Regulamento da UE sobre IA: como a formexposed utiliza a IA

Este documento é publicado em várias línguas. Em caso de divergência entre as versões linguísticas, prevalece a versão polaca.

Versão 1.0 · Última atualização: 16 de outubro de 2026

O que o Regulamento (UE) 2024/1689 (o «Regulamento da Inteligência Artificial» ou «Regulamento IA») significa para o formexposed, onde o serviço utiliza inteligência artificial, onde expressamente não a utiliza, que dados um modelo chega a ver e como avaliamos as obrigações do Regulamento na medida em que se nos aplicam. Esta página descreve o estado atual do serviço e a nossa apreciação jurídica; não é um documento contratual, e aquilo a que estamos obrigados perante os Clientes rege-se pelos Termos de Serviço e pelo Acordo de Tratamento de Dados. Faz parte dos nossos documentos jurídicos, a par da Política de Privacidade e do Registo das Atividades de Tratamento.

1. Em resumo

O Regulamento IA entrou em vigor em 1 de agosto de 2024. As suas proibições e a obrigação de literacia no domínio da IA aplicam-se desde 2 de fevereiro de 2025, as obrigações relativas aos modelos de finalidade geral desde 2 de agosto de 2025 e as obrigações de transparência do Art. 50 desde 2 de agosto de 2026 (Art. 113).

O formexposed utiliza um modelo de linguagem em exatamente dois pontos: como auxiliar para classificar um formulário que as nossas regras não reconhecem e em «Fix it for me», onde, a seu pedido, integra o nosso módulo de proteção no código do seu formulário. Em ambos os casos, o modelo é executado no nosso próprio servidor na Polónia; nenhum dado de entrada é enviado a um fornecedor de IA. A pontuação, o veredicto, os alertas, a prevenção de abusos e a proteção antispam do plugin não são IA, mas sim regras que nós próprios escrevemos e que podem ser recalculadas manualmente. Nenhum resultado de IA decide o que quer que seja sobre uma pessoa.

2. Onde o formexposed utiliza IA

2.1 Classificação de formulários no serviço de verificação

Em cada verificação, o crawler precisa de saber que tipo de formulário está a analisar: formulário de contacto, início de sessão, encomenda, pesquisa, newsletter, etc. Disto depende se um formulário é sequer avaliado. A classificação decorre em duas fases:

1. Primeiro as regras. Os tipos de campo, os nomes dos campos, as etiquetas, os textos dos botões e o texto em redor do formulário são comparados com listas fixas de palavras em alemão, inglês e polaco. Isto resolve a grande maioria dos formulários.
2. O modelo de linguagem só entra se as regras indicarem «desconhecido». Recebe então uma descrição do formulário e responde com um tipo e um grau de confiança entre 0 e 1. Se não responder, responder com nada ou com algo desconhecido, o formulário permanece «desconhecido». Se o modelo falhar, a verificação prossegue sem esta fase.

Aquilo que o modelo pode fazer está estritamente limitado, e no próprio código, não apenas como intenção:

• Um formulário classificado pelo modelo nunca é submetido. As submissões de teste existem apenas para formulários de contacto que as regras reconheceram com elevado grau de confiança e, no caso de clientes, apenas em domínios com prova de controlo.
• Um formulário classificado pelo modelo não conta para a pontuação nem para o veredicto. Continua visível na lista de formulários encontrados, mas nunca é tratado como o formulário de contacto relevante do domínio, ao qual se associam a monitorização, a comparação visual, o portal do cliente e «Fix it for me». Se o modelo considerar algo um formulário de contacto, o código reduz o seu grau de confiança para, no máximo, 0,6, porque nos nossos testes confundiu campos de pesquisa e simuladores de seguros com formulários de contacto.
• Junto a cada formulário, o relatório indica a origem da sua classificação: «regras» ou «IA», com o grau de confiança em percentagem.

2.2 «Fix it for me»: integração do módulo de proteção no seu código

Nos planos pagos, os proprietários e administradores de um espaço de trabalho recebem um módulo de proteção pronto a usar para PHP, Node.js ou Python. O módulo em si é um modelo fixo sem IA; apenas são inseridos o seu nome de anfitrião e os nomes dos campos da última verificação. Opcionalmente, pode colar o código do seu formulário e o modelo de linguagem integra nele o módulo. Recebe o ficheiro modificado e, exceto no caso de ficheiros muito grandes, um patch. Antes de ver o resultado, o nosso código verifica duas coisas sem IA:

• se a chamada ao módulo foi efetivamente integrada – se faltar, a interface diz expressamente: não implemente assim;
• se a sintaxe está correta (php -l, node --check ou py_compile); o seu código é verificado, não executado.

Com cada resultado, a interface indica que provém de uma IA, que uma IA pode cometer erros e que a verificação de sintaxe não testa a sua lógica. Não implementamos nada: não temos acesso ao seu servidor nem o solicitamos. A verificação seguinte mostra se a alteração funciona.

2.3 Assistentes de IA de terceiros através da nossa interface MCP

No plano Business, pode ligar o seu próprio assistente de IA (como Claude, ChatGPT ou Cursor) à sua conta através do Model Context Protocol para consultar os seus domínios, verificações e incidentes. Não se trata de IA nossa: fornecemos dados ao assistente, tal como faz a API REST. O que cada fornecedor faz com os dados é determinado pela sua escolha e pelo seu contrato com esse fornecedor. Através da interface, o assistente só pode ler e iniciar uma verificação.

2.4 Google reCAPTCHA nos nossos próprios formulários

Os nossos próprios formulários (verificação gratuita, ferramenta de cabeçalhos, opt-out, início de sessão, registo, palavra-passe, suporte e contacto) estão protegidos pelo Google reCAPTCHA v3. Para o efeito, a Google calcula um valor entre 0 e 1 segundo os seus próprios métodos; vemos apenas esse valor e rejeitamos uma submissão abaixo de um limiar fixo. O método é da Google, não nosso. Quem for rejeitado pode tentar novamente ou contactar-nos por e-mail. Os pormenores constam da Política de Privacidade.

3. Onde o formexposed não utiliza IA

As partes seguintes baseiam-se exclusivamente em regras definidas por pessoas. Não inferem nada a partir de dados, não aprendem nada e, por conseguinte, não são sistemas de IA na aceção do Art. 3(1), tal como explicado no considerando 12:

• Pontuação e veredicto: uma soma ponderada das medidas de proteção em falta (CAPTCHA, campo-armadilha, token, carimbo temporal e outras) de 0 a 100; acima de limiares fixos, «Exposto», «Parcialmente protegido» ou «Protegido». Somos nós que definimos as ponderações; estas não se alteram em função dos dados verificados.
• Deteção de medidas de proteção, scripts de terceiros, banners de cookies, acessibilidade: comparação com características conhecidas no código-fonte da página e no comportamento da página.
• Monitorização e alertas: comparação com a verificação anterior; tempos de resposta face a uma referência obtida a partir da mediana das primeiras medições, com limiares fixos.
• Prevenção de abusos na verificação gratuita: contagens por endereço IP, sessão e período com limites fixos. Quem exceder um limite é rejeitado durante o período em curso, no máximo por 24 horas. As anomalias são assinaladas e resolvidas por uma pessoa.
• Comparação visual de formulários: as capturas de ecrã de verificações sucessivas são comparadas através de perfis de luminosidade das respetivas linhas e colunas, com limiares fixos, para assinalar um formulário deslocado ou oculto.
• Proteção coletiva: um domínio proveniente de ligações em mensagens bloqueadas é acrescentado à lista partilhada se surgir num número mínimo de sítios Web diferentes num período fixo; os grandes serviços estão excluídos, e cada bloqueio vai para a quarentena, não para o esquecimento.
• Proteção antispam no plugin para WordPress e na extensão para TYPO3: campo-armadilha, token assinado, tempo mínimo de preenchimento, prova de interação, pequeno cálculo aritmético, verificações de quebras de linha e de um domínio de correio capaz de receber e-mails, limitação de frequência, listas de endereços descartáveis, sistemas de escrita por classes Unicode, listas de palavras e países personalizadas. A verificação propriamente dita é executada no sítio Web do Cliente. Enquanto o sítio Web estiver ligado a uma conta, recebemos apenas contagens, nomes e versões de extensões e, enquanto participar na proteção coletiva (ativada por predefinição no plugin para WordPress), os domínios das ligações em mensagens bloqueadas – nenhuma mensagem e nenhum endereço.

4. Que dados o modelo recebe e onde é executado

Função	Dados de entrada do modelo	Resultado	O que é guardado
Classificação de formulários	Título e endereço da página, texto dos botões de envio, para cada campo o seu tipo, nome, etiqueta, texto de exemplo e se é obrigatório ou oculto, no máximo 400 caracteres de texto visível do formulário. Nenhum valor introduzido.	Tipo de formulário e grau de confiança	Tipo, grau de confiança, origem «IA» e o nome do modelo, com o resultado da verificação, sujeito ao respetivo prazo de conservação; não o pedido em si
«Fix it for me»	o código que cola (no máximo 30 000 caracteres) e o nosso módulo de proteção com o seu nome de anfitrião e os nomes dos seus campos	o ficheiro modificado	nada do código (para a verificação de sintaxe, o ficheiro modificado é mantido no nosso servidor Web como ficheiro temporário apenas durante essa verificação); no registo de atividades, apenas a linguagem, o comprimento, se foi bem-sucedido, se a chamada foi integrada e o resultado da verificação de sintaxe

• Nenhuma saída de dados. O modelo é executado no nosso próprio servidor de verificação na Polónia. O crawler acede-lhe a partir do seu ambiente isolado, o nosso servidor Web através da nossa rede interna. Nenhum dado de entrada é enviado a um fornecedor de IA ou a qualquer outro terceiro. O serviço do modelo regista apenas pormenores técnicos, como a hora, a duração e o código de estado de um pedido, não o seu conteúdo.
• Nenhum treino. Não treinamos nem modificamos o modelo e não utilizamos resultados de verificações nem o seu código para o melhorar. Cada pedido é independente.
• Dados pessoais não são necessários a nenhuma das funções. Excecionalmente, um nome pode surgir no texto do formulário de uma página de terceiros, por exemplo o de uma pessoa de contacto junto ao formulário. Em «Fix it for me», pedimos-lhe que remova palavras-passe, chaves de API e dados pessoais antes de colar o código; a interface recorda-lhe as palavras-passe e as chaves de API no campo de introdução.
• Limites de utilização: «Fix it for me» com IA está limitado a um número de pedidos por espaço de trabalho e por dia, para que o servidor continue disponível para as verificações.

5. O nosso papel nos termos do Regulamento IA

O modelo: Utilizamos um modelo de linguagem de finalidade geral livremente disponível, com pesos abertos, de um prestador terceiro. As obrigações relativas ao próprio modelo (Art. 53 e seguintes) cabem ao seu prestador. Como não o treinamos nem modificamos, não nos tornamos nós próprios prestadores de um modelo desse tipo.

Os sistemas: Desenvolvemos a classificação de formulários e «Fix it for me» e operamo-los sob o nome formexposed. Segundo a nossa apreciação, somos o prestador de um sistema de IA (Art. 3(3)) em ambos os casos, porque os desenvolvemos nós próprios e os colocámos em serviço sob o nosso próprio nome. Utilizamos também nós próprios a classificação de formulários e somos, nessa medida, igualmente responsáveis pela implantação (Art. 3(4)). «Fix it for me» é utilizado pelos nossos clientes no âmbito da sua atividade profissional; ao fazê-lo, são, segundo a nossa apreciação, responsáveis pela implantação.

Classificação de risco: Nenhuma das funções se enquadra nos domínios de risco elevado do anexo III (como biometria, infraestruturas críticas, educação, emprego, serviços essenciais, aplicação da lei, migração, administração da justiça) nem constitui um componente de segurança de um produto nos termos do anexo I. Classificam formulários e editam código de programas; não avaliam pessoas. Não são, por conseguinte, sistemas de IA de risco elevado na aceção do Art. 6; os requisitos aplicáveis a esses sistemas e as obrigações dos respetivos prestadores e responsáveis pela implantação (capítulo III) não se lhes aplicam. Estão sujeitas à obrigação de literacia no domínio da IA (Art. 4) e, quando estejam preenchidas as respetivas condições, às obrigações de transparência do Art. 50.

Práticas proibidas (Art. 5): O formexposed não realiza reconhecimento de emoções, categorização ou identificação biométrica, classificação social, previsão de infrações penais nem técnicas manipuladoras ou subliminares.

6. Transparência (Art. 50)

• Nenhum chatbot. Ninguém conversa com uma IA no formexposed. O Art. 50(1) diz respeito a sistemas de IA destinados a interagir diretamente com pessoas singulares. A classificação de formulários não entra em contacto com ninguém; «Fix it for me» recebe código e devolve código, e a interface indica expressamente que o resultado provém de uma IA. Quem utiliza a função sabe, portanto, em qualquer caso, que está a lidar com uma IA.
• Texto gerado. «Fix it for me» gera código de programas. A interface identifica-o como resultado de uma IA, e este chega apenas a si, não ao público. Não está esclarecido se o código de programas é «texto» na aceção do Art. 50(2). Segundo a nossa apreciação, aplica-se em qualquer caso a exceção prevista nessa disposição para sistemas de IA que não alterem substancialmente os dados de entrada fornecidos pelo responsável pela implantação ou a respetiva semântica: a função destina-se a inserir uma chamada ao nosso módulo de proteção no seu código e a deixá-lo, quanto ao resto, inalterado; o patch, com cada linha alterada, mostra se isso foi conseguido. Para ficheiros muito grandes não existe patch; nesse caso, compare o ficheiro por si próprio.
• As classificações no relatório são identificadas como «IA» sempre que provêm do modelo.
• Não geramos conteúdos de imagem, áudio ou vídeo, nem falsificações profundas.

7. Supervisão humana e ausência de decisões automatizadas

Os resultados do modelo são auxiliares, não decisões. A classificação de formulários não pode desencadear nada por si só: nenhuma submissão, nenhum veredicto, nenhum alerta. «Fix it for me» não altera nada no seu servidor; é o próprio utilizador que lê o resultado, decide e o implementa. Segundo a nossa apreciação, nenhuma função do formexposed toma uma decisão que produza efeitos jurídicos relativamente a uma pessoa ou que a afete significativamente de forma similar (Art. 22 do RGPD). Se o reCAPTCHA ou um dos nossos limites fixos rejeitar automaticamente uma introdução, pode tentar novamente ou escrever-nos; uma pessoa analisará então o caso. As nossas avaliações dizem respeito a sítios Web e formulários, não a pessoas.

Se considerar que uma classificação está errada, escreva-nos com a ligação do relatório. Analisaremos o caso e melhoraremos as regras.

8. Literacia no domínio da IA (Art. 4) e qualidade

• O proprietário desenvolveu ele próprio as funções de IA do formexposed e opera-as pessoalmente; atualmente, nenhuma outra pessoa trabalha com elas. Antes de cada mudança de modelo, familiariza-se com o funcionamento e os limites do mesmo, bem como com o estado atual do Regulamento. Se vierem a juntar-se trabalhadores ou prestadores de serviços que trabalhem com estas funções, serão instruídos sobre o funcionamento, os limites e os riscos das funções antes de as utilizarem pela primeira vez; registamos essa instrução por escrito.
• Antes de implementarmos ou alterarmos um modelo, testamo-lo numa coleção de formulários de teste quanto ao tempo de resposta, à validade das respostas e às classificações erradas. Trata-se de uma etapa de trabalho realizada pelo proprietário, não de um processo imposto pelo código. Os limites da secção 2.1 baseiam-se em medições desse tipo.
• O Art. 4 aplica-se também a si enquanto Cliente, se utilizar «Fix it for me» a título profissional. Esta página e os avisos na interface destinam-se a ajudá-lo nesse sentido.

9. Alterações e contacto

Atualizaremos esta página logo que uma função de IA seja acrescentada, sofra alterações significativas ou seja removida; as alterações significativas são indicadas em Alterações aos Documentos Contratuais. Envie perguntas e preocupações sobre a nossa utilização de IA para contact@lukaswojcik.com, através da página de contacto ou da janela de suporte. As reclamações seguem o procedimento descrito em Reclamações. Tal não prejudica o direito de apresentar reclamação junto da autoridade de fiscalização do mercado competente (Art. 85).

Prestador: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polónia.