Conformidade de IA
As empresas de IA enfrentam uma versão específica da Diretiva UE sobre denunciantes: equipas de investigação globais, pessoal multilingue e riscos de reputação mais elevados do que na maioria dos setores. Oferecemos um canal que cumpre a Diretiva 2019/1937, se adapta à forma como as equipas de IA realmente trabalham e passa um questionário de due diligence de aquisição real.
10 min
Do registo a um canal de denúncia funcional.
17
Idiomas para equipas globais de investigação. Entrada de voz, sem site separado por idioma.
0
Gravações de áudio armazenadas. O áudio é transcrito no navegador e apagado. Nunca o vemos.
E2E
Criptação ponta a ponta. O denunciante tem a chave. Não podemos ler o conteúdo.
Visão geral
A Diretiva Europeia sobre Denunciantes 2019/1937 aplica-se a qualquer entidade jurídica com 50 ou mais trabalhadores que opere na UE, independentemente do setor. As empresas de IA atingem este limiar cedo — muitas vezes na Série A — e, assim que vendem a clientes empresariais, o requisito é reforçado por questionários de due diligence que exigem um canal interno de denúncia documentado. O AI Act (Regulamento (UE) 2024/1689) não exige, por si só, um canal de denúncias, mas exige que os fornecedores de IA de uso geral disponham de mecanismos internos de reclamação para questões de direitos fundamentais. Um único canal cobre ambas as obrigações, sem sobreposição operacional.
O que se aplica a si
A maioria das empresas de IA com quem trabalhamos navega dois regimes de conformidade em paralelo. Eis o que a lei exige realmente — e onde o nosso canal se encaixa.
Canais internos de denúncia para entidades jurídicas com 50 ou mais trabalhadores. Confirmação em sete dias, resposta em três meses, sem retaliação. A lei de cada Estado-Membro (por exemplo, a HinSchG na Alemanha, a loi Sapin II em França) acrescenta especificidades locais.
Os fornecedores de IA de uso geral devem permitir reclamações relativas a direitos fundamentais. O nosso canal interno encaminha-as para a equipa certa sem alterar o fluxo de dados.
Os clientes empresariais incluem sistematicamente uma pergunta do tipo «descreva o seu canal interno de denúncia» nos questionários de segurança de fornecedores. Responder «envie-nos um e-mail» já não é uma resposta aceitável em 2026.
As obrigações anti-retaliação aplicam-se à empresa de IA assim que uma denúncia é apresentada. Uma receção documentada + o histórico de casos são a defesa mais forte do empregador em qualquer litígio posterior.
As empresas de IA que buscam essas certificações precisam de um processo documentado e auditável de captação e gestão de casos. O nosso registo de eventos por caso, com carimbos de tempo e utilizadores ativos, é o rasto de auditoria que suporta estes requisitos — não é a auditoria inteira, mas é a parte mais testada.
Porque a Ashio para IA
A razão pela qual a maioria das empresas de IA nos escolhe em vez de uma ferramenta de tickets genérica ou de uma solução improvisada no Slack.
Os investigadores de IA e os responsáveis de segurança trabalham frequentemente em equipas multilingues. Os denunciantes podem ditar a sua denúncia em qualquer um dos 17 idiomas. O servidor só vê o texto.
Cada caso recebe um URL único que o denunciante pode usar para acompanhar de forma anónima. Sem início de sessão, sem conta, sem atrito. O mesmo modelo com que o Linear e o Notion partilham issues.
O denunciante cifra a denúncia no navegador com uma chave que só ele possui. O responsável de segurança decifra. Não podemos ler o conteúdo.
Mesmo abaixo do limiar de 50 funcionários da diretiva, um canal interno documentado ajuda a passar nos questionários de due diligence de aquisição. Muitos dos nossos clientes com menos de 50 funcionários implementam-no antes da Series A para a auditoria SOC 2, ou porque o seu primeiro cliente empresarial o pediu no questionário de segurança do fornecedor.
As denúncias podem ser atribuídas automaticamente ao seu responsável de segurança, ao seu DPO ou ao seu responsável de conformidade consoante a categoria. Sem triagem manual.
A lista de casos filtra por categoria — viés de modelo, privacidade de dados, integridade de avaliação, entre outras. Cada denúncia traz a sua categoria desde o envio, para que o responsável de segurança possa extrair apenas os itens relevantes.
Lista de verificação de conformidade
Uma lista de preparação para empresas de IA prestes a assinar um contrato que exige um canal de denúncia documentado.
A maioria dos questionários de compras exige-o como requisito obrigatório. Um URL ativo com um link de acesso único por caso é a resposta padrão.
A diretiva exige uma resposta ao denunciante no prazo de sete dias. Garantimo-lo com um prazo por caso visível a cada administrador desde o primeiro dia.
A diretiva exige também informação sobre como a denúncia foi tratada no prazo de três meses. O nosso estado de caso cobre isto de origem.
A diretiva proíbe retaliações contra o denunciante. Os seus registos de contratação, remuneração e afetação têm de ser defensáveis. O registo de casos é a fonte de verdade para isso.
Se tiver pessoal em vários países da UE, a transposição local pode acrescentar requisitos adicionais. O nosso sistema de idiomas associa cada país à sua lei específica.
FAQ
Não, não diretamente. O AI Act (Regulamento 2024/1689) exige que os fornecedores de IA de uso geral permitam reclamações relativas a direitos fundamentais ao abrigo do artigo 86. Um canal de denúncias é exigido pela Diretiva 2019/1937, separada, que se aplica a entidades jurídicas com 50 ou mais trabalhadores. A maioria das empresas de IA com quem trabalhamos opera o único canal interno que satisfaz ambas: as obrigações legais são complementares, não redundantes.
Não para cumprir a Diretiva Europeia 2019/1937. Mas se vende a clientes empresariais, os questionários SOC 2 / ISO 27001 usados pela maioria dos grandes compradores perguntarão «tem um canal interno de denúncia?». Responder «não» é cada vez mais eliminatório. O custo de um teste gratuito de 14 dias é muito inferior a perder um negócio por causa dessa pergunta.
Sim. A receção é um URL público — os denunciantes podem apresentar a denúncia a partir de qualquer navegador, em qualquer país e em qualquer um dos 17 idiomas. O painel é uma aplicação web normal. Não há nada a instalar no dispositivo do denunciante nem na sua infraestrutura.
O nosso papel é a receção e o registo de casos. A proteção efetiva contra retaliações (direito laboral, investigações de RH) é da sua responsabilidade. O que fornecemos é um registo defensável: cada caso tem um registo de eventos completo com marcas temporais e utilizador atuante, para que qualquer alegação posterior de retaliação possa ser confrontada com a cronologia do caso.
Sim. Pode definir um destinatário predefinido por categoria de caso, para que denúncias sobre enviesamento de modelo, privacidade de dados ou integridade de avaliações cheguem diretamente à pessoa certa. A revisão em várias fases (triagem inicial e depois escalonamento) também é suportada.
Sim. A Diretiva da UE sobre denunciantes (Artigo 10.º, n.º 2, alínea b)) lista explicitamente as "facilidades de voz para texto" como canal conforme. A nossa entrada de voz transcreve no navegador do denunciante e depois apaga o áudio. O servidor vê apenas o texto resultante.
No prazo de 7 dias após o recebimento. A Diretiva UE 2019/1937 (Artigo 7.º) exige confirmação em 7 dias e feedback sobre o resultado em 3 meses. A nossa plataforma aplica ambos os prazos como temporizadores visíveis por caso.
A maioria das auditorias SOC 2 procura três coisas: (1) uma captação documentada com um URL acessível, (2) um SLA de confirmação com carimbos temporais, e (3) um registo inviolável de quem tratou o caso. Temos as três como parte do produto padrão.
Para o setor privado, a diretiva aplica-se a entidades jurídicas com 50+ trabalhadores. Para o setor público, aplica-se a todas as entidades com 10+ trabalhadores municipais e a todos os organismos governamentais independentemente do tamanho.
Leituras relacionadas
Inicie um teste gratuito de 14 dias. A conformidade está incluída, o registo de auditoria está incluído, a cifragem está incluída.