realidade.
Avaliação de fornecedores · revisão de DPA · contributos para a AIPDOs nossos engenheiros analisam a tua configuração atual e entregam um roteiro priorizado — sem compromisso.
As quatro situações em que uma avaliação de governação de IA costuma pagar-se mais depressa.
Lanças funcionalidades sobre LLM ou sobre os teus próprios modelos e vendes na UE. Estabelecemos, sistema a sistema, se és prestador ou responsável pela implantação, que classe de risco se aplica e que documentação esse papel exige.
Usas IA em recrutamento, avaliação de crédito, educação ou acesso a serviços essenciais. As obrigações do anexo III aplicam-se a partir de 2 de dezembro de 2027 — tempo suficiente para construir bem a gestão de riscos, a governação de dados e a supervisão humana, mas não para começar tarde.
Os teus colaboradores já usam IA generativa, autorizada ou não. Pomos em prática uma Política de Utilização Aceitável de IA, uma lista de ferramentas aprovadas e condições de fornecedor revistas, para que o ganho de produtividade não se pague com uma violação do RGPD.
Um questionário de compras pergunta pelos teus controlos de IA, ou a tua administração quer saber onde se usa IA e quem responde por ela. Damos-te o inventário, as políticas e as evidências para responder por escrito.
O Regulamento da IA aplica-se por fases. O Digital Omnibus on AI, em vigor desde 27 de julho de 2026, adiou os prazos de risco elevado — um adiamento, não um recuo. As proibições, as regras sobre IA de finalidade geral e as obrigações de transparência já se aplicam.
A governação só funciona se partir dos sistemas que operas de facto. Começamos por um inventário real, classificamos face ao regulamento e deixamos-te controlos e evidências que as tuas equipas conseguem manter. Não é aconselhamento jurídico: quando uma questão depende da interpretação legal, trabalhamos em conjunto com os teus consultores jurídicos e trazemos os factos técnicos de que precisam.
Cada sistema de IA documentado, classificado e justificado, para poderes responder a um regulador, a um auditor ou a um cliente com evidências e não com intenções.
Obrigações ligadas às datas que realmente se aplicam a ti, com um roteiro organizado em torno delas em vez de uma corrida de última hora.
Regras claras sobre ferramentas e dados permitem às equipas continuar a usar a IA de forma produtiva, sem que os dados de clientes acabem em serviços sem DPA.
Identificamos todos os sistemas de IA em uso — desenvolvidos, comprados ou integrados em SaaS — através de entrevistas, registos de compras e descoberta técnica, e registamos o responsável, a finalidade e os dados de cada um.
Cada sistema recebe uma classe de risco segundo o Regulamento da IA e um papel (prestador ou responsável pela implantação), além de uma visão RGPD dos dados pessoais que trata.
Comparamos a prática atual com as obrigações aplicáveis, a ISO/IEC 42001 e o NIST AI RMF, e modelamos as ameaças aos sistemas críticos com o MITRE ATLAS.
Um plano priorizado — políticas, controlos técnicos, contratos com fornecedores, documentação — ordenado por risco e pelas datas que se aplicam a ti.
Deixamos a funcionar o registo, a documentação e a cadência de revisão que mantêm as tuas evidências atualizadas à medida que mudam os modelos, os fornecedores e os casos de uso.
Da primeira chamada à produção — um modelo de colaboração comprovado em 4 passos que mantém a conversa transparente e a velocidade honesta.
Auditamos o teu stack atual, identificamos lacunas e alinhamos os objetivos de negócio.
Um roteiro detalhado com prioridades, estimativas de esforço e quick wins.
Os nossos engenheiros integram-se na tua equipa e executam sprint a sprint.
Monitorização contínua, otimização e transferência de conhecimento para a tua equipa.
Práticas adjacentes que combinam bem com esta — a maioria dos projetos junta duas ou três.
Respostas práticas sobre âmbito, prazos e como costumam ser os projetos com a nossa equipa de Governação de IA.
Quer estejas a começar do zero ou a escalar o que já tens, os nossos engenheiros estão prontos para ajudar.