Ferramentas de conformidade com o AI Act 2026: Credo AI, Vanta, Saidot e mais 5 comparadas

A fiscalização do AI Act mudou em 2 de agosto de 2026, mas a melhor ferramenta não é a que tem a lista de controles mais longa. A Credo AI é o sistema de governança mais completo, a Vanta é a escolha mais limpa para times liderados por segurança que já reaproveitam evidências de conformidade, e o verificador oficial da UE é o primeiro passo gratuito certo. Seis dos sete produtos comerciais aqui continuam escondendo o preço da assinatura.

A resposta curta: qual ferramenta do AI Act escolher?

Escolha a Credo AI se você precisa de uma única camada de governança sobre modelos, fornecedores, políticas, avaliações, evidências e supervisão em tempo de execução. Ela se encaixa melhor em uma empresa com várias unidades de negócio ou um parque de IA misto, em que o problema difícil não é preencher um checklist e sim manter propriedade e evidência coerentes enquanto os sistemas mudam.

Escolha a Vanta se segurança ou conformidade já conduz o processo de compra e sua empresa usa a Vanta para outros frameworks. O produto dela para o AI Act traz mais de 150 controles e 16 políticas, e sua maior vantagem é o reaproveitamento de evidências, não um teste de modelos especialmente profundo.

Escolha a Saidot se você quer um grafo de conhecimento nativo da UE e um fluxo colaborativo em torno de sistemas, modelos, agentes, conjuntos de dados, riscos, controles e políticas. Escolha a OneTrust quando a governança de IA precisar conviver com um programa consolidado de privacidade, governança de dados ou GRC. Escolha o IBM watsonx.governance quando importarem implantação híbrida, avaliações mensuráveis de modelos ou preço de uso público. Escolha a Holistic AI quando testes técnicos e aplicação de política em tempo de execução forem o centro do trabalho.

Comece pelo EU AI Act Compliance Checker se você ainda não sabe qual é o seu papel nem quais obrigações podem se aplicar. Acrescente o Trainual só quando a camada que falta for orientação ao time, treinamento atribuído, aceite e evidência exportável sob o artigo 4. O Trainual não é uma plataforma de inventário, classificação, avaliação de conformidade ou monitoramento de IA.

A escolha vira em uma pergunta: onde a sua evidência já mora? Se está espalhada entre times de modelo e unidades de negócio, a Credo AI ou a Saidot dão a ela um lar de governança. Se já mora em um programa de controles de segurança, a Vanta é o caminho mais curto. Se está na OneTrust, mantenha os registros de IA ao lado dos de privacidade e risco. Se a prova que falta vem do comportamento do modelo e não de documentos, compare IBM e Holistic AI. Se você não consegue dizer qual papel se aplica, não compre nada antes de usar o verificador oficial.

O que mudou em 2 de agosto de 2026?

A data importa, mas não pelo motivo que muitos gráficos antigos de prazos sugerem. 2 de agosto de 2026 não foi a data geral de início de todos os deveres de alto risco. Foi o início das regras de transparência do artigo 50 e da fiscalização de disposições que já valiam, incluindo práticas proibidas, medidas de letramento em IA e obrigações de provedores de modelos de IA de uso geral.

O cronograma oficial de implementação agora separa seis marcos:

• 2 de fevereiro de 2025: definições, regras de práticas proibidas e disposições de letramento em IA passaram a valer.
• 2 de agosto de 2025: obrigações de provedores de modelos de IA de uso geral passaram a valer e a estrutura de governança da UE tinha de estar constituída.
• 2 de agosto de 2026: as regras de transparência do artigo 50 passaram a valer e começou a fiscalização nacional ou europeia das regras aplicáveis.
• 2 de dezembro de 2026: termina a transição para certos sistemas de conteúdo sintético colocados no mercado antes de 2 de agosto de 2026 para cumprir o artigo 50(2); proibições adicionais também começam.
• 2 de dezembro de 2027: as obrigações de alto risco do anexo III começam sob o cronograma alterado.
• 2 de agosto de 2028: começam as obrigações para IA de alto risco embarcada em produtos cobertos pelo anexo I.

As duas últimas datas mudaram pelo Regulamento (UE) 2026/1744, a alteração do Digital Omnibus publicada em julho de 2026. Uma página que ainda chama 2 de agosto de 2026 de prazo geral de conformidade para alto risco está desatualizada.

O que o artigo 50 significa na prática

O artigo 50 é a camada de transparência. Provedores de sistemas que interagem diretamente com pessoas em geral precisam informar que elas estão lidando com IA, salvo quando isso for óbvio. Provedores de sistemas que geram áudio, imagens, vídeo ou texto sintéticos precisam tornar as saídas cobertas legíveis por máquina e detectáveis como geradas ou manipuladas por IA, dentro dos limites e exceções da disposição.

Implantadores têm as próprias divulgações. Precisam informar pessoas expostas a sistemas de reconhecimento de emoções ou categorização biométrica, e precisam revelar com clareza deepfakes cobertos e certos textos de interesse público gerados por IA. A orientação da Comissão sobre o artigo 50 também diz que conteúdo criado antes de 2 de agosto de 2026 não precisa de rotulagem retroativa.

Para um chatbot de suporte, a evidência pode ser um aviso exibido antes da primeira resposta, um requisito de produto ligado à versão implantada e um registro de teste provando que ele aparece em todas as interfaces suportadas. Para um gerador de mídia, a evidência pode incluir um método de marcação legível por máquina, testes de release, tratamento de exceções e uma propriedade clara para corrigir falhas. Um PDF de política sem prova de implementação é o elo mais fraco dessa corrente.

O que o artigo 4 significa para o treinamento de pessoas

O artigo 4 exige que provedores e implantadores adotem medidas que apoiem o letramento em IA entre o time e outras pessoas que usam sistemas de IA em seu nome. Depois da alteração do Digital Omnibus, a lei não prescreve um nível específico ou "suficiente". As perguntas e respostas atuais da Comissão sobre letramento em IA dizem que nenhum certificado é exigido. Um registro interno de treinamento e outras iniciativas de orientação pode ser evidência adequada.

Isso não torna um curso anual genérico suficiente para todo papel. Uma recrutadora que usa um sistema de ranqueamento precisa de orientação diferente da de um engenheiro que integra um modelo de uso geral ou de um profissional de marketing que publica mídia sintética. O registro útil conecta pessoa, papel, sistema relevante, material atribuído, data de conclusão e versão vigente da política. É por isso que o Trainual aparece neste guia, e por isso ele fica abaixo de produtos capazes de governar os próprios sistemas.

Provedores de GPAI enfrentam um ônus de evidência à parte

Provedores de modelos de IA de uso geral precisam manter documentação técnica, dar informação relevante a provedores subsequentes, implementar uma política para o direito autoral da UE e publicar um resumo suficientemente detalhado do conteúdo de treinamento. Modelos com risco sistêmico carregam deveres adicionais de avaliação, mitigação de risco, notificação de incidentes e cibersegurança. A Comissão iniciou a fiscalização plena contra provedores de GPAI, incluindo a possibilidade de aplicar multas, em 2 de agosto de 2026. Modelos colocados no mercado antes de 2 de agosto de 2025 têm prazo herdado de conformidade em 2 de agosto de 2027, conforme a orientação da Comissão sobre GPAI.

A maioria das empresas que compra as ferramentas abaixo não treina um modelo de fronteira. São implantadoras que usam modelos de terceiros dentro de produtos ou processos de negócio. O trabalho delas continua substancial: identificar o sistema, documentar finalidade e responsáveis, determinar o papel da organização, classificar o risco, vincular os controles certos, reunir evidência do provedor, treinar o time afetado, monitorar mudanças e preservar uma trilha de decisões.

O teto das multas é alto, mas não é o critério de compra

Pelo artigo 99, práticas proibidas podem gerar multa administrativa máxima de 35 milhões de EUR ou 7% do faturamento anual mundial de uma empresa, o que for maior. Deveres específicos de operadores e violações do artigo 50 podem chegar a 15 milhões de EUR ou 3%. Informação incorreta, incompleta ou enganosa prestada a um organismo notificado ou autoridade pode chegar a 7.5 milhões de EUR ou 1%. Para PMEs e startups aplica-se o menor entre o valor fixo e o percentual.

O teto separado do artigo 101 para infrações dolosas ou negligentes de provedores de GPAI é de 15 milhões de EUR ou 3% do faturamento anual mundial, o que for maior.

São máximos, não faturas automáticas. Compre em função dos seus sistemas, papéis, volume de evidência e cadência de revisão. Uma biblioteca gigante de controles vale pouco se ninguém for dono dos registros ou não conseguir mostrar qual versão implantada eles descrevem.

Ferramentas do AI Act em resumo

Preços e caminhos de acesso abaixo foram verificados nas páginas ativas dos fornecedores em 3 de agosto de 2026. "Sob consulta" significa que o fornecedor não publicou um valor de assinatura, não que o produto seja necessariamente caro.

Seis dos sete fornecedores comerciais não publicam valor inicial de assinatura. A IBM é a exceção. Essa opacidade muda o processo de compra sensato: monte a lista curta primeiro pelo encaixe de evidência e depois obrigue cada finalista a precificar o mesmo número de sistemas, usuários, integrações, trabalho de implantação, nível de suporte e prazo contratual.

Como estas ferramentas foram escolhidas

Esta é uma lista comparada, não uma alegação de teste prático. Cada produto foi conferido nas páginas atuais de produto e preço em 3 de agosto de 2026. Datas e deveres legais foram conferidos em fontes atuais da Comissão Europeia, do AI Act Service Desk e do EUR-Lex. Depois os produtos foram julgados por sete perguntas de comprador:

1. Inventário: consegue manter um registro utilizável de sistemas, modelos, agentes, conjuntos de dados, fornecedores, responsáveis, finalidades e versões?
2. Classificação: ajuda a identificar papel do operador, categoria de risco, regras aplicáveis e o motivo de cada conclusão?
3. Mapeamento de controles e evidências: consegue ligar obrigações a políticas, controles, testes, aprovações e evidência de origem sem retrabalho?
4. Garantia técnica: consegue avaliar o comportamento do modelo ou ligar sinais de execução a ações de governança?
5. Gestão de mudanças: preserva propriedade, histórico de revisão, incidentes, exceções e evidência enquanto um sistema muda?
6. Encaixe de implantação: suporta o ambiente de nuvem, modelo e GRC em que o comprador já trabalha?
7. Clareza comercial: nomes de camada, limites, condições de teste e preços aparecem antes de uma call comercial?

O ranking premia amplitude só quando o produto também expõe um fluxo operacional crível. Uma ferramenta gratuita de escopo pode vencer uma plataforma corporativa em uma empresa que ainda não classificou um sistema sequer. Uma plataforma de treinamento pode ser valiosa para os registros do artigo 4 e continuar sendo a ferramenta errada para governar sistemas. Produtos foram cortados quando o material público atual não sustentava um caso de uso decisivo além da linguagem genérica de conformidade.

1. Credo AI: a melhor no geral para portfólios de IA complexos

A Credo AI é a escolha mais forte no geral quando uma empresa precisa governar muitos sistemas de IA, fornecedores e times sob um único modelo operacional.

A plataforma combina descoberta e registro de IA, gestão de riscos, mapeamento de políticas, fluxos de evidência, relatórios e monitoramento em execução. O pacote de políticas do AI Act cobre classificação de risco, avaliações de conformidade, fluxos de governança, evidência automatizada e trilhas de auditoria. A Credo AI também afirma que seu ecossistema reúne mais de 30 parceiros entre hiperescaladores, integradores de sistemas e plataformas corporativas.

O caso de uso concreto é uma empresa com modelos de atendimento, ferramentas de RH, copilotos internos, APIs de fornecedores e agentes experimentais sob a guarda de grupos diferentes. A Credo dá à governança um lugar único para definir política e dá a cada responsável um caminho delimitado para fornecer evidência. Isso é mais útil do que pedir a cada time que interprete a norma por conta própria.

A maior barreira é a visibilidade comercial. A Credo não publica nomes de camada, valores de assinatura, número de sistemas incluídos nem teste em autoatendimento. Uma demonstração pode estabelecer o encaixe do produto, mas a compra continua exigindo uma proposta cuidadosamente normalizada. Empresas menores com uma dúzia de implantações simples podem estar comprando mais maquinaria de governança do que conseguem operar.

Ideal para: grandes empresas e scale-ups reguladas com propriedade de IA distribuída e parque de modelos misto
Destaque: um pacote de políticas específico do AI Act dentro de um sistema amplo de governança da política à evidência
Preços: sob consulta via ordem de compra; sem nomes de camada nem valor público em 3 de agosto de 2026
Teste gratuito: sem teste público em autoatendimento; peça uma demonstração ou um primeiro contato

Um piloto prático de Credo AI

A primeira colocada deve provar uma cadeia de evidências completa, não apenas gerar um painel bonito.

1. 1

   Escolha três sistemas diferentes entre si

   Use um recurso generativo voltado ao cliente, um fluxo interno de apoio à decisão e uma ferramenta de IA de terceiros. Registre finalidade, responsável, provedor, modelo, usuários, geografia, classes de dados e versão implantada de cada um.

2. 2

   Classifique papel e risco

   Rode o fluxo do AI Act para os três. Peça ao fornecedor que mostre a fonte por trás de cada pergunta, como um revisor sobrescreve uma resposta e como a plataforma preserva o motivo da classificação final.

3. 3

   Vincule controles a provas existentes

   Mapeie cinco obrigações a evidências que você já tem, como avaliação de fornecedor, model card, controle de segurança, registro de treinamento ou teste de release. Meça quanta prova dá para reaproveitar sem copiar arquivos.

4. 4

   Mude um sistema

   Troque a versão do modelo ou acrescente um novo caso de uso. Confirme quais avaliações reabrem, quem recebe uma tarefa, que histórico continua visível e se a evidência desatualizada fica claramente marcada.

5. 5

   Exporte a trilha de decisões

   Gere o registro que um revisor jurídico, um auditor ou uma autoridade receberia. Ele deve mostrar responsáveis, fontes, datas, aprovações, exceções, evidências e histórico de versões sem exigir um tour ao vivo pelo produto.

Veredito: a Credo AI vence quando o problema é a complexidade da governança. Descarte-a se você só precisa delimitar poucos sistemas ou manter um registro simples de treinamento.

2. Vanta: a melhor para reaproveitar evidências a partir de segurança

A Vanta é a escolha mais limpa para uma empresa liderada por segurança que já gerencia políticas, controles, fornecedores e evidência de auditoria na Vanta.

O produto da Vanta para o AI Act inclui mais de 150 controles e 16 políticas, além de fluxos guiados, modelos alinhados a risco, escopo adaptativo, mapeamento de frameworks, tarefas automatizadas, coleta de evidências e monitoramento de incidentes ou modelos. A vantagem central é que um controle de identidade, uma revisão de fornecedor, uma política ou um registro de acesso talvez já exista para outro framework e possa ser vinculado em vez de reconstruído.

Imagine uma empresa de SaaS que concluiu SOC 2 e ISO na Vanta e depois adicionou recursos de IA por meio de provedores de modelos terceiros. Segurança já é dona da evidência de fornecedores e dos controles técnicos. A Vanta permite a esse grupo estender um ritmo operacional familiar à governança de IA sem introduzir um sistema de controle separado no primeiro dia.

Essa mesma força define o limite. A Vanta não é, antes de tudo, um laboratório profundo de teste de modelos. Uma empresa que precise de testes especializados de viés, robustez, adversariais ou de deriva deve confirmar as integrações exatas e o caminho da evidência e depois comparar Holistic AI ou IBM. A Vanta também publica quatro nomes de pacote e nenhum valor para eles.

Ideal para: empresas que já operam frameworks de segurança e conformidade na Vanta
Destaque: mais de 150 controles do AI Act e 16 políticas com reaproveitamento de evidência entre frameworks
Preços: Essentials, Plus, Professional e Enterprise; todos com preço personalizado e sem valor público
Teste gratuito: sem teste público em autoatendimento; há demonstração gratuita

Veredito: a Vanta vence uma compra separada de governança de IA quando o seu programa atual na Vanta já contém a maior parte das pessoas e das provas. A escolha vira para Credo AI ou Saidot quando relações de IA e decisões de política dominam o trabalho, e não o reaproveitamento de controles de segurança.

3. Saidot: a melhor governança colaborativa nativa da UE

A Saidot é o melhor encaixe para uma organização baseada ou focada na UE que quer um grafo de governança conectado e um caminho colaborativo do contexto do sistema até o trabalho de políticas e controles.

A plataforma da Saidot conecta sistemas, modelos, agentes, conjuntos de dados, riscos, controles e políticas por um grafo de conhecimento, de modo que fatos compartilhados são herdados entre registros. A biblioteca lista hoje mais de 260 riscos, 620 controles, 110 políticas e 100 modelos e produtos de IA de uso amplo. As conexões nativas cobrem Azure AI Foundry e Amazon Bedrock, com API REST, webhooks e servidores MCP para outros ambientes.

Um cenário útil é um grupo de serviços financeiros com o mesmo provedor de modelos usado em várias aplicações. Um fato de provedor ou de modelo deve fluir para os sistemas afetados, enquanto finalidade local, usuários, dados e controles permanecem distintos. A abordagem de grafo foi desenhada para essa relação, em que uma planilha produz registros duplicados e respostas contraditórias.

O System Classification Assistant da Saidot para o AI Act é promissor, mas precisa ser rotulado corretamente: está em Preview na versão 8.14.0, de 9 de julho de 2026. Ele conduz um questionário estruturado, pré-preenche informações conhecidas do sistema e separa obrigações de nível organizacional das de nível de sistema. Um comprador deve testar como o status de preview afeta suporte, estabilidade de exportação e compromissos contratuais antes de tratá-lo como a espinha dorsal da classificação.

Ideal para: organizações focadas na UE que precisam de contexto de governança compartilhado entre ativos de IA conectados
Destaque: herança por grafo de conhecimento apoiada em mais de 260 riscos, 620 controles e 110 políticas
Preços: o preço da assinatura não é público; fale com a Saidot para a proposta vigente
Teste gratuito: sim; há onboarding em autoatendimento ou um piloto acompanhado

O teste é a chance de checar a herança. Crie dois sistemas usando o mesmo modelo, altere um fato compartilhado do provedor e inspecione o que se atualiza sozinho, o que exige revisão e o que fica isolado. Se os revisores não entendem por que uma obrigação apareceu, o grafo está somando complexidade em vez de tirá-la.

Veredito: a Saidot é a opção nativa da UE mais afiada para registros conectados e trabalho colaborativo de controle. Descarte-a se você precisa de preços públicos, de um assistente de classificação plenamente disponível ou da suíte de testes em execução mais profunda.

4. OneTrust: a melhor para estruturas existentes de privacidade e GRC

A OneTrust é a escolha sensata quando a governança de IA precisa virar mais um domínio governado dentro de um programa consolidado de privacidade, dados ou risco na OneTrust.

A solução da OneTrust para o AI Act registra sistemas de IA, mantém inventário e propriedade, liga riscos a sistemas, automatiza fluxos e evidências e conecta eventos de execução a ações de governança e monitoramento pós-mercado. O pacote de AI Governance também apoia classificação por níveis, aprovações, atestações, gates de avaliação, documentação, relatórios e monitoramento contínuo para o AI Act, NIST e ISO/IEC 42001.

O melhor caso é uma multinacional cujas avaliações de impacto à proteção de dados, registros de fornecedores, políticas e responsáveis por risco já estão na OneTrust. Um caso de uso de IA costuma tocar os mesmos dados pessoais, operadores, transferências e responsáveis de negócio. Manter esses registros conectados pode reduzir questionários paralelos e preservar um mapa de propriedade mais claro.

O encaixe ruim é uma empresa de produto pequena que compra a OneTrust só para IA. O valor da plataforma vem do entorno. A página pública de preços diz que AI Governance é medido por usuários administradores e inventário de IA, mas não publica valor nem teste em autoatendimento. Compradores também precisam perguntar quais avaliações técnicas são nativas e quais chegam por integrações ou evidência carregada.

Ideal para: organizações que já usam a OneTrust para privacidade, governança de dados, risco de terceiros ou GRC
Destaque: os registros de IA podem ficar ao lado de fluxos existentes de privacidade, risco, propriedade e evidência
Preços: sob consulta, com base em usuários administradores e inventário de IA; sem valor público de assinatura
Teste gratuito: sem teste público em autoatendimento; peça preço ou demonstração

Veredito: escolha a OneTrust quando o registro de IA precisa herdar responsáveis e evidências de um programa OneTrust existente. Escolha uma plataforma dedicada de governança de IA quando engenharia de IA, relações entre modelos e avaliação técnica precisam conduzir o modelo operacional.

5. IBM watsonx.governance: o melhor para stacks híbridos e medição transparente

O IBM watsonx.governance é a opção mais forte aqui para um ambiente híbrido grande que precisa de avaliação de modelos, registros de governança e uma rota pública de entrada no produto.

A IBM posiciona o watsonx.governance como camada de governança multifornecedor com um Governance Graph conectado, mapeamento de políticas e controles, relatórios contínuos de auditoria, inventário e contexto de risco. Seu ecossistema integrado de conformidade abrange mais de 200 frameworks. O complemento Compliance Accelerators inclui Credo AI Policy Packs alinhados ao AI Act, à ISO/IEC 42001 e ao NIST AI RMF.

O encaixe prático é uma corporação que roda modelos em nuvens e infraestrutura interna, com equipe de risco precisando de registros rastreáveis e engenheiros precisando de avaliação mensurável. A IBM publica capacidade gratuita limitada e unidades de uso, o que torna uma prova de conceito mais fácil de custear do que nas seis alternativas sob consulta.

O produto não é comercialmente simples. A página de preços ativa mistura uso de gestão de modelos, componentes de GRC, exemplos de observabilidade, AWS SaaS e implantação de software. O comprador precisa identificar quais componentes resolvem o trabalho pretendido antes de tratar qualquer número como o preço da plataforma.

Ideal para: corporações híbridas e multifornecedor que precisam de governança mais avaliação mensurável de modelos
Destaque: preços públicos de Lite, uso, GRC e observabilidade ao lado de suporte a mais de 200 frameworks
Preços: Lite é gratuito; unidades de avaliação do Essentials começam em USD 0.64; componentes de GRC e implantação são separados
Teste gratuito: sim; há uma camada Lite e uma rota atual de teste gratuito

Os preços da IBM traduzidos em unidades de compra

A camada Lite da IBM inclui cerca de 100 avaliações de modelo, 100 explicações globais, 50,000 explicações locais, um inventário, três casos de uso e três atributos personalizados por caso de uso. É suficiente para inspecionar o fluxo, insuficiente para representar um programa de governança em escala.

Em Essentials model management, a IBM lista USD 0.64 por avaliação de modelo ou template, USD 0.64 por explicação global, USD 0.64 a cada 500 explicações locais, ou USD 0.64 a cada 200 avaliações de mensagem de agente. Os exemplos de observabilidade da página vão de USD 1.28 por mês para um modelo avaliado mensalmente até USD 161.28 por mês para quatro modelos avaliados 30 vezes por mês, e USD 5,529.60 por mês para oito modelos avaliados 360 vezes por mês. O que dispara o salto é a frequência de avaliação, não só a quantidade de modelos.

Para GRC, o Essentials lista USD 795 por instância, USD 2,650 por solução com máximo de uma, e USD 53 por usuário concorrente com máximo de 25. O Standard lista USD 3,710 por instância, USD 2,650 por solução com máximo de cinco, e USD 53 por usuário concorrente com máximo de 200. A IBM também lista um valor de AWS SaaS de USD 38,160 incluindo uma instância de Governance Console ou Model Risk Governance, 12,000 avaliações de modelo por ano, cinco casos de uso de IA e 25 usuários concorrentes, mas a página não rotula uma cadência de cobrança ao lado desse número. A implantação de software é precificada por núcleo de processador virtual, sem valor público de VPC.

Veredito: a IBM vence em amplitude híbrida e preços de entrada inspecionáveis. Escolha a Holistic AI quando testes em execução e aplicação de política devem ser o centro focado da compra, ou uma plataforma mais leve quando o modelo de componentes da IBM ultrapassa o problema.

6. Holistic AI: a melhor para testes técnicos e aplicação em execução

A Holistic AI é o melhor encaixe quando o programa de conformidade precisa de testes técnicos e aplicação de política em tempo de execução, não só inventários e questionários.

A plataforma da Holistic AI abrange descoberta automatizada, inventário ao vivo, testes de risco, monitoramento, aplicação de política e evidência de auditoria. Ela publica mais de 40 testes especializados em viés, segurança, cibersegurança, desempenho, deriva, degradação e ameaças adversariais. Seus escores de risco e modelos regulatórios mapeiam para o AI Act, o NIST AI RMF e a ISO 42001.

O caso de uso afiado é um negócio que expõe uma decisão de IA ou uma saída gerada diretamente ao cliente. A governança precisa saber não só que existe uma política, mas se o sistema cruzou um limiar em produção. A camada de aplicação da Holistic AI registra a política, o contexto de entrada e saída, a ação e o resultado, o que pode ligar uma intervenção técnica ao registro de auditoria posterior.

A barreira de compra é conhecida: a Holistic AI não publica nomes de camada, valores de assinatura, volume de testes incluído nem teste em autoatendimento. Mais de 40 testes é uma cobertura útil, mas a demonstração precisa mostrar quais testes funcionam para a sua modalidade e arquitetura, como os limiares são validados e o que acontece quando uma regra bloqueia ou altera uma saída. Um controle em execução com plano de contingência ruim pode virar um problema de disponibilidade do produto.

Ideal para: sistemas de IA voltados ao cliente ou regulados que precisam de testes especializados e aplicação de política em execução
Destaque: mais de 40 testes e ações registradas em execução conectadas à evidência de governança
Preços: sob consulta; sem nomes de camada nem valor público de assinatura
Teste gratuito: sem teste público em autoatendimento; peça uma demonstração

Veredito: a Holistic AI merece a lista curta quando a garantia técnica é o gargalo da evidência. Fica mais difícil de justificar quando a lacuna principal é propriedade, classificação básica, aceite de política ou reaproveitamento de controles de segurança convencionais.

7. EU AI Act Compliance Checker: o melhor primeiro passo gratuito

O EU AI Act Compliance Checker é o ponto de partida correto para um comprador que ainda não consegue declarar o papel da organização, a categoria do sistema ou as obrigações prováveis.

O verificador da Comissão Europeia e do AI Act Service Desk faz perguntas estruturadas para ajudar provedores, implantadores e outros operadores a identificar regras que podem se aplicar. É gratuito e está disponível antes de qualquer processo de compra, o que lhe dá valor incomum em um mercado onde seis fornecedores comerciais escondem o preço inicial.

Use-o para um primeiro registro de cada sistema materialmente diferente. Uma empresa que fornece um recurso de IA, implanta uma ferramenta de recrutamento de terceiros e usa um copiloto interno pode ocupar papéis distintos em contextos distintos. Um único rótulo no nível da empresa é grosseiro demais.

O verificador é explicitamente um beta e apenas informativo. O resultado não é aconselhamento legal e não representa a avaliação da Comissão sobre a sua situação ou obrigações. Ele também não opera um inventário de sistemas, não coleta evidência contínua, não testa um modelo, não atribui controles e não monitora mudanças. Guarde as perguntas e as entradas que produziram o resultado e encaminhe a incerteza a assessoria jurídica qualificada.

Ideal para: delimitação inicial gratuita antes de escolher assessoria, controles ou software
Destaque: caminho oficial de perguntas ligado aos papéis de provedor, implantador e outros operadores
Preços: gratuito
Teste gratuito: não se aplica; o verificador em beta está disponível sem camada paga

Veredito: todo comprador em dúvida deveria usar o verificador oficial antes de pagar por software. Nenhum programa de IA maduro deveria confundir a resposta dele com o sistema de governança que vem depois.

8. Trainual: a melhor camada de apoio para evidência de letramento em IA

O Trainual é uma plataforma de documentação e treinamento capaz de preservar orientação atribuída, conclusão, aceite e relatórios para o artigo 4, mas não é software de governança do AI Act.

O encaixe útil é estreito e concreto. O artigo 4 pede que provedores e implantadores apoiem o letramento em IA entre o time e outras pessoas que operam IA em seu nome. A Comissão diz que nenhum certificado é exigido e que um registro interno de treinamento ou orientação pode ser adequado. Os pacotes atuais do Trainual oferecem documentação, atribuições por grupo, prazos, testes, acompanhamento, relatórios, histórico de versões, aceites e relatórios exportáveis em CSV ou PDF.

Por exemplo, um grupo de marketing que usa mídia generativa pode receber orientação de divulgação específica do sistema, concluir uma avaliação curta, dar aceite na política vigente e deixar um registro datado. Um grupo de recrutamento pode receber material diferente ligado aos sistemas e decisões que toca. A evidência útil não é um selo genérico. É a conexão entre papel, material, versão, conclusão e acompanhamento.

O Trainual não publica recursos de inventário de sistemas de IA, classificação de papel ou risco, avaliação de conformidade, avaliação de modelos ou monitoramento em execução. Ele fica ao lado de Credo AI, Vanta, Saidot, OneTrust, IBM ou Holistic AI quando a evidência de treinamento é fraca. Não deve substituí-las.

Ideal para: organizações que precisam de registros de orientação de IA atribuídos, versionados e exportáveis
Destaque: operação de treinamento por papel e evidência de aceite em um sistema de documentação dedicado
Preços: Core, Pro, Premium e Enterprise usam preço de assinatura sob consulta; há taxa única de implantação de USD 1,000 divulgada
Teste gratuito: sem teste público em autoatendimento na página de preços atual; peça uma demonstração

As camadas do Trainual sem a névoa comercial

O Core inclui documentação assistida por IA, treinamento em grupo, prazos, testes, acompanhamento, relatórios, 2 GB de armazenamento de vídeo e 30 dias de histórico de versões. O Pro acrescenta trilhas individuais, controles de visualização obrigatória, lembretes de conclusão, 300 assinaturas eletrônicas por ano, 15 GB de armazenamento de vídeo e 90 dias de histórico.

O Premium acrescenta assinaturas eletrônicas ilimitadas, armazenamento de vídeo e histórico de versões ilimitados, SSO, marca e domínio próprios, 15 GB de armazenamento SCORM e modelos de trilhas de treinamento. O Enterprise acrescenta suporte a API e integrações personalizadas, acesso à documentação SOC 2, ajuda ampliada de migração e rollout, customer success dedicado, revisões trimestrais e suporte prioritário.

A virada de camada para a evidência do AI Act é sobre controle, não prestígio. O Core pode cobrir atribuição por grupo e relatórios. O Pro fica relevante quando importam trilhas individuais, prova de visualização obrigatória, lembretes ou assinaturas eletrônicas. O Premium é o passo para SSO e aceites ou histórico ilimitados. O Enterprise é para necessidades de integração, rollout e garantia. Como o valor da assinatura não é público, exija que a proposta separe assinatura, USD 1,000 de implantação, migração de conteúdo e qualquer trabalho de autoria.

Veredito: o Trainual merece este último lugar porque a evidência do artigo 4 é uma obrigação viva e sua mecânica de treinamento é pertinente. Ele continua sendo uma camada de apoio. Colocá-lo ao lado de plataformas completas de governança de IA sem esse aviso induziria o comprador ao erro.

Quem deve escolher o quê

A decisão mais rápida começa pela camada de evidência que falta, não pela multa maior nem pela lista de recursos mais longa.

Se você não tem uma lista defensável de sistemas, comece pelo escopo. Passe os sistemas materialmente diferentes pelo verificador oficial e depois crie um registro mínimo com responsável, finalidade, papel, usuários, geografia, dados, provedor, modelo, versão e raciocínio inicial de risco. Não assine um contrato corporativo para fugir desse trabalho básico de inventário.

Se o inventário existe mas a governança está fragmentada, escolha uma camada de programa. A Credo AI é o padrão para um parque complexo e distribuído. A Saidot é a alternativa mais forte quando relações de grafo, contexto europeu e herança colaborativa combinam com o modelo operacional. A Vanta vence quando controles de segurança e evidências já moram na Vanta. A OneTrust vence quando relações de privacidade, dados, fornecedores e GRC já moram na OneTrust.

Se há documentos mas a incerteza está no comportamento implantado, escolha uma camada técnica. A IBM serve a uma corporação híbrida e multifornecedor que quer unidades públicas de entrada e contexto amplo de governança. A Holistic AI serve a um time que prioriza testes técnicos especializados e aplicação em execução. Peça às duas que sigam uma avaliação com falha por triagem, exceção, remediação, decisão de release e evidência exportável.

Se os sistemas estão governados mas a orientação ao time não é comprovável, acrescente o Trainual. A plataforma deve carregar materiais específicos por papel e evidência de conclusão, enquanto o sistema de governança segue sendo a fonte do escopo de sistemas e do contexto das obrigações.

Para uma empresa menor, o stack prático pode ser o verificador oficial, um inventário disciplinado, assessoria para classificações incertas, controles selecionados no sistema de segurança existente e o Trainual só se os registros de treinamento estiverem espalhados. Para uma empresa de produto em crescimento, Credo AI ou Saidot podem virar o centro, com testes técnicos e evidência de treinamento conectados ao redor. Para uma grande corporação híbrida, IBM ou Holistic AI podem fornecer a camada técnica enquanto a OneTrust ou um GRC existente preserva a evidência organizacional mais ampla.

Se você ainda está desenhando o sistema em vez de comprar software de governança, o manual de guardrails e raio de impacto para agentes de IA em produção explica como limitar permissões e impacto de falhas. Se o inventário inclui agentes, a comparação de plataformas de agentes de IA oferece uma rota separada pela camada de implantação. Nenhuma delas substitui o trabalho jurídico e de governança descrito aqui.

As que convém evitar

Evitar o encaixe errado importa mais do que achar um vencedor universal. Estes produtos são críveis dentro da sua faixa, mas cada um vira uma compra ruim quando esticado além dela.

Evite o verificador oficial como sistema de conformidade

O EU AI Act Compliance Checker é gratuito, oficial e valioso para a delimitação inicial. Também é um beta cujo resultado é informativo e não uma avaliação da Comissão. Ele não pode ser dono de controles, coletar evidência, monitorar uma implantação nem manter o inventário atual. Use-o no começo, não como o dossiê que você apresenta como programa completo.

Evite o Trainual como plataforma de governança de IA

O Trainual pode documentar políticas e provar que pessoas nomeadas concluíram o material atribuído. Ele não pode classificar o sistema governado, fazer uma avaliação de conformidade, avaliar o comportamento do modelo nem monitorar eventos em execução. Compre-o pela lacuna de evidência de letramento, nunca porque um registro de treinamento parece cobertura completa do AI Act.

Evite a Vanta quando a necessidade principal for teste especializado de modelos

A vantagem da Vanta é o reaproveitamento de controles e evidências, sobretudo para um cliente atual. Se a pergunta em aberto é viés, resiliência adversarial, deriva ou uma intervenção em execução, teste o fluxo exato antes de comprar. Holistic AI ou IBM podem servir melhor a esse centro de gravidade.

Evite a IBM quando você precisa de uma unidade comercial simples

A IBM publica mais informação de preço do que os demais produtos corporativos, o que é bem-vindo. Ela também separa capacidade Lite, avaliação por uso, GRC, observabilidade, AWS SaaS e implantação de software. Um comprador que quer um único pacote previsível para um inventário pequeno pode gastar esforço demais montando os componentes certos.

Evite Credo AI, Saidot ou OneTrust em um projeto de puro checkbox

Esses sistemas criam valor por relações, propriedade, fluxo de trabalho e evidência repetida. Se a liderança quer um questionário preenchido uma única vez, a implantação vai expor esse descompasso. Resolva o mandato primeiro. Software de governança não fornece a autoridade, o tempo das pessoas e o processo de mudança de produto que a organização decidiu não financiar.

Evite também qualquer fornecedor ou guia que ainda apresente 2 de agosto de 2026 como o início geral dos deveres de alto risco do anexo III sem refletir o Regulamento (UE) 2026/1744. As datas vigentes são 2 de dezembro de 2027 para o anexo III e 2 de agosto de 2028 para sistemas de alto risco embarcados em produtos regulados do anexo I.

Um processo de compra de 30 dias que produz evidência

O processo de compra deveria deixar melhores registros mesmo que você não compre nada.

Dias 1 a 5: defina a amostra

Escolha cinco sistemas materialmente diferentes, não cinco cópias do mesmo chatbot. Inclua um sistema voltado ao cliente, um fluxo interno com consequência, uma ferramenta de terceiros, um caso de conteúdo generativo e um agente ou automação, se existir. Registre os fatos mínimos e passe cada um por uma análise inicial de papel e escopo.

Dias 6 a 10: defina a cadeia de evidências

Para cada sistema da amostra, escolha dois deveres aplicáveis ou plausivelmente aplicáveis. Nomeie a fonte, o responsável, o controle, a prova de implementação, a aprovação, a versão vigente, a cadência de revisão e o sinal em execução. Marque conclusões jurídicas incertas para a assessoria. Isso vira o roteiro comum da demonstração.

Dias 11 a 20: faça os finalistas trabalharem no seu cenário

Não aceite uma demonstração pronta de estado ideal. Peça ao fornecedor que importe ou crie os cinco registros, reaproveite um controle existente, encaminhe uma classificação em disputa, expire evidência desatualizada, registre uma exceção, responda a uma versão de modelo alterada e exporte o histórico. Envolva jurídico, segurança, produto, engenharia, compras e um responsável de negócio na parte pertinente, não em toda reunião.

Dias 21 a 25: precifique a mesma unidade

Peça a cada finalista o mesmo tamanho de inventário, número de revisores e contribuidores, frameworks, ambientes, integrações, histórico de evidência, suporte, implantação e prazo contratual. Pergunte quais limites disparam o próximo degrau de preço. Para avaliação precificada por uso, modele o número esperado de sistemas, testes e frequência de avaliação em vez de aceitar um exemplo de baixo volume.

Dias 26 a 30: decida a propriedade antes da assinatura

Nomeie o patrocinador executivo, o responsável pelo registro de sistemas, o revisor jurídico, os responsáveis por controles, o responsável por testes técnicos, a rota de incidentes e o processo de revisão trimestral. Defina qual plataforma é a fonte de sistemas, políticas, treinamento e evidência em execução. Um produto que vira mais um banco de dados desconectado fracassou antes do lançamento.

Perguntas sobre o AI Act que os compradores repetem

O que é o AI Act da UE?

O AI Act da UE é um marco regulatório de IA baseado em risco. Os deveres dependem do papel do ator, do sistema ou modelo, do seu uso e categoria de risco, e de onde ele é colocado no mercado, posto em serviço ou usado. Ele alcança atores públicos e privados dentro e fora da UE quando essas condições de mercado ou de uso os conectam à UE.

O que mudou no AI Act em 2026?

As regras de transparência do artigo 50 e a fiscalização de disposições já aplicáveis começaram em 2 de agosto de 2026. O Regulamento (UE) 2026/1744 também moveu as obrigações de alto risco do anexo III para 2 de dezembro de 2027 e as obrigações de alto risco de sistemas embarcados em produtos do anexo I para 2 de agosto de 2028. Páginas antigas mostrando um prazo geral de alto risco em agosto de 2026 estão desatualizadas.

O AI Act se aplica a empresas dos Estados Unidos?

Pode se aplicar. O marco alcança atores que colocam um sistema de IA ou um modelo de uso geral no mercado da UE, põem um sistema de IA em serviço na UE ou usam um na UE. Ter sede nos Estados Unidos não remove por si só o alcance europeu. Determine o papel e o contexto do sistema e busque aconselhamento legal para o caso incerto.

Qual é o objetivo principal do AI Act?

O marco busca proteger saúde, segurança e direitos fundamentais e ao mesmo tempo criar regras harmonizadas para colocar IA no mercado da UE e usá-la. Ele aplica deveres diferentes a práticas proibidas, sistemas de alto risco, casos de transparência e IA de uso geral, em vez de regular todo uso da mesma forma.

Quais são as multas máximas do AI Act?

O artigo 99 fixa tetos de 35 milhões de EUR ou 7% para práticas proibidas, 15 milhões de EUR ou 3% para deveres específicos de operadores e violações do artigo 50, e 7.5 milhões de EUR ou 1% para informação incorreta, incompleta ou enganosa, com a regra de faturamento descrita na lei. PMEs e startups enfrentam o menor entre o valor fixo e o percentual. O artigo 101 limita separadamente certas multas a provedores de GPAI em 15 milhões de EUR ou 3%.

Existe uma ferramenta oficial de conformidade do AI Act?

Sim. O AI Act Service Desk oferece um Compliance Checker gratuito. É um beta contínuo de orientação informativa, não aconselhamento legal nem avaliação oficial da Comissão, e não substitui um inventário, um fluxo de evidência, testes técnicos ou uma plataforma de monitoramento.

Qual ferramenta de conformidade do AI Act é a melhor?

A Credo AI é a escolha mais forte no geral para governança de IA complexa e distribuída. A Vanta é melhor para um programa de segurança já existente na Vanta, a Saidot para governança conectada nativa da UE, a OneTrust para uma estrutura existente de privacidade ou GRC, a IBM para governança híbrida e medição pública, e a Holistic AI para testes técnicos e aplicação em execução. Comece pelo verificador oficial se o escopo não estiver claro e use o Trainual só para a camada de apoio de evidência de letramento.

Pegue o mapa de ferramentas de IA para donos de empresa e transforme uma lista curta longa em um stack prático para a sua empresa.