Regulamento de IA da UE: Como formexposed Usa IA

Este documento é publicado em vários idiomas. Em caso de divergência entre as versões, a versão em polonês é vinculante.

Versão 1.1 · Última atualização: 23 de outubro de 2026

O que o Regulamento (UE) 2024/1689 (o “Regulamento de IA”), alterado pelo Regulamento (UE) 2026/1744, significa para formexposed, onde o serviço usa inteligência artificial, onde expressamente não a usa, quais dados um modelo pode ver e como avaliamos as obrigações do Regulamento que se aplicam a nós. Esta página descreve o estado atual do serviço e nossa avaliação jurídica; não é um documento contratual, e o que devemos aos Clientes é regido pelos Termos de Serviço e pelo Acordo de Tratamento de Dados. Ela integra nossos documentos jurídicos junto com a Política de Privacidade e o Registro das Atividades de Tratamento.

1. A versão resumida

O Regulamento de IA entrou em vigor em 1 de agosto de 2024. Suas proibições e a obrigação de alfabetização em IA se aplicam desde 2 de fevereiro de 2025, as obrigações para modelos de finalidade geral desde 2 de agosto de 2025 e as obrigações de transparência do Art. 50 desde 2 de agosto de 2026 (Art. 113).

formexposed usa um modelo de linguagem em três pontos: como auxílio para classificar um formulário que nossas regras não reconhecem, para resumir constatações da verificação como um plano de ação priorizado para contas pagas e em “Fix it for me”, onde, a seu pedido, ele incorpora nosso módulo de proteção ao código do seu formulário. Nos três casos, o modelo é executado em nosso próprio servidor na Polônia; nenhuma entrada é enviada a um provedor de IA. Pontuação, conclusão, alertas, prevenção de abuso e a proteção contra spam no plugin não são IA, mas regras que escrevemos e que podem ser recalculadas manualmente. Nenhuma saída de IA decide algo sobre uma pessoa.

2. Onde formexposed usa IA

2.1 Classificação de formulários no serviço de verificação

Em cada verificação, o rastreador precisa saber que tipo de formulário está vendo: formulário de contato, login, pedido, pesquisa, newsletter e assim por diante. Isso determina se um formulário será avaliado. A classificação ocorre em duas etapas:

Primeiro, as regras. Tipos de campo, nomes de campo, rótulos, textos de botões e o texto ao redor do formulário são comparados com listas fixas de palavras em alemão, inglês e polonês. Isso abrange a grande maioria dos formulários.
O modelo de linguagem somente se as regras disserem “desconhecido”. Ele então recebe uma descrição do formulário e responde com um tipo e uma confiança entre 0 e 1. Se não responder, responder sem conteúdo ou com algo desconhecido, o formulário permanecerá “desconhecido”. Se o modelo falhar, a verificação continuará sem essa etapa.

O que o modelo pode fazer é estritamente limitado, no código, não apenas como intenção:

Um formulário classificado pelo modelo nunca é enviado. Envios de teste existem apenas para formulários de contato que as regras reconheceram com alta confiança e, para clientes, somente em domínios com comprovação de controle.
Um formulário classificado pelo modelo não conta para a pontuação nem para a conclusão. Ele permanece visível na lista de formulários encontrados, mas nunca é tratado como o formulário de contato relevante do domínio, ao qual se vinculam o monitoramento, a comparação visual, o portal de clientes e “Fix it for me”. Se o modelo considerar algo um formulário de contato, o código reduz sua confiança para, no máximo, 0,6, porque, em nossos testes, ele confundiu campos de pesquisa e calculadoras de seguros com formulários de contato.
Ao lado de cada formulário, o relatório indica de onde vem sua classificação: “regras” ou “IA”, com a confiança em porcentagem.

2.2 “Fix it for me”: incorporar o módulo de proteção ao seu código

Nos planos pagos, proprietários e administradores de um espaço de trabalho recebem um módulo de proteção pronto para PHP, Node.js ou Python. O módulo em si é um modelo fixo sem IA; apenas seu nome de host e os nomes dos campos da última verificação são inseridos. Opcionalmente, você pode colar o código do seu formulário, e o modelo de linguagem incorpora o módulo a ele. Você recebe o arquivo modificado e, exceto para arquivos muito grandes, um patch. Antes de exibir o resultado, nosso código verifica duas coisas sem IA:

se a chamada ao módulo foi realmente incorporada — se estiver faltando, a interface diz expressamente: não implante desta forma;
se a sintaxe está correta (php -l, node --check ou py_compile); seu código é verificado, não executado.

Em cada resultado, a interface informa que ele vem de uma IA, que uma IA pode cometer erros e que a verificação de sintaxe não testa sua lógica. Não implantamos nada: não temos acesso ao seu servidor nem o solicitamos. A próxima verificação mostra se a alteração funciona.

2.3 Assistentes de IA de terceiros pela nossa interface MCP

No plano Business, você pode conectar seu próprio assistente de IA (como Claude, ChatGPT ou Cursor) à sua conta pelo Model Context Protocol para consultar seus domínios, verificações e incidentes. Não se trata de uma IA nossa: fornecemos dados ao assistente, assim como a API REST. Qual provedor faz o quê com os dados é determinado por sua escolha e seu contrato com esse provedor. Pela interface, o assistente só pode ler e iniciar uma verificação.

2.4 Google reCAPTCHA nos nossos próprios formulários

Nossos próprios formulários (verificação gratuita, ferramenta de cabeçalhos, exclusão das verificações, login, cadastro, senha, suporte e contato) são protegidos pelo Google reCAPTCHA v3. Para isso, o Google calcula um valor entre 0 e 1 com seus próprios métodos; vemos apenas esse valor e rejeitamos um envio abaixo de um limite fixo. O método é do Google, não nosso. Quem for rejeitado pode tentar novamente ou nos contatar por e-mail. Os detalhes estão na Política de Privacidade.

2.5 Plano de ação priorizado em relatórios pagos

Para verificações elegíveis de domínios em contas pagas, o mesmo modelo local também redige um plano de ação curto e priorizado a partir do nome de host, resultado geral e pontuação, CMS, tipo de formulário relevante e endereço da página, eventual plugin identificado e constatações selecionadas com falha ou pouco claras. Ele não recebe capturas de tela nem valores enviados pelos formulários para essa finalidade. O plano é identificado como um resumo de IA; as constatações individuais continuam sendo a referência válida. Ele não altera o site nem o resultado da verificação.

O modelo recebe a instrução de produzir de 3 a 5 etapas curtas numeradas, ou de 1 a 2 etapas quando a proteção já é boa. Essas são instruções ao modelo, não uma garantia de recomendações corretas. A saída é encurtada e limpa como texto simples; nenhuma verificação de sua exatidão factual está implementada.

3. Onde formexposed não usa IA

As partes a seguir se baseiam exclusivamente em regras estabelecidas por seres humanos. Elas não inferem nada a partir dos dados, não aprendem nada e, portanto, não são sistemas de IA na acepção do Art. 3(1), conforme explicado no Considerando 12:

Pontuação e conclusão: uma soma ponderada de medidas de proteção ausentes (CAPTCHA, campo-armadilha, token, registro de tempo e outras), de 0 a 100; acima de limites fixos, “Exposto”, “Parcialmente protegido” ou “Protegido”. Nós definimos os pesos; eles não mudam com base nos dados verificados.
Detecção de medidas de proteção, scripts de terceiros, banners de cookies, acessibilidade: comparação com características conhecidas no código-fonte da página e no comportamento da página.
Monitoramento e alertas: comparação com a verificação anterior; tempos de resposta em relação a uma linha de base obtida da mediana das primeiras medições, com limites fixos.
Prevenção de abuso na verificação gratuita: contagens por endereço IP, sessão e período com limites fixos. Quem excede um limite é rejeitado pelo período atual, por no máximo 24 horas. Anomalias são sinalizadas e resolvidas por uma pessoa.
Comparação visual de formulários: capturas de tela de verificações sucessivas são comparadas por perfis de brilho de suas linhas e colunas com limites fixos, para informar um formulário deslocado ou oculto.
Proteção coletiva: um domínio de links em mensagens bloqueadas é adicionado à lista compartilhada se aparecer em uma quantidade mínima de sites diferentes dentro de um período fixo; grandes serviços são isentos, e todo bloqueio resulta em quarentena, não em desaparecimento.
Proteção contra spam no plugin WordPress e na extensão TYPO3: campo-armadilha, token assinado, tempo mínimo de preenchimento, comprovação de interação, desafio aritmético, verificações de quebras de linha e de domínio de e-mail capaz de receber e-mails, limitação de frequência, listas de endereços descartáveis, sistemas de escrita por classes Unicode, listas personalizadas de palavras e países. A própria verificação é executada no site do Cliente. Enquanto o site estiver conectado a uma conta, recebemos apenas contagens, nomes e versões de extensões e, enquanto ele participar da proteção coletiva (ativada por padrão no plugin WordPress), os domínios de links em mensagens bloqueadas — nenhuma mensagem e nenhum endereço.

4. Quais dados o modelo recebe e onde é executado

Função	Entrada para o modelo	Saída	O que é armazenado
Classificação de formulários	Título e endereço da página, texto dos botões de envio, para cada campo seu tipo, nome, rótulo, texto de exemplo e se é obrigatório ou oculto, no máximo 400 caracteres de texto visível do formulário. Nenhum valor digitado.	Tipo de formulário e confiança	Tipo, confiança, origem “IA” e nome do modelo com o resultado da verificação, sujeitos ao respectivo prazo de conservação; não a própria requisição
“Fix it for me”	o código que você cola (no máximo 30.000 caracteres) e nosso módulo de proteção com seu nome de host e os nomes dos seus campos	o arquivo modificado	nada do código (para a verificação de sintaxe, o arquivo modificado é mantido em nosso servidor web como arquivo temporário apenas durante essa verificação); no log de atividades, apenas idioma, tamanho, se houve sucesso, se a chamada foi incorporada e o resultado da verificação de sintaxe
Plano de ação priorizado em relatórios pagos	Nome de host, resultado geral e pontuação, CMS, tipo de formulário relevante e endereço da página, eventual plugin identificado e no máximo 18 constatações distintas com falha ou pouco claras, com chaves, resultados e notas encurtadas para 200 caracteres cada; nenhuma captura de tela nem valores enviados pelos campos	Um plano curto e priorizado no idioma selecionado, limitado a 1.500 caracteres	Requisição e resposta temporariamente na fila interna de trabalhos; o texto do plano coletado, idioma, status e registro de tempo com o resultado da verificação, sob seu prazo de conservação

Nenhuma saída de dados. O modelo é executado em nosso próprio servidor de verificação na Polônia. O rastreador o acessa de dentro de seu ambiente isolado, e nosso servidor web pela rede interna. Nenhuma entrada é enviada a um provedor de IA ou a qualquer outro terceiro. O código da aplicação e do worker não permite determinar se o serviço do modelo registra o conteúdo das requisições em logs. A configuração de logs do host do modelo não foi verificada nesta revisão; por isso, não afirmamos aqui que todos os logs do serviço do modelo contêm apenas metadados técnicos.
Nenhum treinamento. Não treinamos nem modificamos o modelo e não usamos os resultados das verificações nem seu código para aprimorá-lo. Cada requisição é independente.
Dados pessoais. Essas funções não precisam de mensagens de visitantes nem de valores efetivamente enviados pelos formulários para suas finalidades previstas. Isso não significa que suas entradas sejam anônimas. Excepcionalmente, um nome pode aparecer no texto de formulário de uma página de terceiros, por exemplo, o de uma pessoa de contato ao lado do formulário. Em “Fix it for me”, pedimos que você remova senhas, chaves de API e dados pessoais antes de colar o código; a interface lembra você das senhas e chaves de API no campo de entrada.
Armazenamento do plano de ação. A requisição é armazenada temporariamente em nossa fila interna de trabalhos. Depois da coleta do resultado, o registro da fila é excluído; a limpeza agendada também exclui registros da fila com mais de uma hora. O texto gerado, idioma, status e registro de tempo são armazenados com o resultado da verificação e seguem seu prazo de conservação, incluindo a conservação da última verificação concluída de cada domínio e a exclusão quando o domínio é excluído.
Entradas do plano de ação. Nomes de host, endereços de páginas e notas de constatações podem conter incidentalmente informações pessoais. O prompt do plano de ação não solicita mensagens de visitantes nem valores digitados nos campos.
Limites de uso: “Fix it for me” com IA é limitado a uma quantidade de requisições por espaço de trabalho por dia, para que o servidor permaneça disponível para as verificações.

5. Nosso papel nos termos do Regulamento de IA

O modelo: Usamos um modelo de linguagem de finalidade geral, disponível livremente, com pesos abertos, de um provedor terceiro. As obrigações relativas ao próprio modelo (Art. 53 e seguintes) cabem ao seu provedor. Como não o treinamos nem modificamos, nós mesmos não nos tornamos provedores de um modelo desse tipo.

Os sistemas: Desenvolvemos a classificação de formulários, a função de plano de ação e “Fix it for me” e os operamos sob o nome formexposed. Em nossa avaliação, somos o fornecedor desses sistemas de IA (Art. 3(3)), porque os desenvolvemos e os colocamos em serviço sob nosso próprio nome. Também operamos nós mesmos a classificação de formulários e a função de plano de ação e, nessa medida, somos o responsável pela implantação (Art. 3(4)). O simples recebimento ou leitura de um plano de ação não torna, por si só, um Cliente responsável pela implantação. “Fix it for me” é usado por nossos clientes no exercício de sua atividade profissional; ao fazê-lo, eles são, em nossa avaliação, responsáveis pela implantação.

Classificação de risco: Nenhuma dessas três funções, para as finalidades previstas aqui descritas, se enquadra nas áreas de alto risco do Anexo III (como biometria, infraestrutura crítica, educação, emprego, serviços essenciais, aplicação da lei, migração, administração da justiça) ou é um componente de segurança de um produto abrangido pelo Anexo I. Elas classificam formulários, resumem constatações técnicas de verificações como sugestões de medidas e editam código de programação; não avaliam pessoas. Portanto, não são sistemas de IA de alto risco nos termos do Art. 6; os requisitos para esses sistemas e as obrigações de seus fornecedores e responsáveis pela implantação (Capítulo III) não se aplicam a elas. Estão sujeitas à obrigação de alfabetização em IA (Art. 4) e, quando suas condições forem atendidas, às obrigações de transparência do Art. 50.

Práticas proibidas (Art. 5): formexposed não realiza reconhecimento de emoções, categorização ou identificação biométrica, classificação social, previsão de infrações penais nem técnicas manipulativas ou subliminares.

6. Transparência (Art. 50)

Nenhum chatbot. Ninguém conversa com uma IA em formexposed. O Art. 50(1) diz respeito a sistemas de IA destinados a interagir diretamente com pessoas físicas. O plano de ação é gerado em segundo plano e identificado de forma visível como gerado por IA no relatório. A classificação de formulários não entra em contato com ninguém; “Fix it for me” recebe código e retorna código, e a interface declara expressamente que o resultado vem de uma IA. Portanto, qualquer pessoa que use a função sabe, em todo caso, que está lidando com uma IA.
Código gerado. “Fix it for me” gera código de programação e o identifica como saída de IA. A alteração pretendida é inserir nosso módulo de proteção; isso pode mudar o comportamento e o significado do código. Portanto, não presumimos que a exceção para edição padrão ou semântica inalterada do Art. 50(2) se aplique em todos os casos. A aplicabilidade dessa disposição e de qualquer exceção deve ser avaliada para a saída efetiva. Um patch mostra as linhas alteradas quando disponível, mas, por si só, não demonstra uma isenção nem uma marcação legível por máquina. Para arquivos muito grandes, não há patch; nesse caso, compare você mesmo o arquivo.
Texto do plano de ação e marcação legível por máquina. O plano de ação cria um resumo e recomendações priorizadas a partir de constatações. Para essa finalidade, nós o tratamos como texto gerado abrangido pelo Art. 50(2), e não como edição padrão que mantém o significado inalterado. Essa disposição exige marcação legível por máquina e detectabilidade, sujeitas às suas condições e ao estado da técnica. Um aviso visível de IA, sozinho, não comprova o cumprimento desse requisito técnico. A revisão atual do código confirma o aviso visível e o armazenamento e a exibição em texto simples; não comprova uma marcação legível por máquina eficaz em toda a cadeia de geração e saída. Portanto, não afirmamos que esse requisito tenha sido integralmente verificado.
Contexto do relatório. O plano é gerado em segundo plano como orientação para o responsável por um site. Ele não é produzido para informar o público sobre assuntos de interesse público nos termos do Art. 50(4). Ainda assim, qualquer pessoa com o link aleatório de um relatório pode abri-lo sem login. Uma publicação posterior para uma finalidade de interesse público exige avaliação própria; o acesso por um link que permite a entrada a quem o possui não é uma isenção geral das regras de transparência.
Classificações no relatório são identificadas como “IA” sempre que vêm do modelo.
Planos de ação em relatórios pagos são identificados como resumos feitos por nossa IA em nossos próprios servidores. O aviso informa que as constatações individuais são a referência válida.
Não geramos imagens, conteúdo de áudio ou vídeo nem deepfakes.

7. Supervisão humana e ausência de decisões automatizadas

As saídas do modelo são auxílios, não decisões. A classificação de formulários não pode desencadear nada por conta própria: nenhum envio, nenhuma conclusão, nenhum alerta. “Fix it for me” não altera nada em seu servidor; você lê o resultado, decide e o implanta por conta própria. O plano de ação é apenas um texto consultivo: exibi-lo não altera o site nem a pontuação ou a conclusão; o usuário decide quais medidas tomar. Em nossa avaliação, nenhuma função de formexposed toma uma decisão que produza efeitos jurídicos sobre uma pessoa ou que a afete de modo igualmente significativo (Art. 22 do RGPD). Se o reCAPTCHA ou um dos nossos limites fixos rejeitar automaticamente uma entrada, você poderá tentar novamente ou nos escrever; uma pessoa então examinará o caso. Nossas avaliações dizem respeito a sites e formulários, não a pessoas.

Se achar que uma classificação está errada, escreva para nós com o link do relatório. Nós a examinaremos e aprimoraremos as regras.

8. Alfabetização em IA (Art. 4) e qualidade

O próprio proprietário desenvolveu as funções de IA de formexposed e as opera; atualmente, nenhuma outra pessoa trabalha com elas. Antes de cada mudança de modelo, ele se familiariza com seu funcionamento e seus limites e com o estado atual do Regulamento. Se forem incluídos funcionários ou prestadores de serviço que trabalhem com essas funções, eles receberão instruções sobre seu funcionamento, limites e riscos antes do primeiro uso; registramos essas instruções por escrito.
Antes de implantar ou alterar um modelo, nós o testamos em uma coleção de formulários de teste quanto a tempo de resposta, respostas válidas e classificações incorretas. Essa é uma etapa de trabalho realizada pelo proprietário, não um processo imposto pelo código. Os limites da seção 2.1 se baseiam nessas medições.
O Art. 4 também se aplica a você como Cliente se usar “Fix it for me” profissionalmente. Esta página e os avisos na interface pretendem ajudar você nisso.

9. Alterações e contato

Atualizaremos esta página assim que uma função de IA for adicionada, alterada significativamente ou removida; alterações significativas são listadas em Alterações nos Documentos Contratuais. Envie perguntas e preocupações sobre nosso uso de IA para contact@lukaswojcik.com, pela página de contato ou pela janela de suporte. Reclamações seguem o procedimento em Reclamações. Isso não afeta o direito de apresentar uma reclamação à autoridade de fiscalização do mercado competente (Art. 85).

Fornecedor: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polônia.

Como podemos ajudar?