Todos os artigos

    Nota de arquitectura

    3 de maio de 2026por Gustavo Teixeira Cuco4 min de leitura

    Perfis de Compliance

    Contexto de arquitectura

    Método reutilizável

    Confiança e compliance

    Aplicado em

    Agents & SkillsQ-LIRILusiberiaStaysTHE iCON
    Perfis de Compliance
    Ver no LinkedIn

    Construo os meus produtos com ferramentas de IA — Claude Code, Lovable, GitHub. A alavancagem é real. O raio de impacto, menos falado.

    Andava sempre a acrescentar compliance no final de cada projecto. Política de privacidade? Adicionar antes do lançamento. Registo de auditoria? Decidir quem é o responsável depois do primeiro incidente. Classificação de dados? Resolver quando um parceiro perguntar.

    É o padrão que a maioria das equipas segue. É também por isso que as auditorias doem.

    Acrescentei uma nova camada ao template de governação que uso em todos estes produtos. Aborda a parte que ninguém quer desenhar à partida: a compliance.

    O primeiro instinto foi incorporar todos os frameworks no template base. ISO 27001, GDPR, EU AI Act, IATI, HIPAA, ISO 13485. Torná-lo abrangente.

    Isso está errado. Uma landing page não precisa de ISO 27001. Um blog não precisa de ISO 42001. Um pitch deck não precisa de IATI XML. A maioria dos meus produtos não precisa de nenhum deles. Os poucos que precisam, precisam de combinações diferentes.

    O que acrescentei em vez disso foram perfis. O template base mantém-se pequeno. Uma flag nas ground rules activa as obrigações.

    compliance_profiles: security, ai-governance

    Cada perfil aponta para um directório de obrigações e os controlos que as satisfazem. Quatro níveis.

    Nível 1 — Universal. Sempre activo. Formatos de dados (ISO 8601, 4217, 639-1, 3166), acessibilidade (WCAG 2.2 AA), modelo de qualidade de software (ISO/IEC 25010). O que todos os produtos herdam sem pensar nisso.

    Nível 2 — Governação de IA. Activo quando o produto usa IA. EU AI Act (em vigor desde agosto de 2024, aplicação faseada até 2027), ISO/IEC 42001:2023 (a norma de sistema de gestão de IA publicada em dezembro de 2023), NIST AI RMF + GenAI Profile. Uma checklist de classificação de risco corre antes de qualquer produto de IA ser lançado — proibido / alto risco / limitado / mínimo.

    Nível 3 — Segurança e Privacidade. Activo quando a carga de trabalho é regulada, B2B empresarial, ou orientada para o sector público. ISO 27001, SOC 2, GDPR, ISO 27701. Com uma distinção clara entre alinhado (controlos implementados), pronto para certificação (avaliação de lacunas + trilho de auditoria), e certificado (a organização detém o certificado).

    Nível 4 — Domínio. Saúde (ISO 13485, IEC 62304, MDR, EHDS). Finanças (ISO 20022, PCI DSS, PSD2). Clima (IATI, GHG Protocol, TCFD). Governo (eIDAS, NIS2). Activar apenas o relevante.

    O que isto me clarificou: a ISO 27001 não é uma funcionalidade de software. É um sistema de gestão. Dos seus 93 controlos, talvez um terço possa sequer viver em código. O resto são políticas, formação, gestão de fornecedores, auditoria interna — trabalho que a organização faz, não a plataforma.

    O PaaS que a maioria dos criadores de ferramentas de IA usa provavelmente já tem SOC 2 Type II a cobrir ~40 desses controlos. O trabalho que me resta fazer são os outros 30 — e mesmo assim, a maior parte é identificar que controlos se aplicam, não inventá-los. A IA faz a implementação. Eu faço a disciplina.

    Continuo a reaprender a mesma lição com este template. O genérico não sobrevive ao contacto com o específico. O abrangente não sobrevive ao contacto com as cargas de trabalho reais. O que sobrevive é pequeno + activável.

    Compliance como configuração, não como fork.

    A parte honesta: isto não torna nenhum produto compliant. Torna o trabalho de compliance visível. Se os controlos são de facto implementados, as políticas escritas, as pessoas formadas — isso continua a ser o trabalho. O template garante apenas que ninguém se esquece de que trabalho se aplica, e a que produto.

    A prontidão para auditoria é arquitectura. A arquitectura é o template de governação, não a base de código. Construída ao nível do template, a disciplina propaga-se. Acrescentada no final de cada produto, cada trimestre passa a ser um simulacro de incêndio.

    Qual é hoje a postura de compliance por defeito — e é essa a que a próxima carga de trabalho regulada vai mesmo precisar?

    O template é open source — link nos comentários.

    Fontes