santismm-knowledge-mcp 0.2.1

package/content/governance/enterprise-ai-governance-framework.json

@@ -0,0 +1,277 @@
+{
+  "id": "GOV-005",
+  "slug": "enterprise-ai-governance-framework",
+  "category": "framework",
+  "updated": "2026-06-21",
+  "version": "1.0",
+  "featured": false,
+  "evidence": {
+    "evidenceLevel": "industry_observation",
+    "confidenceLevel": "high",
+    "sourceType": [
+      "industry_observation",
+      "paper"
+    ]
+  },
+  "frameworks": [
+    "EU AI Act",
+    "ISO/IEC 42001",
+    "NIST AI RMF"
+  ],
+  "patterns": [
+    "human-approval-gate"
+  ],
+  "knowledge": [
+    "ai-governance"
+  ],
+  "references": [
+    {
+      "title": "NIST — AI Risk Management Framework (AI RMF 1.0)",
+      "url": "https://www.nist.gov/itl/ai-risk-management-framework"
+    },
+    {
+      "title": "ISO/IEC 42001:2023 — Artificial intelligence management system",
+      "url": "https://www.iso.org/standard/81230.html"
+    },
+    {
+      "title": "OECD AI Principles",
+      "url": "https://oecd.ai/en/ai-principles"
+    }
+  ],
+  "related": [
+    "agentic-ai-governance-checklist",
+    "eu-ai-act",
+    "iso-42001",
+    "nist-ai-rmf"
+  ],
+  "locales": {
+    "en": {
+      "name": "Enterprise AI Governance Framework",
+      "summary": "An umbrella operating model for governing AI across an organization. It defines the principles, accountability (RACI), AI risk taxonomy, lifecycle gates and policy hierarchy that keep AI use lawful, safe and aligned with risk appetite. It harmonizes the EU AI Act, ISO/IEC 42001 and NIST AI RMF into one internal program — comply once, reuse everywhere — and composes the agentic governance checklist as its concrete control set. Use it to give every production AI system a named owner, a risk tier and a gate that can actually block a non-compliant deployment.",
+      "definition": "An enterprise AI governance framework is the system of principles, roles, processes and controls by which an organization directs and controls how it builds, procures and operates AI so that AI use stays lawful, safe, effective and aligned with its risk appetite.",
+      "scope": "Boards, AI governance committees, risk and compliance officers, and the product and engineering leaders who build and operate AI across the enterprise. It is an internal operating model that maps to named regulations and standards, not legal advice or a substitute for qualified counsel.",
+      "keyPoints": [
+        "Principles first: lawfulness, accountability, human oversight, transparency, fairness, safety and privacy by design anchor every policy.",
+        "RACI accountability: every governance activity has a clear Responsible, Accountable, Consulted and Informed map, and every production system has one named owner.",
+        "A risk taxonomy tiers use cases (unacceptable, high, limited, minimal) so control intensity is proportional to risk.",
+        "Lifecycle gates attach entry and exit checks to each stage, from propose through retire.",
+        "A policy hierarchy traces principles to policies, standards and concrete controls with named owners.",
+        "Comply once, reuse everywhere: external obligations map to internal controls a single time and are shared across regimes."
+      ],
+      "controls": [
+        {
+          "control": "AI governance committee with a charter",
+          "note": "A standing body with published decision rights sets risk appetite and policy, so accountability is structural rather than ad hoc."
+        },
+        {
+          "control": "Named accountable system owner",
+          "note": "Every production AI system has one human owner; this is the control most associated with incidents being caught and answered."
+        },
+        {
+          "control": "Risk-tiering procedure and central register",
+          "note": "A documented taxonomy classifies each use case before build and records it in an inventory, surfacing shadow AI and calibrating controls."
+        },
+        {
+          "control": "Lifecycle entry and exit gates",
+          "note": "Each stage from propose to retire has gates scaled to risk tier; an enforceable gate can block a non-compliant deployment."
+        },
+        {
+          "control": "Policy hierarchy mapped to controls",
+          "note": "Principles trace to policies, standards and concrete controls so obligations are operational, not aspirational."
+        },
+        {
+          "control": "Independent audit and assurance",
+          "note": "Periodic independent review tests that gates and controls actually hold, closing the loop back to the committee."
+        }
+      ],
+      "checklist": [
+        "Stand up an AI governance committee with a published charter and decision rights.",
+        "Define the seven governing principles and trace every policy back to them.",
+        "Publish a risk taxonomy with tiers and enumerate prohibited use cases blocked at intake.",
+        "Build a central register of all AI systems with their tier and named owner.",
+        "Attach entry and exit gates to each lifecycle stage, scaled to risk tier.",
+        "Map the EU AI Act, ISO/IEC 42001 and NIST AI RMF to internal controls once and reuse them.",
+        "Adopt the agentic governance checklist as the concrete control set for high-risk systems.",
+        "Schedule re-tiering and independent audit on a recurring cadence."
+      ],
+      "pitfalls": [
+        "Governance as paperwork: policies exist but no gate can actually block a non-compliant deployment.",
+        "No accountable owner: systems ship with diffuse ownership and no one is answerable when they fail.",
+        "Uniform controls: every system gets the same heavyweight process, so teams route around governance.",
+        "Shadow AI: systems are built outside the register and stay invisible to risk.",
+        "Static tiering: a use case's risk is set once and never re-evaluated as autonomy or scope grows."
+      ],
+      "examples": [
+        "A regulated enterprise routes every new agent through a tier-based intake gate before any build begins.",
+        "A high-risk customer-facing system gets the full control set and independent audit while a minimal-risk internal tool follows baseline hygiene only.",
+        "EU AI Act, ISO/IEC 42001 and NIST AI RMF obligations are mapped to one internal control library and reused across the portfolio."
+      ],
+      "faqs": [
+        {
+          "q": "Is this framework legal advice?",
+          "a": "No. It is a professional operating model that maps to named regulations and standards. Consult qualified counsel for binding compliance decisions."
+        },
+        {
+          "q": "How does it relate to the agentic governance checklist and the specific regimes?",
+          "a": "This framework owns the structure — principles, roles, taxonomy and gates — and composes the EU AI Act, ISO/IEC 42001 and NIST AI RMF and the agentic checklist as its concrete controls."
+        },
+        {
+          "q": "What is the single highest-leverage element?",
+          "a": "An enforceable gate plus a named accountable owner per system. Un-enforced policy is routed around within a quarter, and diffuse ownership means no one answers when a system fails."
+        }
+      ]
+    },
+    "es": {
+      "name": "Marco de Gobernanza de IA Empresarial",
+      "summary": "Un modelo operativo paraguas para gobernar la IA en toda la organización. Define los principios, la rendición de cuentas (RACI), la taxonomía de riesgo de IA, las puertas de ciclo de vida y la jerarquía de políticas que mantienen el uso de IA legal, seguro y alineado con el apetito de riesgo. Armoniza el EU AI Act, ISO/IEC 42001 y NIST AI RMF en un único programa interno —cumple una vez, reutiliza en todas partes— y compone el checklist de gobernanza agéntica como su conjunto concreto de controles. Úsalo para dar a cada sistema de IA en producción un responsable nombrado, un nivel de riesgo y una puerta que pueda realmente bloquear un despliegue no conforme.",
+      "definition": "Un marco de gobernanza de IA empresarial es el sistema de principios, roles, procesos y controles con el que una organización dirige y controla cómo construye, adquiere y opera la IA para que su uso siga siendo legal, seguro, eficaz y alineado con su apetito de riesgo.",
+      "scope": "Consejos de administración, comités de gobernanza de IA, responsables de riesgo y cumplimiento, y los líderes de producto e ingeniería que construyen y operan la IA en la empresa. Es un modelo operativo interno que mapea a regulaciones y estándares nombrados, no asesoramiento legal ni un sustituto del asesoramiento de un profesional cualificado.",
+      "keyPoints": [
+        "Los principios primero: legalidad, rendición de cuentas, supervisión humana, transparencia, equidad, seguridad y privacidad por diseño anclan cada política.",
+        "Rendición de cuentas RACI: cada actividad de gobernanza tiene un mapa claro de Responsable, Aprobador, Consultado e Informado, y cada sistema en producción tiene un responsable nombrado.",
+        "Una taxonomía de riesgo clasifica los casos de uso (inaceptable, alto, limitado, mínimo) para que la intensidad del control sea proporcional al riesgo.",
+        "Las puertas de ciclo de vida añaden controles de entrada y salida a cada etapa, desde proponer hasta retirar.",
+        "Una jerarquía de políticas traza los principios a políticas, estándares y controles concretos con responsables nombrados.",
+        "Cumple una vez, reutiliza en todas partes: las obligaciones externas se mapean a controles internos una sola vez y se comparten entre regímenes."
+      ],
+      "controls": [
+        {
+          "control": "Comité de gobernanza de IA con un estatuto",
+          "note": "Un órgano permanente con derechos de decisión publicados fija el apetito de riesgo y la política, de modo que la rendición de cuentas sea estructural y no ad hoc."
+        },
+        {
+          "control": "Responsable nombrado del sistema",
+          "note": "Cada sistema de IA en producción tiene un responsable humano; este es el control más asociado con que los incidentes se detecten y respondan."
+        },
+        {
+          "control": "Procedimiento de tiering de riesgo y registro central",
+          "note": "Una taxonomía documentada clasifica cada caso de uso antes de construir y lo registra en un inventario, sacando a la luz la IA en la sombra y calibrando los controles."
+        },
+        {
+          "control": "Puertas de entrada y salida del ciclo de vida",
+          "note": "Cada etapa, de proponer a retirar, tiene puertas escaladas al nivel de riesgo; una puerta exigible puede bloquear un despliegue no conforme."
+        },
+        {
+          "control": "Jerarquía de políticas mapeada a controles",
+          "note": "Los principios se trazan a políticas, estándares y controles concretos para que las obligaciones sean operativas, no aspiracionales."
+        },
+        {
+          "control": "Auditoría y aseguramiento independientes",
+          "note": "Una revisión independiente periódica comprueba que las puertas y los controles realmente se sostienen, cerrando el ciclo de vuelta al comité."
+        }
+      ],
+      "checklist": [
+        "Pon en marcha un comité de gobernanza de IA con un estatuto publicado y derechos de decisión.",
+        "Define los siete principios rectores y traza cada política de vuelta a ellos.",
+        "Publica una taxonomía de riesgo con niveles y enumera los casos de uso prohibidos bloqueados en la entrada.",
+        "Construye un registro central de todos los sistemas de IA con su nivel y responsable nombrado.",
+        "Añade puertas de entrada y salida a cada etapa del ciclo de vida, escaladas al nivel de riesgo.",
+        "Mapea el EU AI Act, ISO/IEC 42001 y NIST AI RMF a controles internos una vez y reutilízalos.",
+        "Adopta el checklist de gobernanza agéntica como conjunto concreto de controles para los sistemas de alto riesgo.",
+        "Programa el re-tiering y la auditoría independiente con una cadencia recurrente."
+      ],
+      "pitfalls": [
+        "Gobernanza como papeleo: las políticas existen pero ninguna puerta puede realmente bloquear un despliegue no conforme.",
+        "Sin responsable nombrado: los sistemas se lanzan con propiedad difusa y nadie responde cuando fallan.",
+        "Controles uniformes: cada sistema recibe el mismo proceso pesado, así que los equipos esquivan la gobernanza.",
+        "IA en la sombra: los sistemas se construyen fuera del registro y permanecen invisibles para el riesgo.",
+        "Tiering estático: el riesgo de un caso de uso se fija una vez y nunca se reevalúa a medida que crecen su autonomía o alcance."
+      ],
+      "examples": [
+        "Una empresa regulada enruta cada nuevo agente por una puerta de entrada basada en niveles antes de que comience cualquier construcción.",
+        "Un sistema de alto riesgo orientado al cliente recibe el conjunto completo de controles y auditoría independiente, mientras una herramienta interna de riesgo mínimo sigue solo la higiene básica.",
+        "Las obligaciones del EU AI Act, ISO/IEC 42001 y NIST AI RMF se mapean a una única biblioteca de controles interna y se reutilizan en todo el portafolio."
+      ],
+      "faqs": [
+        {
+          "q": "¿Este marco es asesoramiento legal?",
+          "a": "No. Es un modelo operativo profesional que mapea a regulaciones y estándares nombrados. Consulta a un profesional cualificado para decisiones de cumplimiento vinculantes."
+        },
+        {
+          "q": "¿Cómo se relaciona con el checklist de gobernanza agéntica y los regímenes específicos?",
+          "a": "Este marco posee la estructura —principios, roles, taxonomía y puertas— y compone el EU AI Act, ISO/IEC 42001 y NIST AI RMF y el checklist agéntico como sus controles concretos."
+        },
+        {
+          "q": "¿Cuál es el elemento de mayor palanca?",
+          "a": "Una puerta exigible más un responsable nombrado por sistema. La política no exigida se esquiva en un trimestre, y la propiedad difusa significa que nadie responde cuando un sistema falla."
+        }
+      ]
+    },
+    "pt": {
+      "name": "Framework de Governança de IA Empresarial",
+      "summary": "Um modelo operacional guarda-chuva para governar a IA em toda a organização. Define os princípios, a prestação de contas (RACI), a taxonomia de risco de IA, os portões de ciclo de vida e a hierarquia de políticas que mantêm o uso de IA legal, seguro e alinhado ao apetite de risco. Harmoniza o EU AI Act, ISO/IEC 42001 e NIST AI RMF num único programa interno —cumpra uma vez, reutilize em todo lugar— e compõe o checklist de governança agêntica como seu conjunto concreto de controles. Use-o para dar a cada sistema de IA em produção um responsável nomeado, um nível de risco e um portão que possa de fato bloquear uma implantação não conforme.",
+      "definition": "Um framework de governança de IA empresarial é o sistema de princípios, papéis, processos e controles pelo qual uma organização dirige e controla como constrói, adquire e opera a IA para que seu uso permaneça legal, seguro, eficaz e alinhado ao seu apetite de risco.",
+      "scope": "Conselhos de administração, comitês de governança de IA, responsáveis por risco e conformidade, e os líderes de produto e engenharia que constroem e operam a IA na empresa. É um modelo operacional interno que mapeia para regulamentos e padrões nomeados, não aconselhamento jurídico nem um substituto de aconselhamento de um profissional qualificado.",
+      "keyPoints": [
+        "Princípios primeiro: legalidade, prestação de contas, supervisão humana, transparência, equidade, segurança e privacidade desde a concepção ancoram cada política.",
+        "Prestação de contas RACI: cada atividade de governança tem um mapa claro de Responsável, Aprovador, Consultado e Informado, e cada sistema em produção tem um responsável nomeado.",
+        "Uma taxonomia de risco classifica os casos de uso (inaceitável, alto, limitado, mínimo) para que a intensidade do controle seja proporcional ao risco.",
+        "Os portões de ciclo de vida adicionam verificações de entrada e saída a cada etapa, de propor a aposentar.",
+        "Uma hierarquia de políticas rastreia os princípios para políticas, padrões e controles concretos com responsáveis nomeados.",
+        "Cumpra uma vez, reutilize em todo lugar: as obrigações externas mapeiam para controles internos uma única vez e são compartilhadas entre regimes."
+      ],
+      "controls": [
+        {
+          "control": "Comitê de governança de IA com um estatuto",
+          "note": "Um órgão permanente com direitos de decisão publicados define o apetite de risco e a política, para que a prestação de contas seja estrutural e não ad hoc."
+        },
+        {
+          "control": "Responsável nomeado pelo sistema",
+          "note": "Cada sistema de IA em produção tem um responsável humano; este é o controle mais associado a incidentes serem detectados e respondidos."
+        },
+        {
+          "control": "Procedimento de tiering de risco e registro central",
+          "note": "Uma taxonomia documentada classifica cada caso de uso antes de construir e o registra num inventário, revelando a IA na sombra e calibrando os controles."
+        },
+        {
+          "control": "Portões de entrada e saída do ciclo de vida",
+          "note": "Cada etapa, de propor a aposentar, tem portões escalados ao nível de risco; um portão exigível pode bloquear uma implantação não conforme."
+        },
+        {
+          "control": "Hierarquia de políticas mapeada para controles",
+          "note": "Os princípios são rastreados para políticas, padrões e controles concretos para que as obrigações sejam operacionais, não aspiracionais."
+        },
+        {
+          "control": "Auditoria e garantia independentes",
+          "note": "Uma revisão independente periódica verifica que os portões e controles realmente se sustentam, fechando o ciclo de volta ao comitê."
+        }
+      ],
+      "checklist": [
+        "Estabeleça um comitê de governança de IA com um estatuto publicado e direitos de decisão.",
+        "Defina os sete princípios norteadores e rastreie cada política de volta a eles.",
+        "Publique uma taxonomia de risco com níveis e enumere os casos de uso proibidos bloqueados na entrada.",
+        "Construa um registro central de todos os sistemas de IA com seu nível e responsável nomeado.",
+        "Adicione portões de entrada e saída a cada etapa do ciclo de vida, escalados ao nível de risco.",
+        "Mapeie o EU AI Act, ISO/IEC 42001 e NIST AI RMF para controles internos uma vez e reutilize-os.",
+        "Adote o checklist de governança agêntica como conjunto concreto de controles para os sistemas de alto risco.",
+        "Programe o re-tiering e a auditoria independente numa cadência recorrente."
+      ],
+      "pitfalls": [
+        "Governança como papelada: as políticas existem mas nenhum portão pode de fato bloquear uma implantação não conforme.",
+        "Sem responsável nomeado: os sistemas são lançados com propriedade difusa e ninguém responde quando falham.",
+        "Controles uniformes: cada sistema recebe o mesmo processo pesado, então as equipes contornam a governança.",
+        "IA na sombra: os sistemas são construídos fora do registro e permanecem invisíveis ao risco.",
+        "Tiering estático: o risco de um caso de uso é definido uma vez e nunca reavaliado à medida que sua autonomia ou escopo crescem."
+      ],
+      "examples": [
+        "Uma empresa regulada roteia cada novo agente por um portão de entrada baseado em níveis antes de qualquer construção começar.",
+        "Um sistema de alto risco voltado ao cliente recebe o conjunto completo de controles e auditoria independente, enquanto uma ferramenta interna de risco mínimo segue apenas a higiene básica.",
+        "As obrigações do EU AI Act, ISO/IEC 42001 e NIST AI RMF são mapeadas para uma única biblioteca de controles interna e reutilizadas em todo o portfólio."
+      ],
+      "faqs": [
+        {
+          "q": "Este framework é aconselhamento jurídico?",
+          "a": "Não. É um modelo operacional profissional que mapeia para regulamentos e padrões nomeados. Consulte um profissional qualificado para decisões de conformidade vinculantes."
+        },
+        {
+          "q": "Como se relaciona com o checklist de governança agêntica e os regimes específicos?",
+          "a": "Este framework detém a estrutura —princípios, papéis, taxonomia e portões— e compõe o EU AI Act, ISO/IEC 42001 e NIST AI RMF e o checklist agêntico como seus controles concretos."
+        },
+        {
+          "q": "Qual é o elemento de maior alavancagem?",
+          "a": "Um portão exigível mais um responsável nomeado por sistema. A política não exigida é contornada em um trimestre, e a propriedade difusa significa que ninguém responde quando um sistema falha."
+        }
+      ]
+    }
+  }
+}

package/content/governance/eu-ai-act.json

@@ -0,0 +1,162 @@
+{
+  "id": "GOV-001",
+  "slug": "eu-ai-act",
+  "category": "regulation",
+  "updated": "2026-06-21",
+  "version": "1.0",
+  "featured": true,
+  "evidence": {
+    "evidenceLevel": "industry_observation",
+    "confidenceLevel": "high",
+    "sourceType": ["paper", "industry_observation"]
+  },
+  "frameworks": ["EU AI Act"],
+  "patterns": ["human-approval-gate"],
+  "knowledge": ["ai-governance", "guardrails", "human-in-the-loop", "ai-observability"],
+  "references": [
+    { "title": "European Union — Artificial Intelligence Act (Regulation (EU) 2024/1689)", "url": "https://artificialintelligenceact.eu/" },
+    { "title": "EU AI Act — Article 14 (Human oversight)", "url": "https://artificialintelligenceact.eu/article/14/" },
+    { "title": "European Commission — AI Act overview", "url": "https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai" }
+  ],
+  "related": ["iso-42001", "nist-ai-rmf", "agentic-ai-governance-checklist"],
+  "locales": {
+    "en": {
+      "name": "EU AI Act",
+      "summary": "The EU AI Act is the European Union's comprehensive, risk-based law for artificial intelligence. It sorts AI systems into risk tiers — unacceptable (banned), high-risk (strict obligations), limited-risk (transparency duties) and minimal-risk — and adds specific obligations for general-purpose AI models. It applies extraterritorially to anyone placing AI on the EU market and phases in over several years, with penalties reaching up to 7% of global annual turnover for the most serious breaches.",
+      "definition": "The EU AI Act is a horizontal European regulation that governs AI by risk tier, imposing obligations on providers and deployers proportional to the risk an AI system poses to health, safety and fundamental rights.",
+      "scope": "Providers and deployers that place AI systems or general-purpose AI models on the EU market or whose output is used in the EU — regardless of where they are established. Some uses (e.g. purely personal, certain research) are out of scope.",
+      "keyPoints": [
+        "Risk-based tiers: unacceptable (prohibited), high-risk, limited-risk (transparency), minimal-risk.",
+        "Prohibited practices include social scoring and certain biometric and manipulative uses.",
+        "High-risk systems require risk management, data governance, technical documentation, logging, human oversight, accuracy/robustness and post-market monitoring.",
+        "General-purpose AI (GPAI) models carry their own transparency and, for systemic-risk models, additional obligations.",
+        "Transparency duties: users must be told when they interact with AI, and synthetic content must be marked.",
+        "Phased application with significant penalties for non-compliance."
+      ],
+      "controls": [
+        { "control": "Risk classification", "note": "Determine each system's tier first — it decides every other obligation. Misclassifying a high-risk system is the costliest early mistake." },
+        { "control": "Human oversight (Art. 14)", "note": "High-risk systems must be overseeable by a person who can intervene or stop them — the regulatory basis for human-approval gates." },
+        { "control": "Technical documentation & logging", "note": "Maintain documentation and automatic event logs so the system is traceable and auditable across its lifecycle." },
+        { "control": "Transparency to users", "note": "Disclose AI interaction and label AI-generated or manipulated content (deepfakes)." },
+        { "control": "Post-market monitoring", "note": "Monitor performance in the field and report serious incidents; governance does not end at deployment." }
+      ],
+      "checklist": [
+        "Inventory your AI systems and classify each by risk tier.",
+        "Confirm none fall under prohibited practices.",
+        "For high-risk systems, stand up risk management, data governance and technical documentation.",
+        "Implement human oversight with the ability to intervene or stop the system.",
+        "Enable logging/traceability and define post-market monitoring and incident reporting.",
+        "Add user-facing transparency and content labelling where required.",
+        "Track the phased application dates that apply to your systems."
+      ],
+      "pitfalls": [
+        "Assuming the Act doesn't apply because you're outside the EU — it is extraterritorial.",
+        "Treating GPAI obligations as identical to AI-system obligations; they are distinct.",
+        "Bolting on human oversight that can't actually intervene in time.",
+        "Under-documenting: missing technical documentation and logs is a common gap."
+      ],
+      "examples": [
+        "A hiring screening tool classified as high-risk, requiring documentation, human oversight and monitoring.",
+        "A chatbot adding a clear 'you are talking to an AI' disclosure to meet transparency duties.",
+        "A GPAI provider publishing model documentation and a training-data summary."
+      ],
+      "faqs": [
+        { "q": "Does the EU AI Act apply to companies outside the EU?", "a": "Yes. It applies to providers and deployers whose AI systems are placed on the EU market or whose output is used in the EU, regardless of where the company is established." },
+        { "q": "What is a 'high-risk' AI system?", "a": "Systems used in sensitive areas (e.g. employment, credit, critical infrastructure, certain biometrics) or as safety components of regulated products. They carry the strictest obligations short of prohibition." },
+        { "q": "How does it relate to human-in-the-loop?", "a": "Article 14 requires effective human oversight for high-risk systems — a person able to understand, intervene in or stop the system. The human-approval-gate pattern is one way to implement it." }
+      ]
+    },
+    "es": {
+      "name": "Reglamento Europeo de IA (EU AI Act)",
+      "summary": "El Reglamento Europeo de IA es la ley integral y basada en riesgo de la Unión Europea para la inteligencia artificial. Clasifica los sistemas de IA en niveles de riesgo —inaceptable (prohibido), alto riesgo (obligaciones estrictas), riesgo limitado (deberes de transparencia) y riesgo mínimo— y añade obligaciones específicas para los modelos de IA de propósito general. Se aplica de forma extraterritorial a quien comercialice IA en el mercado de la UE y entra en vigor de forma escalonada, con sanciones de hasta el 7% de la facturación anual mundial en las infracciones más graves.",
+      "definition": "El Reglamento Europeo de IA es una norma europea horizontal que gobierna la IA por nivel de riesgo, imponiendo obligaciones a proveedores y responsables del despliegue proporcionales al riesgo que el sistema supone para la salud, la seguridad y los derechos fundamentales.",
+      "scope": "Proveedores y responsables del despliegue que comercialicen sistemas de IA o modelos de IA de propósito general en el mercado de la UE o cuya salida se use en la UE, con independencia de dónde estén establecidos. Algunos usos (p. ej. puramente personales, cierta investigación) quedan fuera del ámbito.",
+      "keyPoints": [
+        "Niveles basados en riesgo: inaceptable (prohibido), alto riesgo, riesgo limitado (transparencia), riesgo mínimo.",
+        "Las prácticas prohibidas incluyen la puntuación social y ciertos usos biométricos y manipuladores.",
+        "Los sistemas de alto riesgo exigen gestión de riesgos, gobernanza de datos, documentación técnica, registros, supervisión humana, precisión/robustez y vigilancia poscomercialización.",
+        "Los modelos de IA de propósito general (GPAI) tienen su propia transparencia y, los de riesgo sistémico, obligaciones adicionales.",
+        "Deberes de transparencia: hay que avisar al usuario cuando interactúa con IA y marcar el contenido sintético.",
+        "Aplicación escalonada con sanciones significativas por incumplimiento."
+      ],
+      "controls": [
+        { "control": "Clasificación de riesgo", "note": "Determina primero el nivel de cada sistema: decide todas las demás obligaciones. Clasificar mal un sistema de alto riesgo es el error temprano más costoso." },
+        { "control": "Supervisión humana (Art. 14)", "note": "Los sistemas de alto riesgo deben poder ser supervisados por una persona que pueda intervenir o detenerlos: la base regulatoria de las puertas de aprobación humana." },
+        { "control": "Documentación técnica y registros", "note": "Mantén documentación y registros automáticos de eventos para que el sistema sea trazable y auditable durante su ciclo de vida." },
+        { "control": "Transparencia hacia el usuario", "note": "Revela la interacción con IA y etiqueta el contenido generado o manipulado por IA (deepfakes)." },
+        { "control": "Vigilancia poscomercialización", "note": "Monitoriza el rendimiento en el campo y reporta incidentes graves; la gobernanza no termina en el despliegue." }
+      ],
+      "checklist": [
+        "Inventaría tus sistemas de IA y clasifica cada uno por nivel de riesgo.",
+        "Confirma que ninguno cae en prácticas prohibidas.",
+        "Para los de alto riesgo, monta gestión de riesgos, gobernanza de datos y documentación técnica.",
+        "Implementa supervisión humana con capacidad de intervenir o detener el sistema.",
+        "Habilita registro/trazabilidad y define la vigilancia poscomercialización y el reporte de incidentes.",
+        "Añade transparencia hacia el usuario y etiquetado de contenido donde se exija.",
+        "Sigue las fechas de aplicación escalonada que afectan a tus sistemas."
+      ],
+      "pitfalls": [
+        "Suponer que el Reglamento no aplica por estar fuera de la UE: es extraterritorial.",
+        "Tratar las obligaciones de GPAI como idénticas a las de los sistemas de IA; son distintas.",
+        "Añadir una supervisión humana que en realidad no puede intervenir a tiempo.",
+        "Documentar de menos: la falta de documentación técnica y registros es una carencia habitual."
+      ],
+      "examples": [
+        "Una herramienta de cribado de candidatos clasificada como alto riesgo, que exige documentación, supervisión humana y monitorización.",
+        "Un chatbot que añade un aviso claro de 'estás hablando con una IA' para cumplir los deberes de transparencia.",
+        "Un proveedor de GPAI que publica la documentación del modelo y un resumen de los datos de entrenamiento."
+      ],
+      "faqs": [
+        { "q": "¿El Reglamento aplica a empresas fuera de la UE?", "a": "Sí. Aplica a proveedores y responsables del despliegue cuyos sistemas de IA se comercialicen en el mercado de la UE o cuya salida se use en la UE, con independencia de dónde esté la empresa." },
+        { "q": "¿Qué es un sistema de IA de 'alto riesgo'?", "a": "Sistemas usados en ámbitos sensibles (p. ej. empleo, crédito, infraestructuras críticas, ciertos usos biométricos) o como componentes de seguridad de productos regulados. Tienen las obligaciones más estrictas sin llegar a la prohibición." },
+        { "q": "¿Cómo se relaciona con el human-in-the-loop?", "a": "El Artículo 14 exige supervisión humana efectiva para los sistemas de alto riesgo: una persona capaz de entender, intervenir o detener el sistema. El patrón de puerta de aprobación humana es una forma de implementarlo." }
+      ]
+    },
+    "pt": {
+      "name": "Regulamento Europeu de IA (EU AI Act)",
+      "summary": "O Regulamento Europeu de IA é a lei abrangente e baseada em risco da União Europeia para a inteligência artificial. Classifica os sistemas de IA em níveis de risco —inaceitável (proibido), alto risco (obrigações estritas), risco limitado (deveres de transparência) e risco mínimo— e adiciona obrigações específicas para os modelos de IA de propósito geral. Aplica-se de forma extraterritorial a quem comercializa IA no mercado da UE e entra em vigor de forma faseada, com sanções de até 7% do faturamento anual mundial nas infrações mais graves.",
+      "definition": "O Regulamento Europeu de IA é uma norma europeia horizontal que governa a IA por nível de risco, impondo obrigações a fornecedores e implantadores proporcionais ao risco que o sistema representa para a saúde, a segurança e os direitos fundamentais.",
+      "scope": "Fornecedores e implantadores que comercializem sistemas de IA ou modelos de IA de propósito geral no mercado da UE ou cuja saída seja usada na UE, independentemente de onde estejam estabelecidos. Alguns usos (ex.: puramente pessoais, certa pesquisa) ficam fora do escopo.",
+      "keyPoints": [
+        "Níveis baseados em risco: inaceitável (proibido), alto risco, risco limitado (transparência), risco mínimo.",
+        "As práticas proibidas incluem a pontuação social e certos usos biométricos e manipuladores.",
+        "Os sistemas de alto risco exigem gestão de risco, governança de dados, documentação técnica, registros, supervisão humana, precisão/robustez e vigilância pós-mercado.",
+        "Os modelos de IA de propósito geral (GPAI) têm sua própria transparência e, os de risco sistêmico, obrigações adicionais.",
+        "Deveres de transparência: é preciso avisar o usuário quando ele interage com IA e marcar o conteúdo sintético.",
+        "Aplicação faseada com sanções significativas por descumprimento."
+      ],
+      "controls": [
+        { "control": "Classificação de risco", "note": "Determine primeiro o nível de cada sistema: ele decide todas as demais obrigações. Classificar mal um sistema de alto risco é o erro inicial mais custoso." },
+        { "control": "Supervisão humana (Art. 14)", "note": "Os sistemas de alto risco devem poder ser supervisionados por uma pessoa que possa intervir ou pará-los: a base regulatória dos portões de aprovação humana." },
+        { "control": "Documentação técnica e registros", "note": "Mantenha documentação e registros automáticos de eventos para que o sistema seja rastreável e auditável ao longo do seu ciclo de vida." },
+        { "control": "Transparência ao usuário", "note": "Revele a interação com IA e rotule o conteúdo gerado ou manipulado por IA (deepfakes)." },
+        { "control": "Vigilância pós-mercado", "note": "Monitore o desempenho em campo e reporte incidentes graves; a governança não termina na implantação." }
+      ],
+      "checklist": [
+        "Inventarie seus sistemas de IA e classifique cada um por nível de risco.",
+        "Confirme que nenhum cai em práticas proibidas.",
+        "Para os de alto risco, monte gestão de risco, governança de dados e documentação técnica.",
+        "Implemente supervisão humana com capacidade de intervir ou parar o sistema.",
+        "Habilite registro/rastreabilidade e defina a vigilância pós-mercado e o reporte de incidentes.",
+        "Adicione transparência ao usuário e rotulagem de conteúdo onde for exigido.",
+        "Acompanhe as datas de aplicação faseada que afetam seus sistemas."
+      ],
+      "pitfalls": [
+        "Supor que o Regulamento não se aplica por estar fora da UE: ele é extraterritorial.",
+        "Tratar as obrigações de GPAI como idênticas às dos sistemas de IA; são distintas.",
+        "Adicionar uma supervisão humana que na verdade não consegue intervir a tempo.",
+        "Documentar de menos: a falta de documentação técnica e registros é uma lacuna comum."
+      ],
+      "examples": [
+        "Uma ferramenta de triagem de candidatos classificada como alto risco, que exige documentação, supervisão humana e monitoramento.",
+        "Um chatbot que adiciona um aviso claro de 'você está falando com uma IA' para cumprir os deveres de transparência.",
+        "Um fornecedor de GPAI que publica a documentação do modelo e um resumo dos dados de treinamento."
+      ],
+      "faqs": [
+        { "q": "O Regulamento se aplica a empresas fora da UE?", "a": "Sim. Aplica-se a fornecedores e implantadores cujos sistemas de IA sejam comercializados no mercado da UE ou cuja saída seja usada na UE, independentemente de onde a empresa esteja." },
+        { "q": "O que é um sistema de IA de 'alto risco'?", "a": "Sistemas usados em áreas sensíveis (ex.: emprego, crédito, infraestrutura crítica, certos usos biométricos) ou como componentes de segurança de produtos regulados. Têm as obrigações mais estritas aquém da proibição." },
+        { "q": "Como se relaciona com o human-in-the-loop?", "a": "O Artigo 14 exige supervisão humana efetiva para os sistemas de alto risco: uma pessoa capaz de entender, intervir ou parar o sistema. O padrão de portão de aprovação humana é uma forma de implementá-lo." }
+      ]
+    }
+  }
+}