# COADF · Compliance-Oriented AI Development Framework Versão 2.2 · Setembro de 2026 · COADF versão 2.2, edição r4 ## Esta edição - Versão do framework: 2.2 - Revisão da edição: r4 - Idioma: pt-BR - Data de publicação: 2026-09-07 - Commit público de origem: `6327d69ee309d8a98cd7b234d2990054d7086e23` - Hash da projeção pública: `31cfadefa2d55f52cb5fa64d26828a4457b5331ae303830e26af7ff10c730688` O COADF é documentado publicamente como framework de desenvolvimento. Nenhuma autoridade o avaliou, auditou ou endossou. Licença proposta: CC BY-SA 4.0 para o texto, MIT para os esquemas. Ainda não concedida. ### Status de propriedade intelectual e de publicação Um pedido de patente brasileiro relativo a determinados aspectos de implementação está em trâmite no Instituto Nacional da Propriedade Industrial (INPI), pedido BR 10 2026 020627 0. Nenhuma patente foi concedida. Os materiais públicos do COADF descrevem princípios e práticas de arquitetura. Eles não representam o escopo jurídico do pedido em trâmite. Determinados detalhes de implementação permanecem fora da edição pública. ### Como citar Atribuição proposta: COADF, por L. C. Hogrefe (AnyLAI), versão 2.2, 2026. COADF, por L. C. Hogrefe (AnyLAI), versão 2.2, 2026 --- ## Visão geral O COADF é um método de desenvolvimento para sistemas de IA que precisam se sustentar sob a regulação europeia. Ele enuncia oito princípios de arquitetura, cada um preso à obrigação para a qual foi escrito, com modelos de governança e um modelo legível por máquina para relatar quais controles um projeto de fato executa. É o método por trás do AnyDPP e é aplicado ao próprio projeto que o produziu, de onde vem o relatório publicado neste site. ### Onde o COADF se situa O COADF é o núcleo de desenvolvimento de IA do Semantic Trust Framework. O caminho de execução que uma decisão percorre é o Trust Corridor. A superfície em que uma pessoa vê e resolve o que o sistema deteve é o Trust Console. O COADF é a parte que diz como o software é construído. ### Os oito princípios Alguns princípios são publicados por inteiro. Outros enunciam o princípio e param ali, porque o detalhe operacional pertence a um pedido depositado e não publicado. Cada seção diz qual dos dois casos é, em vez de deixar que quem lê perceba a diferença. - **P-1 · Primeiro determinístico, o probabilístico em quarentena** · Publicado por inteiro. Processamento determinístico por padrão. Um componente probabilístico é limitado e nunca chega direto a uma saída. - **P-2 · Saída controlada por confiança** · Publicado como princípio. A confiança se prende a um atributo por vez, e confiança baixa nunca chega a uma saída publicada. - **P-3 · Revisão humana por arquitetura** · Publicado como princípio. Onde a confiança não basta, uma pessoa decide, no nível do atributo, diante da fonte. - **P-4 · Um rastro, de ponta a ponta** · Publicado por inteiro. Um identificador liga a entrada, cada passo e a saída publicada, e a cadeia se exporta. - **P-5 · Declaração da extração automática** · Publicado por inteiro. Uma saída com dados extraídos por máquina diz isso e nomeia quais atributos. - **P-6 · O sistema de fences** · Publicado como princípio. As barreiras são verificações automáticas que bloqueiam uma entrega, não conselhos em um documento. - **P-7 · Isolamento das dependências de normas** · Publicado por inteiro. Um serviço externo pode elevar a confiança. Nenhum deles pode bloquear uma saída. - **P-8 · Regras como dados, com autonomia graduada** · Publicado como princípio. As regras são dados, o motor não muda, e uma decisão fica presa à versão de regras que a produziu. ### Duas coisas que o COADF não é Não é uma certificação. Aqui ninguém emite, concede nem retira nada, e aplicá-lo não produz selo nem marca de espécie alguma. Não é uma norma. Não se opõe à ISO/IEC 42001, ao AI Risk Management Framework do NIST nem a uma arquitetura de auditoria. Descreve como construir a evidência que essas pedem. ### Licença, proposta e ainda não concedida A proposta é Creative Commons Attribution ShareAlike 4.0 International para o texto do documento e o deste site, para que um documento adaptado a partir dele siga aberto, e a licença MIT para os esquemas publicados e os artefatos gerados a partir deles. MIT e não Apache 2.0, deliberadamente: a seção 3 da Apache concede direitos de patente de forma expressa, e há um pedido depositado nesta família. Essa é uma razão para preferir MIT aqui; não é razão para achar que a MIT resolve alguma questão de patente, porque não resolve. A licença CC BY-SA proposta cobre apenas o texto. Ela não concede direitos de patente nem impõe obrigações de compartilhamento pela mesma licença a implementações independentes. Atribuição proposta: COADF, por L. C. Hogrefe (AnyLAI), versão 2.2, 2026. A concessão que o documento do arcabouço oferece enumera de P-1 a P-7 e não diz absolutamente nada sobre o P-8. Esse silêncio é um fato sobre o texto, não uma decisão: não está posto como exclusão nem como inclusão, e o alcance sobre o P-8 segue em aberto. Está escrito aqui em vez de deixar que quem lê perceba comparando listas. Esta página não concede nada. O aviso acima é a redação proposta, retida à espera da decisão do fundador sobre o alcance, e o inventário arquivo por arquivo a que ela se aplica é preparado ao lado. Uma licença concedida em público não se retira chamando-a de provisória, e é exatamente por isso que aqui ela não é concedida primeiro para se decidir depois. ## Princípios Uma seção por princípio. Cada um nomeia a obrigação para a qual foi escrito. Uma âncora aqui indica alinhamento e nada mais: é o artigo ao qual o princípio foi desenhado para responder, nunca uma afirmação de que este projeto esteja sujeito a ele. ### P-1 · Primeiro determinístico, o probabilístico em quarentena · Publicado por inteiro Tudo o que chega a uma pessoa, a um documento ou a outro sistema é determinístico por padrão: analisável, reproduzível e reconstruível a partir de suas entradas. Componentes de aprendizado de máquina ficam restritos a tarefas delimitadas. A fronteira está no código e não em um diagrama: um componente probabilístico devolve um valor, uma confiança e o método pelo qual o valor foi obtido, nunca um valor nu. O valor nu é a falha que este princípio existe para impedir, porque um valor nu não pode ser bloqueado, nem declarado, nem revisado. **Alinhamento:** Regulamento (UE) 2024/1689, artigo 9 sobre o sistema de gestão de riscos e artigo 15 sobre exatidão e robustez. **Fonte:** Regulation (EU) 2024/1689, Article 9 (risk management system) and Article 15 (accuracy, robustness and cybersecurity) ([fonte primária](http://data.europa.eu/eli/reg/2024/1689/oj)) · conferido em 7 de setembro de 2026 ### P-2 · Saída controlada por confiança · Publicado como princípio A confiança se prende a um atributo, não a um documento. Um documento não é certo ou errado em bloco; cada fato que ele carrega está separadamente bem ou mal evidenciado, e uma única nota para o arquivo esconde exatamente isso. Existem três níveis. O mais baixo nunca chega a uma saída publicada; vai para uma pessoa. Onde não há evidência alguma não há valor: a saída diz que o valor não está disponível, e nunca o estima. > **Não publicado:** As regras que atribuem um nível a um método de extração, e a aritmética que combina várias fontes em uma, não são publicadas aqui. Pertencem a um pedido depositado. Um arcabouço não perde nada ao descrever o que ele detém e calar sobre a aritmética que o detém. **Alinhamento:** Regulamento (UE) 2024/1689, artigo 14 sobre a supervisão humana e artigo 15 sobre exatidão. **Fonte:** Regulation (EU) 2024/1689, Article 14 (human oversight) and Article 15 (accuracy, robustness and cybersecurity) ([fonte primária](http://data.europa.eu/eli/reg/2024/1689/oj)) · conferido em 7 de setembro de 2026 *Figura · O controle de confiança.* Três faixas de elementos avançam em direção a um portão. Um passa. Outro passa carregando uma bandeira. Outro para no portão e cruza até uma figura que está ao lado. Uma quarta faixa está vazia e nada percorre ela. *Três faixas chegam ao portão e uma quarta está vazia. Um elemento passa. Outro passa marcado. Outro para e vai a uma pessoa. A faixa vazia é o atributo sem evidência: ela não produz nada em vez de um palpite. A imagem mostra o formato e não nomeia nível nem número, que é exatamente a fronteira em que este arcabouço publica.* ### P-3 · Revisão humana por arquitetura · Publicado como princípio A revisão é disparada pela confiança, não por um calendário nem porque alguém reparou em algo. Acontece no nível do atributo: quem revisa vê um fato e o trecho da fonte de onde ele saiu, lado a lado, e decide sobre aquele fato. Um valor rejeitado deixa o atributo vazio. O sistema nunca o preenche com um segundo palpite, porque o motivo da revisão era que a evidência não bastava, e palpitar não conserta isso. > **Não publicado:** Como a fila de revisão é construída e ordenada, e o que se exige de quem revisa no momento em que uma decisão é escrita, não são publicados aqui. **Alinhamento:** Regulamento (UE) 2024/1689, artigo 14 sobre a supervisão humana. **Fonte:** Regulation (EU) 2024/1689, Article 14 (human oversight) ([fonte primária](http://data.europa.eu/eli/reg/2024/1689/oj)) · conferido em 7 de setembro de 2026 ### P-4 · Um rastro, de ponta a ponta · Publicado por inteiro Na entrada de um documento nasce um identificador único, e ele viaja com tudo o que acontece depois: cada passo de processamento, cada avaliação de confiança, cada decisão humana e a saída publicada. A trilha só cresce, de modo que uma entrada posterior corrige uma anterior e nada é reescrito. Uma consulta reconstrói a cadeia de uma saída publicada até os documentos em que ela se apoia, e a cadeia se exporta em JSON para quem não construiu o sistema. **Alinhamento:** Regulamento (UE) 2024/1689, artigo 12 sobre o registro de eventos e artigo 13 sobre transparência perante os responsáveis pela implantação. Para passaportes de produto, o Regulamento (UE) 2024/1781, artigo 13, exige que a Comissão crie um registro que armazene ao menos os identificadores únicos. **Fonte:** Regulation (EU) 2024/1689, Article 12 (record-keeping) and Article 13 (transparency and provision of information to deployers) ([fonte primária](http://data.europa.eu/eli/reg/2024/1689/oj)) · conferido em 7 de setembro de 2026 **Fonte:** Regulation (EU) 2024/1781, Article 13(1) ([fonte primária](http://data.europa.eu/eli/reg/2024/1781/oj)) · conferido em 7 de setembro de 2026 *Figura · O rastro.* Um único fio entra pela esquerda e continua visível enquanto atravessa quatro etapas até um documento publicado à direita. Depois uma consulta percorre o mesmo fio de volta até o começo. *Um fio entra na recepção e continua sendo o mesmo fio na saída publicada. A volta é o ponto: qualquer fato publicado pode ser percorrido de volta até os documentos em que se apoia, em uma única consulta.* ### P-5 · Declaração da extração automática · Publicado por inteiro Cada atributo carrega o método pelo qual foi obtido. Quando qualquer atributo de uma saída publicada foi lido por reconhecimento óptico de caracteres ou por um modelo de linguagem, a saída carrega uma linha visível que diz isso e nomeia a quais atributos se aplica. A linha fica no documento que a pessoa tem diante de si, não em metadados que ela precisaria ir procurar. **Alinhamento:** Regulamento (UE) 2024/1689, artigo 50 sobre as obrigações de transparência de fornecedores e responsáveis pela implantação de determinados sistemas de IA. **Fonte:** Regulation (EU) 2024/1689, Article 50 (transparency obligations for providers and deployers of certain AI systems) ([fonte primária](http://data.europa.eu/eli/reg/2024/1689/oj)) · conferido em 7 de setembro de 2026 ### P-6 · O sistema de fences · Publicado como princípio Uma barreira que vive em um documento é um conselho. Uma barreira que roda na esteira e bloqueia uma entrega é um fence. Os fences caem em quatro categorias: dados, arquitetura, texto e processo. Cada um tem um identificador, uma regra e um método de aplicação. Um fence só ganha seu lugar por uma prova de dentes: planta-se o defeito real, o fence dispara, e a plantação é removida byte a byte. Um fence que ninguém jamais viu falhar é um comentário com um executor de testes ao lado. > **Não publicado:** O vocabulário sobre o qual o fence de publicação dispara não é publicado. Uma lista do que se vigia é um mapa do que se protege, e quem imprime o mapa anula o fence. **Alinhamento:** Regulamento (UE) 2024/1689, artigo 9 sobre o sistema de gestão de riscos e artigo 17 sobre o sistema de gestão da qualidade. **Fonte:** Regulation (EU) 2024/1689, Article 9 (risk management system) and Article 17 (quality management system) ([fonte primária](http://data.europa.eu/eli/reg/2024/1689/oj)) · conferido em 7 de setembro de 2026 *Figura · O fence.* Uma mudança avança em direção a um destino de implantação e bate em uma parede, que se acende com a marca da regra que a deteve. Uma segunda mudança percorre o mesmo caminho e passa. *Um fence bloqueia uma entrega e mostra qual regra fez isso. A segunda mudança passa, e essa é a metade que importa: um fence que para tudo é uma parede, e um fence que ninguém viu parar nada é um comentário.* ### P-7 · Isolamento das dependências de normas · Publicado por inteiro Sistemas de classificação, bases terminológicas e serviços externos de validação vivem em módulos adaptadores, marcados como tais, fora do modelo de dados central. Um serviço externo pode elevar a confiança de um atributo. Nenhum deles pode bloquear uma saída: quando um serviço está indisponível, o sistema produz evidência menos confiante em vez de nada, e quando uma licença muda, o núcleo fica intacto. O conteúdo licenciado é marcado em seus metadados e mantido apartado do núcleo aberto. **Alinhamento:** Regulamento (UE) 2024/1689, artigo 9 sobre o sistema de gestão de riscos. **Fonte:** Regulation (EU) 2024/1689, Article 9 (risk management system) ([fonte primária](http://data.europa.eu/eli/reg/2024/1689/oj)) · conferido em 7 de setembro de 2026 ### P-8 · Regras como dados, com autonomia graduada · Publicado como princípio As regras contra as quais uma decisão é medida são dados. O motor que as avalia não muda quando uma regra muda. Um registro de decisão fica preso à versão do conjunto de regras que o produziu, o que estende o rastro do P-4 até a procedência das regras. A autonomia é uma propriedade das regras e não do código: quanto o sistema pode fazer sem uma pessoa é fixado por jurisdição e por classe de risco, e nunca ultrapassa o teto que a lei põe ali. Elevá-la onde a lei permite é uma mudança de regras com base jurídica registrada, nunca uma bifurcação do código. **Estado da técnica:** Conjuntos de regras assinados e recarregáveis, com registros de decisão ligados a versão, já existem, e o Open Policy Agent é o exemplo evidente. Nada aqui apresenta essa ideia como nova. A contribuição aqui é a prática de encaixá-la no restante desta arquitetura. > **Não publicado:** Como um conjunto de regras é selado, como o selo é verificado, como o teto é imposto e como tudo isso encontra o controle de confiança, não é publicado aqui. **Alinhamento:** Regulamento (UE) 2024/1689, artigo 12 sobre o registro de eventos e artigo 17 sobre o sistema de gestão da qualidade. Onde o artigo 14 se aplica, a intervenção humana efetiva continua cabeada digam as regras o que disserem. **Fonte:** Regulation (EU) 2024/1689, Article 12 (record-keeping), Article 17 (quality management system) and Article 14 (human oversight) ([fonte primária](http://data.europa.eu/eli/reg/2024/1689/oj)) · conferido em 7 de setembro de 2026 *Figura · Regras como dados.* Um bloco selado chega a um bloco de motor que não muda de forma. Um registro sai do motor carregando um pequeno carimbo que combina com o selo. *As regras chegam como dados e o motor não é reconstruído para recebê-las. O registro que sai carrega o carimbo de versão das regras que o produziram. O interior do selo não é mostrado e não é publicado.* ### Ausência honesta Está dentro do P-2 e é enunciada à parte porque é a regra mais quebrada: sem evidência não há valor. Nem um valor padrão, nem uma mediana, nem um número plausível. Um atributo vazio é uma afirmação verdadeira sobre o que se sabe; um preenchido que ninguém consegue rastrear, não. ### Princípios candidatos Quatro práticas que se comportam como princípios e ainda não têm número. São publicadas porque estão em uso, e uma prática em uso que ninguém escreveu é uma prática que se degrada. #### Disciplina das afirmações Cada frase regulatória se resolve em uma fonte primária e na data em que alguém a leu. Cada frase sobre o próprio comportamento se resolve em comportamento implantado ou em um teste com nome. Quando uma frase não tem nenhum dos dois, há dois movimentos honestos: construir a coisa, ou suavizar a frase. Citar uma fonte que ninguém abriu não está entre eles. Isso não vale nada para um pedido e vale muitíssimo para quem lê. #### Sem sobreposição Um fato adverso autenticado, vindo de uma fonte oficial, não pode ser atestado até sumir. Um achado que o próprio sistema deduziu pode ser resolvido por uma pessoa com nome, e a resolução fica registrada com quem a fez e o que essa pessoa viu. A distinção é o ponto inteiro: uma pessoa pode derrubar uma inferência nossa e não pode derrubar um registro oficial. #### Semântica da evidência Um fato carrega várias leituras ao mesmo tempo e elas nunca se fundem em um único número. A fonte é autêntica. O que ela cobre de fato. O que ela devolveu. Quão recente é. De onde veio. Houve uma pessoa envolvida. A qual dever ela fala. Uma leitura alta ao lado de uma baixa não é uma contradição a ser mediada; é a informação. > **Não publicado:** Os estados por que passa cada leitura, as regras que os movem e o modo como uma cobertura estreita limita o resto, não são publicados aqui. *Figura · As sete leituras.* Um fato no centro se abre em sete mostradores separados dispostos ao redor. Os mostradores param em alturas diferentes e nunca se fundem em um só. *Um fato, sete leituras, mantidas separadas.* #### Controle de divulgação Um fence mantém a matéria inventiva ainda não depositada fora de toda superfície pública, inclusive dos pacotes de frontend já construídos, e um registro anota o que está sendo retido e sob qual condição isso termina. Que a disciplina exista vale dizer. O que ela protege, não. ### Linhas vermelhas de comunicação Vinculantes para todo texto de arcabouço e de produto. Cada linha é uma frase fácil de escrever e impossível de sustentar. **Dizer:** Evidência pronta para auditoria de que a direção cumpriu seu dever de supervisão. **Nunca:** Proteção contra a responsabilidade pessoal. **Por quê:** Os deveres de supervisão são legais e nenhuma ferramenta os afasta. **Dizer:** Supervisão humana por desenho, a pessoa continua no circuito. **Nunca:** A pessoa está fora do circuito. **Por quê:** Onde o artigo 14 do Regulamento (UE) 2024/1689 se aplica, a exigência é a intervenção humana efetiva. **Fonte:** Regulation (EU) 2024/1689, Article 14 ([fonte primária](http://data.europa.eu/eli/reg/2024/1689/oj)) · conferido em 7 de setembro de 2026 **Dizer:** Reduz de forma verificável o risco de um valor inventado. **Nunca:** Elimina as alucinações. **Por quê:** Uma arquitetura baixa um risco. Ela não retira uma propriedade de uma classe de modelos. **Dizer:** Um arcabouço cabeado à regulação, com um caminho de imposição em tempo de execução. **Nunca:** O primeiro arcabouço de arquitetura corporativa nativo de IA. **Por quê:** Existe estado da técnica, e uma afirmação de pioneirismo convida justamente a discussão de que ninguém precisa. ## Modelos de governança Três modelos e uma descrição. Os quatro são prática e não mecanismo, e os quatro são publicados por inteiro. ### Carta de agentes de IA Quando agentes escrevem código de produção, precisam da governança que uma pessoa desenvolvedora tem, e de um pouco mais. A escada trata de quanto um agente pode fazer antes que alguém olhe. A lista abaixo trata do que ninguém delega, em degrau nenhum. #### A escada de autonomia 1. **L1 · Supervisionado**. O agente propõe e uma pessoa lê cada linha antes da fusão. O padrão para todo agente novo. 2. **L2 · Semiautônomo**. O agente implementa dentro do escopo definido de um chamado e uma pessoa revisa o pull request. Alcançado após três ciclos L1 sem nenhuma violação de fence. 3. **L3 · Autônomo dentro das barreiras**. O agente implementa, testa e abre o pull request; uma pessoa lê os resultados dos testes e a saída dos guardiões. Exige cobertura madura de fences e um histórico. Raro, e deveria continuar raro. #### Nunca autônomo Isto quem decide é uma pessoa, em qualquer degrau da escada. - Mudanças no esquema do banco de dados. - Configuração de segurança: autenticação, segredos, rede. - Contratos de interface externa, quando a mudança quebra quem chama. - Mudanças em um formato de saída que uma norma lê. - Exclusão de qualquer coisa na trilha de auditoria. - Mudanças no próprio sistema de fences. #### A fonte de verdade do agente Primeiro a documentação de arquitetura, depois o registro de chaves, depois o sistema de fences, depois o escopo do chamado. Quando dois se contradizem, vence o de cima, e a contradição é escrita em vez de resolvida em silêncio. ### Esquema da trilha de auditoria O registro escrito a cada passo, publicado por inteiro. Uma trilha que quem não construiu o sistema não consegue ler não é uma trilha, então os nomes dos campos fazem parte do arcabouço e não da implementação. | Campo | Significado | | --- | --- | | `trace_id` | O identificador do P-4, o mesmo valor em cada entrada que pertence a uma transação. | | `timestamp` | Quando o passo aconteceu, como carimbo de tempo com o deslocamento de fuso. | | `event_type` | Que tipo de passo: entrada, extração, validação, avaliação de confiança, verificação humana, publicação, acesso. | | `actor` | Quem agiu, e de que tipo: o sistema, uma pessoa ou um agente. | | `input` | Sobre o que era o passo: o documento, o atributo. | | `output` | O que o passo produziu: o valor, sua confiança, o método de extração. | | `decision` | Onde uma pessoa agiu: o que fez e a razão que deu. | | `source_hash` | Um resumo da fonte que o passo leu, para reconhecer a mesma entrada mais tarde. | | `immutable` | A entrada nunca é editada. Uma correção é uma entrada nova que a substitui. | ### Registro de fences, um subconjunto publicado Um subconjunto publicado do registro do próprio projeto, com os identificadores que o projeto realmente usa. Cada entrada carrega um identificador, a regra, como ela é imposta e o status atual. O registro completo é mais longo e continua interno: algumas de suas entradas nomeiam o que protegem, e uma lista do que é vigiado é um mapa do que é guardado. Os identificadores são os operacionais. Uma edição anterior do documento do arcabouço imprimia sob os mesmos números uma tabela ilustrativa de oito linhas com regras diferentes; esse modelo está aposentado, cada uma de suas regras passou para o identificador que agora a sustenta, e nada se perdeu na renumeração. | Fence | Regra | Aplicação | Status | | --- | --- | --- | --- | | `F-03` | Valores derivados de um modelo de linguagem sempre carregam o método pelo qual foram obtidos e nunca chegam a uma saída publicada sem verificação humana. | Verificação automática, a cada mudança | Imposto | | `F-04` | Um atributo obrigatório sem evidência nunca é inventado nem preenchido com um valor padrão. | Verificação automática, a cada mudança | Imposto | | `F-05` | Nenhum documento pessoal ou de empresa real em código, fixtures, testes ou commits. **Escopo:** O guardião cobre chaves de acesso e dados do emissor de documentos de exportação. Não cobre toda forma de identificador, e o resto é levado internamente como lacuna própria. | Verificação automática, a cada mudança | Imposto | | `F-08` | Um passaporte com atributo de confiança baixa ou obrigatório ausente nunca é publicado; o portão é código, não um costume. | Verificação automática, a cada mudança | Imposto | | `F-09` | Nenhuma mudança de esquema do banco de dados sem migração e reversão que funcione. | Trabalho automático, a cada mudança | Imposto | | `F-13` | Os identificadores de inquilino e de rastro viajam com cada requisição e cada linha armazenada. **Escopo:** A metade do caminho de requisição está testada. A metade da linha armazenada não é verificada coluna a coluna e é levada internamente como lacuna própria. | Verificação automática, a cada mudança | Imposto | | `F-14` | Código e identificadores em inglês; texto para quem lê em cinco idiomas, com cada chave presente em todos. | Verificação automática, a cada mudança | Imposto | | `F-16` | O texto de interface nunca afirma cumprimento jurídico nem fato não verificado; uma atestação aparece como atestação e nunca como verificação. | Verificação automática, a cada mudança | Imposto | | `F-18` | Um identificador de rastro em cada resposta da interface do console, erros incluídos; o que chega é respeitado em vez de reemitido. | Verificação automática, a cada mudança | Imposto | | `F-22` | Toda afirmação de fato em superfície pública se resolve em fonte primária ou em teste com nome. | Verificação automática, a cada mudança | Imposto | | `F-23` | O site em execução carrega apenas recursos de mesma origem e define exatamente um cookie, para o idioma. | Verificação automática, a cada mudança | Imposto | | `F-37` | Toda página pública rastreada atende WCAG 2.2 AA em um navegador real. | Trabalho automático, a cada mudança | Imposto | | `F-02` | Nenhum serviço de infraestrutura novo além do conjunto acordado, e nenhuma dependência nova sem uma seção nomeada no pedido de mudança. | Pessoa com nome, na fusão | Manual | | `F-10` | Nenhuma fusão com verificações vermelhas. | Pessoa com nome, na fusão | Manual | | `P-4-not-null-columns` | Cada linha armazenada carrega os identificadores de inquilino e de rastro como colunas obrigatórias. | Hoje nada | Lacuna | | `P-5-disclosure-rendered` | Uma saída publicada cujos atributos incluem um extraído por máquina sempre mostra a linha de declaração. | Hoje nada | Lacuna | ### O motor de confiança, em palavras Ao motor se dá um atributo, um valor, o método pelo qual o valor foi obtido e os documentos de onde ele veio. Ele devolve o atributo, o valor, um nível de confiança, a procedência e se uma pessoa verificou. Existem três níveis, o mais baixo nunca chega a uma saída publicada, e onde falta evidência o motor não devolve nada em vez de um nível. > **Não publicado:** A tabela que atribui um nível a um método de extração, e as regras que combinam várias fontes, ficam na edição interna. O que está acima é a descrição de que quem lê precisa para entender a arquitetura. Deliberadamente não é uma especificação a partir da qual alguém pudesse construir. ## Relatório de controles Um relatório de controles diz quais controles um projeto executou e o que suas evidências devolveram. É autodeclarado por quem o executa. Não é uma auditoria, não produz marca alguma, e vale exatamente o que valem as evidências por trás dele. ### Como um relatório é produzido Quatro coisas fazem uma linha, e uma linha sem as quatro não é relatada como imposta. 1. **O controle**. Uma frase sobre comportamento, presa ao princípio a que pertence. Nem política nem intenção: algo que é verdadeiro do sistema em execução ou não é. 2. **A evidência**. O que decide a linha. Num controle imposto é uma verificação automática; num manual é uma pessoa com nome executando um procedimento escrito. 3. **A execução**. Uma execução identificada. Uma linha só é imposta pelo que aconteceu naquela execução, nunca pelo que costuma acontecer. 4. **O status**. Imposto, manual ou lacuna. Nada além disso, e nenhuma nuance entre eles. ### Os três status - **Imposto**. Uma verificação automática carrega a regra, e ela rodou na execução identificada e teve sucesso. - **Manual**. O controle se sustenta por um procedimento que uma pessoa com nome executa. Real, não automatizado, e relatado como o que é. - **Lacuna**. Hoje nada o impõe. Nomeada, com o que custaria fechá-la, em vez de omitida. ### A regra contra o teatro Um controle nunca é relatado como imposto se sua evidência não rodou na execução identificada e não teve sucesso. Um sucesso anterior, uma verificação pulada ou uma seleção que não rodou teste nenhum não é verificação atual. Um relatório que chama um controle de imposto porque alguém lembra que ele passava é um relatório sobre memória, e executar um relatório com sucesso não é um certificado de que algo esteja implementado. ### O que este relatório é e o que não é É uma avaliação interna autodeclarada com um resumo público limitado das evidências. Não pode ser reproduzida a partir desta página: as evidências rodam contra um repositório que não é público, então nenhum comando é oferecido aqui como algo que quem lê possa executar. Não é auditoria, não é certificação e não é avaliação da conformidade, e nenhuma autoridade a avaliou, auditou ou endossou. ### A avaliação do próprio projeto As linhas abaixo são uma projeção pública revisada de uma avaliação interna deste repositório. São um SUBCONJUNTO, escolhido porque cada linha pode ser dita em público sem nomear o que um guardião protege. A avaliação interna é maior e não é publicada. #### De qual avaliação se trata - Versão do arcabouço: 2.2 - Avaliado em: 7 de setembro de 2026 - Execução: `34152270255` - Produzida por: o trabalho de sistema do COADF, não o trabalho do site. O site não reexecutou as evidências; ele as projeta e diz de quem são. Os mesmos controles, rodados numa estação de trabalho em vez da integração contínua, saíram vermelhos em dois que precisam de um banco de dados que a estação não tem. Ambos rodaram e passaram na execução nomeada acima. As duas execuções constam internamente; nenhuma é escondida para melhorar a aparência desta página. **Escopo divulgado:** 16 de 57 controles da avaliação interna. Os totais desta página valem só para o escopo divulgado e não são os totais da avaliação interna. Os controles de fora ficam de fora porque seus enunciados nomeiam matéria protegida, não por causa do resultado. 12 impostos, 2 manuais, 2 lacunas, sobre 16 controles divulgados. | Controle | Princípio | O que exige | Como é imposto | Status | | --- | --- | --- | --- | --- | | `F-03` | `P-1` | Valores derivados de um modelo de linguagem sempre carregam o método pelo qual foram obtidos e nunca chegam a uma saída publicada sem verificação humana. | Verificação automática, a cada mudança | Imposto | | `F-04` | `P-2` | Um atributo obrigatório sem evidência nunca é inventado nem preenchido com um valor padrão. | Verificação automática, a cada mudança | Imposto | | `F-05` | `P-6` | Nenhum documento pessoal ou de empresa real em código, fixtures, testes ou commits. **Escopo:** O guardião cobre chaves de acesso e dados do emissor de documentos de exportação. Não cobre toda forma de identificador, e o resto é levado internamente como lacuna própria. | Verificação automática, a cada mudança | Imposto | | `F-08` | `P-2` | Um passaporte com atributo de confiança baixa ou obrigatório ausente nunca é publicado; o portão é código, não um costume. | Verificação automática, a cada mudança | Imposto | | `F-09` | `P-6` | Nenhuma mudança de esquema do banco de dados sem migração e reversão que funcione. | Trabalho automático, a cada mudança | Imposto | | `F-13` | `P-4` | Os identificadores de inquilino e de rastro viajam com cada requisição e cada linha armazenada. **Escopo:** A metade do caminho de requisição está testada. A metade da linha armazenada não é verificada coluna a coluna e é levada internamente como lacuna própria. | Verificação automática, a cada mudança | Imposto | | `F-14` | `P-6` | Código e identificadores em inglês; texto para quem lê em cinco idiomas, com cada chave presente em todos. | Verificação automática, a cada mudança | Imposto | | `F-16` | `P-6` | O texto de interface nunca afirma cumprimento jurídico nem fato não verificado; uma atestação aparece como atestação e nunca como verificação. | Verificação automática, a cada mudança | Imposto | | `F-18` | `P-4` | Um identificador de rastro em cada resposta da interface do console, erros incluídos; o que chega é respeitado em vez de reemitido. | Verificação automática, a cada mudança | Imposto | | `F-22` | Candidato · Disciplina das afirmações | Toda afirmação de fato em superfície pública se resolve em fonte primária ou em teste com nome. | Verificação automática, a cada mudança | Imposto | | `F-23` | `P-6` | O site em execução carrega apenas recursos de mesma origem e define exatamente um cookie, para o idioma. | Verificação automática, a cada mudança | Imposto | | `F-37` | `P-6` | Toda página pública rastreada atende WCAG 2.2 AA em um navegador real. | Trabalho automático, a cada mudança | Imposto | | `F-02` | `P-6` | Nenhum serviço de infraestrutura novo além do conjunto acordado, e nenhuma dependência nova sem uma seção nomeada no pedido de mudança. | Pessoa com nome, na fusão | Manual | | `F-10` | `P-6` | Nenhuma fusão com verificações vermelhas. | Pessoa com nome, na fusão | Manual | | `P-4-not-null-columns` | `P-4` | Cada linha armazenada carrega os identificadores de inquilino e de rastro como colunas obrigatórias. **O que custaria fechá-la:** Um teste sobre o modelo de dados em vez de sobre um banco em execução, verificando a obrigação coluna a coluna. | Hoje nada | Lacuna | | `P-5-disclosure-rendered` | `P-5` | Uma saída publicada cujos atributos incluem um extraído por máquina sempre mostra a linha de declaração. **O que custaria fechá-la:** Um teste de renderização sobre uma saída com atributo extraído por máquina, com prova de dentes própria. A renderização existe; nada falha quando ela é removida, então o controle é um costume e não uma barreira. | Hoje nada | Lacuna | ### Aviso O COADF é um framework de desenvolvimento documentado publicamente. Não é uma certificação, não é uma norma de auditoria e não é um esquema de avaliação da conformidade. Nenhuma autoridade o avaliou, auditou ou endossou. Um relatório de controles é autodeclarado por quem o executa, e descreve quais controles foram executados e o que suas evidências devolveram. O nome descreve a orientação do método de desenvolvimento para os requisitos regulatórios; ele nunca afirma que um sistema, uma saída ou uma remessa cumpra a legislação. **O texto canônico em inglês:** COADF is a publicly documented development framework. It is not a certification, not an audit standard and not a conformity assessment scheme. No authority has assessed, audited or endorsed it. A conformance report is self-attested by whoever runs it, and describes which controls were exercised and what their evidence returned. The name describes the orientation of the development method toward regulatory requirements; it never asserts that any system, output or shipment is compliant. ## Mapa regulatório Os atos europeus que um sistema construído assim provavelmente encontrará. Cada linha foi lida em sua fonte primária na data que a linha indica, e cada linha aponta para essa fonte. Isto é um mapa e não assessoria: nada aqui diz qual destes atos se aplica a um sistema específico. ### O que esta versão corrige A edição de julho de 2026 deste mapa trazia quatro linhas que as próprias fontes não sustentam. Elas são corrigidas aqui em vez de editadas em silêncio, e cada correção aponta para o texto que a resolve. A linha do registro pôs uma data em três fatos diferentes. O artigo 13, n.º 1, do Regulamento (UE) 2024/1781 fixou 19 de julho de 2026 como o prazo para a Comissão criar o registro. A Comissão anunciou em 20 de julho de 2026 que o registro estava no ar, o que é um anúncio de disponibilidade operacional e não uma data de nenhum dos dois atos. O Regulamento de Execução (UE) 2026/1778, de 16 de julho de 2026, fixa as disposições de aplicação; foi publicado em 17 de julho de 2026 e entra em vigor no vigésimo dia seguinte. Três datas, três coisas diferentes, e a edição de julho descreveu uma como se fosse outra. **Fonte:** Regulation (EU) 2024/1781, Article 13(1), read with Article 24 of Implementing Regulation (EU) 2026/1778 ([fonte primária](http://data.europa.eu/eli/reg_impl/2026/1778/oj)) · conferido em 7 de setembro de 2026 A linha do dever de diligência estava escrita só contra a diretiva original. A Diretiva (UE) 2026/470, de 24 de fevereiro de 2026, adiou a aplicação dessas medidas para 26 de julho de 2029, fixou 26 de julho de 2028 como prazo de transposição de seu artigo sobre o dever de diligência, elevou os limiares de âmbito, na via principal para empresas da União, para mais de 5 000 empregados em média e um volume de negócios líquido mundial acima de 1 500 000 000 EUR, mantendo as outras categorias os seus próprios critérios, e deixou as medidas do artigo 16 para os exercícios iniciados em 1 de janeiro de 2030 ou depois. Um ponto à parte, porque é o que mais se conta errado: a diretiva alteradora suprime condições harmonizadas de responsabilidade civil da União, o que não é o mesmo que suprimir a responsabilidade civil. O direito nacional continua a aplicar-se. **Fonte:** Directive (EU) 2026/470, Article 4(2) and Article 5 ([fonte primária](http://data.europa.eu/eli/dir/2026/470/oj)) · conferido em 7 de setembro de 2026 A linha das matérias-primas críticas indicava uma data de início fixa. O artigo 29, n.º 1, do Regulamento (UE) 2024/1252 fixa a mais tardia das duas: 24 de maio de 2027 ou dois anos depois da entrada em vigor do ato de cálculo e verificação do artigo 29, n.º 2. Esse ato era devido até 24 de maio de 2026 e não está publicado, então a data de início ainda não está fixada. **Fonte:** Regulation (EU) 2024/1252, Article 29(1) and (2) ([fonte primária](http://data.europa.eu/eli/reg/2024/1252/oj)) · conferido em 7 de setembro de 2026 A linha sobre um esquema para prestadores de serviço de passaporte descrevia uma preparação da Comissão e um ano. O considerando 40 do Regulamento (UE) 2024/1781 diz que a Comissão poderia realizar uma avaliação de impacto para investigar se tal esquema seria apropriado. É tudo o que o texto sustenta. **Fonte:** Regulation (EU) 2024/1781, Recital 40 ([fonte primária](http://data.europa.eu/eli/reg/2024/1781/oj)) · conferido em 7 de setembro de 2026 A edição r4 corrige duas afirmações deste mapa após nova verificação nas fontes primárias. A linha do Regulamento de Inteligência Artificial fazia aplicar o artigo 6, n.º 1, e as suas obrigações a partir de 2 de agosto de 2027, a data do artigo 113 original. O Regulamento (UE) 2026/1744, em vigor desde 27 de julho de 2026, substituiu esse calendário: as secções 1 a 3 do capítulo III, sobre os sistemas de IA de risco elevado, aplicam-se a partir de 2 de dezembro de 2027 nos termos do artigo 6, n.º 2, e do anexo III, e a partir de 2 de agosto de 2028 nos termos do artigo 6, n.º 1, e do anexo I. Os oito princípios de arquitetura e as suas declarações de alinhamento não mudam. **Fonte:** Regulation (EU) 2026/1744, Article 1, point (40) ([fonte primária](http://data.europa.eu/eli/reg/2026/1744/oj)) · conferido em 11 de setembro de 2026 A linha do MACF fazia aplicar o regime definitivo a partir de 1 de janeiro de 2026. O Regulamento (UE) 2025/2083 fixou datas posteriores para duas das suas partes: o artigo 22, n.º 2, sobre a detenção trimestral de certificados MACF, aplica-se a partir de 1 de janeiro de 2027, e o artigo 20, n.os 1, 3, 4 e 5, sobre a sua venda, a partir de 1 de fevereiro de 2027. **Fonte:** Regulation (EU) 2025/2083, Article 1, point (27) ([fonte primária](http://data.europa.eu/eli/reg/2025/2083/oj)) · conferido em 11 de setembro de 2026 ### Em vigor e em implantação #### Regulamento de Inteligência Artificial Regulamento (UE) 2024/1689 Aplica-se desde 2 de agosto de 2026. Os capítulos I e II aplicam-se desde 2 de fevereiro de 2025; o capítulo III secção 4, os capítulos V, VII e XII e o artigo 78 desde 2 de agosto de 2025. Com a alteração introduzida pelo Regulamento (UE) 2026/1744, as secções 1 a 3 do capítulo III, sobre os sistemas de IA de risco elevado, aplicam-se a partir de 2 de dezembro de 2027 aos sistemas classificados como de risco elevado nos termos do artigo 6, n.º 2, e do anexo III, e a partir de 2 de agosto de 2028 aos do artigo 6, n.º 1, e do anexo I. As duas práticas proibidas que esse regulamento acrescentou ao artigo 5 aplicam-se a partir de 2 de dezembro de 2026. **Fonte:** Regulation (EU) 2024/1689, Article 113, as amended by Regulation (EU) 2026/1744 ([fonte primária](http://data.europa.eu/eli/reg/2026/1744/oj)) · conferido em 11 de setembro de 2026 #### Regulamento de Ciber-resiliência Regulamento (UE) 2024/2847 Aplica-se desde 11 de dezembro de 2027. O artigo 14, o dever de notificação, aplica-se desde 11 de setembro de 2026, e o capítulo IV desde 11 de junho de 2026. **Fonte:** Regulation (EU) 2024/2847, Article 71 ([fonte primária](http://data.europa.eu/eli/reg/2024/2847/oj)) · conferido em 7 de setembro de 2026 #### Regulamento de Conceção Ecológica de Produtos Sustentáveis Regulamento (UE) 2024/1781 Arcabouço em vigor. O artigo 13, n.º 1, exigia que a Comissão criasse o registro de passaportes digitais de produto até 19 de julho de 2026; o Regulamento de Execução (UE) 2026/1778, de 16 de julho de 2026, fixa as disposições de aplicação. Os atos delegados por categoria de produto vêm depois. **Fonte:** Regulation (EU) 2024/1781, Article 13(1), read with Implementing Regulation (EU) 2026/1778 ([fonte primária](http://data.europa.eu/eli/reg_impl/2026/1778/oj)) · conferido em 7 de setembro de 2026 #### Regulamento de Desmatamento Regulamento (UE) 2023/1115 As obrigações vinculam operadores médios e grandes desde 30 de dezembro de 2026 e micro e pequenos desde 30 de junho de 2027, após a alteração pelo Regulamento (UE) 2025/2650. **Fonte:** Regulation (EU) 2023/1115, Article 38(2) and (3), as replaced by Regulation (EU) 2025/2650 ([fonte primária](http://data.europa.eu/eli/reg/2025/2650/oj)) · conferido em 7 de setembro de 2026 #### Regulamento de Baterias Regulamento (UE) 2023/1542 Aplica-se desde 18 de fevereiro de 2024. O artigo 11 aplica-se desde 18 de fevereiro de 2027; o artigo 17 e o capítulo VI desde 18 de agosto de 2024; o capítulo VIII desde 18 de agosto de 2025. **Fonte:** Regulation (EU) 2023/1542, Article 96 ([fonte primária](http://data.europa.eu/eli/reg/2023/1542/oj)) · conferido em 7 de setembro de 2026 #### Regulamento Geral sobre a Proteção de Dados Regulamento (UE) 2016/679 Aplica-se desde 25 de maio de 2018. **Fonte:** Regulation (EU) 2016/679, Article 99(2) ([fonte primária](http://data.europa.eu/eli/reg/2016/679/oj)) · conferido em 7 de setembro de 2026 #### Diretiva NIS2 Diretiva (UE) 2022/2555 Os Estados-Membros deviam adotar as medidas até 17 de outubro de 2024 e aplicá-las desde 18 de outubro de 2024. A transposição nacional é assunto de cada Estado-Membro e varia. **Fonte:** Directive (EU) 2022/2555, Article 41(1) ([fonte primária](http://data.europa.eu/eli/dir/2022/2555/oj)) · conferido em 7 de setembro de 2026 #### Regulamento de Dados Regulamento (UE) 2023/2854 Aplica-se desde 12 de setembro de 2025. O dever do artigo 3, n.º 1, aplica-se aos produtos conectados colocados no mercado depois de 12 de setembro de 2026. **Fonte:** Regulation (EU) 2023/2854, Article 50 ([fonte primária](http://data.europa.eu/eli/reg/2023/2854/oj)) · conferido em 7 de setembro de 2026 #### DORA Regulamento (UE) 2022/2554 Aplica-se desde 17 de janeiro de 2025. **Fonte:** Regulation (EU) 2022/2554, Article 64 ([fonte primária](http://data.europa.eu/eli/reg/2022/2554/oj)) · conferido em 7 de setembro de 2026 #### Regulamento de Embalagens e Resíduos de Embalagens Regulamento (UE) 2025/40 Aplica-se desde 12 de agosto de 2026. O artigo 67, n.º 5, aplica-se desde 12 de fevereiro de 2029. **Fonte:** Regulation (EU) 2025/40, Article 79 ([fonte primária](http://data.europa.eu/eli/reg/2025/40/oj)) · conferido em 7 de setembro de 2026 #### Regulamento de Matérias-Primas Críticas Regulamento (UE) 2024/1252 Em vigor. A declaração pública do teor reciclado dos ímãs permanentes, do artigo 29, n.º 1, começa na mais tardia das duas datas: 24 de maio de 2027 ou dois anos depois da entrada em vigor do ato de cálculo e verificação do artigo 29, n.º 2. Esse ato era devido até 24 de maio de 2026 e não está publicado, então o início segue em aberto. **Fonte:** Regulation (EU) 2024/1252, Article 29(1) and (2) ([fonte primária](http://data.europa.eu/eli/reg/2024/1252/oj)) · conferido em 7 de setembro de 2026 #### Diretiva de Responsabilidade por Produtos Defeituosos, reformulação Diretiva (UE) 2024/2853 O software entra no âmbito. Os Estados-Membros transpõem-na até 9 de dezembro de 2026. **Fonte:** Directive (EU) 2024/2853, Article 22(1) ([fonte primária](http://data.europa.eu/eli/dir/2024/2853/oj)) · conferido em 7 de setembro de 2026 #### Mecanismo de Ajustamento Carbónico Fronteiriço Regulamento (UE) 2023/956 Aplica-se desde 1 de outubro de 2023. Os artigos 5, 10, 14, 16 e 17 aplicam-se desde 31 de dezembro de 2024, e a maior parte das disposições do regime definitivo desde 1 de janeiro de 2026. Com a alteração introduzida pelo Regulamento (UE) 2025/2083, o artigo 22, n.º 2, sobre a detenção trimestral de certificados MACF, aplica-se a partir de 1 de janeiro de 2027, e o artigo 20, n.os 1, 3, 4 e 5, sobre a venda de certificados MACF, a partir de 1 de fevereiro de 2027. **Fonte:** Regulation (EU) 2023/956, Article 36(2), as amended by Regulation (EU) 2025/2083 ([fonte primária](http://data.europa.eu/eli/reg/2025/2083/oj)) · conferido em 11 de setembro de 2026 #### Regulamento da Taxonomia Regulamento (UE) 2020/852 Os artigos 4 a 7 e o artigo 8, n.os 1 a 3, aplicam-se desde 1 de janeiro de 2022 para os dois primeiros objetivos ambientais e desde 1 de janeiro de 2023 para os outros quatro. **Fonte:** Regulation (EU) 2020/852, Article 27(2) ([fonte primária](http://data.europa.eu/eli/reg/2020/852/oj)) · conferido em 7 de setembro de 2026 #### Diretiva de Relato de Sustentabilidade das Empresas Diretiva (UE) 2022/2464 O artigo 4 aplica-se desde 1 de janeiro de 2024 aos exercícios iniciados nessa data ou depois. Alterada pela Diretiva (UE) 2026/470, cujos artigos 1, 2 e 3 devem ser transpostos até 19 de março de 2027. **Fonte:** Directive (EU) 2022/2464, Article 7, read with Article 5 of Directive (EU) 2026/470 ([fonte primária](http://data.europa.eu/eli/dir/2022/2464/oj)) · conferido em 7 de setembro de 2026 ### Normas e arcabouços Não são legislação. São citados pela legislação ou usados por auditorias. As linhas abaixo nomeiam cada item e para que serve. Onde esta passagem não leu na fonte o texto de um organismo de normalização, a linha não indica data, e essa ausência é deliberada. #### EN 18216, EN 18219, EN 18220, EN 18221, EN 18222, EN 18223 CEN, CENELEC e ETSI Referências publicadas no Jornal Oficial pela Decisão de Execução (UE) 2026/1736, de 14 de julho de 2026, com presunção de cumprimento dos requisitos dos artigos 10 e 11 do Regulamento (UE) 2024/1781 que elas cobrem. **Fonte:** Commission Implementing Decision (EU) 2026/1736, Recitals 3 and 4, read with Article 41(2) of Regulation (EU) 2024/1781 ([fonte primária](http://data.europa.eu/eli/dec_impl/2026/1736/oj)) · conferido em 7 de setembro de 2026 #### EN 18239 e EN 18246 CEN, CENELEC e ETSI Direitos de acesso, e autenticação e integridade dos dados. Não estão entre as referências da Decisão de Execução (UE) 2026/1736, então hoje nenhuma presunção as acompanha. **Fonte:** Commission Implementing Decision (EU) 2026/1736, Recital 3 ([fonte primária](http://data.europa.eu/eli/dec_impl/2026/1736/oj)) · conferido em 7 de setembro de 2026 #### Arquitetura de auditoria e asseguração para IA BSI, Alemanha Um rascunho de catálogo de critérios para avaliar sistemas de IA, legível por máquina, construído sobre uma metodologia de trabalhos de asseguração. Não lido na fonte nesta passagem, por isso nenhuma data é indicada aqui. #### ISO/IEC 42001 ISO e IEC Uma norma de sistema de gestão para inteligência artificial, certificável por terceiro. O COADF a acompanha no nível de implementação e não se opõe a ela. #### AI Risk Management Framework NIST, Estados Unidos Um arcabouço voluntário com quatro funções, mais um perfil para sistemas generativos. Nomeado aqui pelo vocabulário, não como obrigação. #### EPCIS e Digital Link GS1 A camada de identificadores e eventos pela qual um passaporte é alcançado. Especificações abertas; nomear uma não afirma nenhum status junto ao organismo. #### ECLASS e o IEC Common Data Dictionary ECLASS e IEC Vocabulários licenciados. Tratados como adaptadores isolados sob o P-7, para que uma mudança de licença nunca chegue ao núcleo. #### Código de boas práticas para IA de uso geral Comissão Europeia Voluntário. Seu capítulo de segurança se dirige aos fornecedores de modelos com risco sistêmico. ### Monitorar, não construir contra #### Atos delegados de conceção ecológica por categoria de produto Cada ato é adotado ao abrigo do artigo 4 do Regulamento (UE) 2024/1781 e cria seu próprio conjunto de regras. Seguir os atos, não o plano de trabalho. **Fonte:** Regulation (EU) 2024/1781, Article 4 ([fonte primária](http://data.europa.eu/eli/reg/2024/1781/oj)) · conferido em 7 de setembro de 2026 #### Um esquema para prestadores de serviço de passaporte digital de produto O considerando 40 do Regulamento (UE) 2024/1781 diz que a Comissão poderia realizar uma avaliação de impacto para investigar se tal esquema seria apropriado. No texto não há mais nada. **Fonte:** Regulation (EU) 2024/1781, Recital 40 ([fonte primária](http://data.europa.eu/eli/reg/2024/1781/oj)) · conferido em 7 de setembro de 2026 #### Regulamento sobre Trabalho Forçado O Regulamento (UE) 2024/3015 aplica-se desde 14 de dezembro de 2027, e os artigos 5, n.º 3, 7, 8, 9, n.º 2, 11, 33, 35 e 37, n.º 3, aplicam-se desde 13 de dezembro de 2024. **Fonte:** Regulation (EU) 2024/3015, Article 40 ([fonte primária](http://data.europa.eu/eli/reg/2024/3015/oj)) · conferido em 7 de setembro de 2026 #### Diretiva sobre o Dever de Diligência das Empresas em matéria de Sustentabilidade Diretiva (UE) 2024/1760, alterada pela Diretiva (UE) 2026/470, de 24 de fevereiro de 2026: transposição do artigo alterador até 26 de julho de 2028, aplicação dessas medidas desde 26 de julho de 2029, e as medidas do artigo 16 para os exercícios iniciados em 1 de janeiro de 2030 ou depois. Limiares de âmbito, na via principal para empresas da União: mais de 5 000 empregados em média e um volume de negócios líquido mundial acima de 1 500 000 000 EUR. Outras categorias, incluindo empresas de fora da União e a via de franquia e licença, têm critérios próprios, e os números acima não são esses. A diretiva alteradora suprime condições harmonizadas de responsabilidade civil da União, o que não é o mesmo que suprimir a responsabilidade civil; o direito nacional continua a aplicar-se. **Fonte:** Directive (EU) 2026/470, Article 4(2) and Article 5 ([fonte primária](http://data.europa.eu/eli/dir/2026/470/oj)) · conferido em 7 de setembro de 2026 --- COADF · Compliance-Oriented AI Development Framework · Versão 2.2 · Setembro de 2026 O COADF é documentado publicamente como framework de desenvolvimento. Nenhuma autoridade o avaliou, auditou ou endossou. Licença proposta: CC BY-SA 4.0 para o texto, MIT para os esquemas. Ainda não concedida.