/aia-generation

/aia-generation

1. Ler ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md. Confirmar que o house style de avaliação de impacto está preenchido.
2. Determinar trilha de risco (rápida ou completa) a partir do nível de governança e das características do caso de uso, usando o framework abaixo.
3. Rodar intake — conversacional, não formulário.
4. Classificação regulatória para cada regime no escopo — nível de risco, exposição a prática proibida, e obrigações aplicáveis; citar fontes primárias.
5. Escrever avaliação no house style (da avaliação-semente, ou padrão se nenhuma foi capturada).
6. Diff de política contra os compromissos de IA em ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md.
7. Output: documento de avaliação + lista de condições + flags de handoff (RIPD de privacidade, revisão de fornecedor se necessário).

/ai-governance-legal:aia-generation "Triagem de currículo por IA para RH"

---

Contexto de matéria

Contexto de matéria. Verificar ## Matter workspaces no CLAUDE.md de prática. Se Enabled for ✗ (padrão para usuários in-house), pular o resto deste parágrafo — skills usam contexto de nível de prática e a máquina de matters é invisível. Se habilitado e não há matter ativo, perguntar: "Para qual matter é isso? Rode /ai-governance-legal:matter-workspace switch <slug> ou diga practice-level." Carregar o matter.md do matter ativo para contexto e overrides específicos. Escrever outputs na pasta do matter em ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/matters/<matter-slug>/. Nunca ler arquivos de outro matter a menos que Cross-matter context esteja on.

---

Propósito

Uma AIA (avaliação de impacto de sistema de IA) é uma decisão documentada, não um formulário. Responde: o que esse sistema de IA faz, como chega às suas saídas, quem é afetado se errar, qual a supervisão, e se está OK implantar. Essa skill estrutura essa conversa e escreve o output no formato deste time — o aprendido da avaliação-semente durante o cold-start.

Uma AIA não é o mesmo que uma RIPD (Relatório de Impacto à Proteção de Dados Pessoais, LGPD Art. 38). A RIPD descreve os tipos de dados coletados, a metodologia de coleta e de segurança, e a análise das medidas de mitigação de risco; a ANPD pode determinar ao controlador que a elabore. [verified: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709compilado.htm] A AIA pergunta se o sistema de IA é projetado e implantado de forma responsável. Frequentemente precisam rodar em paralelo; não são substitutas uma da outra. Se o sistema envolve dado pessoal, a RIPD é obrigatória sob a LGPD independentemente do destino do PL 2338/2023 — trate a RIPD como piso mínimo, não como bônus.

Carregar house style

Ler ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md → ## Impact assessment house style. Isso tem:

• O que dispara uma avaliação de impacto nesta empresa
• O template de estrutura extraído da avaliação-semente
• Profundidade típica
• Quem assina

Se a estrutura-semente está em ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md, use-a. O objetivo é que essa avaliação se pareça com as outras avaliações que esse time produz.

Escopo jurisdicional. Esta avaliação aplica os regimes regulatórios listados em ## Regulatory footprint em ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md — tipicamente LGPD (nacional, sempre aplicável quando há dado pessoal), PL 2338/2023 (se/quando sancionado — status legislativo instável), e regulação setorial (Res. CMN/BCB 4.658 para instituições financeiras, RDC Anvisa 657/2022 para SaMD, regras CVM para robo-advisors). Se este sistema é (ou será) implantado fora desse escopo — por exemplo, com transferência internacional de dados ou operação em outro país — ou há questão de conflito de leis em jogo, esta análise pode não se aplicar como está — re-rodar ou expandir o escopo.

---

Passo 0: Uma avaliação de impacto é necessária?

Verificar os critérios de gatilho em ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md.

Verificar também isso, independentemente:

• Essa IA toma ou influencia materialmente uma decisão que afeta uma pessoa (emprego, crédito, acesso, precificação, moderação de conteúdo)?
• Essa IA trata dado pessoal sobre indivíduos? (Se sim → LGPD Art. 20 se aplica independentemente do PL 2338/2023.)
• É um sistema de IA voltado a cliente, não puramente interno?
• Essa IA usa modelo de terceiro onde a empresa é operadora/implementadora?
• O caso de uso está no nível de governança elevado ou alto por ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md?

Se nenhum dos itens acima e o gatilho da casa não é atendido:

"Não parece que isso precise de uma AIA completa. Aqui vai um registro de um parágrafo pro arquivo explicando por quê — caso alguém pergunte depois."

---

Passo 1: Trilha de risco

Antes do intake, determinar qual trilha rodar. As definições de nível e os critérios de trilha rápida vêm de ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md (## Use case registry e ## Governance tiers), não de um framework hardcoded de um regime específico.

Pesquisar o framework de classificação de risco aplicável para cada regime no escopo regulatório do usuário:

• LGPD Art. 20 — direito à revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem os interesses do titular (incluídas as destinadas a definir perfil pessoal, profissional, de consumo e de crédito). O requisito legal é que a decisão seja tomada unicamente de forma automatizada — não basta ser "automatizada". [verified: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709compilado.htm]
• PL 2338/2023 — propõe taxonomia de risco (excessivo/proibido, alto risco, risco geral), similar em espírito ao AI Act europeu mas com texto ainda em tramitação. [verificar status atual — pode ter sido sancionado, alterado, ou ainda pendente de votação].
• Setorial — Res. CMN/BCB 4.658 trata gestão de risco em instituições financeiras (inclui scoring de crédito por IA); RDC Anvisa 657/2022 classifica SaMD por classe de risco; CVM tem regras específicas para robo-advisors.

Não presumir que sistema só-interno está fora de escopo — LGPD trata dado de empregado como dado pessoal, e monitoramento de empregado é consequencial. Verificar a regra específica (CLT + LGPD).

Sem suplementação silenciosa. Se uma consulta à ferramenta de pesquisa jurídica configurada (site do Planalto, ANPD, BCB, Anvisa, CVM, ou plataforma do escritório) retornar poucos ou nenhum resultado para os níveis de risco ou gatilhos de um regime, reportar o que foi encontrado e parar. NÃO preencher a lacuna com busca web ou conhecimento do modelo sem perguntar. Dizer: "A busca retornou [N] resultados de [ferramenta]. Cobertura parece rasa para [regime/tópico]. Opções: (1) ampliar a query, (2) tentar outra ferramenta de pesquisa, (3) buscar na web — resultados serão marcados [busca web — verificar] e devem ser checados contra a autoridade emissora antes de confiar, ou (4) marcar como não verificado e parar. Qual você prefere?" O advogado decide se aceita fontes de confiança mais baixa.

Tiering de atribuição de fonte. Marcar toda citação na AIA — texto regulatório, resolução, guia, norma técnica — com sua fonte. Para citações de conhecimento do modelo, usar um dos três níveis:

• [consolidado] — referências estatutárias/regulatórias estáveis e bem conhecidas, com baixa chance de mudança (ex.: LGPD Art. 20 como conceito, existência da Lei 8.906/1994). Ainda verificar antes de certificar, mas prioridade menor.
• [verificar] — citações de conhecimento do modelo reais mas que devem ser verificadas: resoluções específicas de BCB/CMN, guias da ANPD, dispositivos do PL 2338/2023, normas ABNT, e qualquer coisa pós-2023.
• [verificar-pinpoint] — citações pinpoint (número de artigo específico, referência de anexo, subseção) carregam o maior risco de fabricação e devem SEMPRE ser verificadas contra fonte primária. Números de artigo do PL 2338/2023 em particular mudam a cada substitutivo — verificar toda citação pinpoint contra o texto mais recente tramitando na Câmara/Senado.

Citações vindas de ferramenta mantêm sua tag de fonte ([ANPD], [Planalto], [site do regulador], ou o nome da ferramenta MCP); citações de busca web permanecem [busca web — verificar]; citações fornecidas pelo usuário permanecem [fornecido pelo usuário]. Nunca remover ou colapsar as tags.

Para usuários não-advogados, datas incertas vão em lista de confirmação, não inline. Ler ## Who's using this em ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md. Se Role é Não-advogado e uma data, prazo, ou threshold é incerto (carregaria [verificar] ou [verificar-pinpoint] inline), substituir a afirmação inline por "data de vigência: confirmar com advogado(a)" e coletar todos os itens incertos numa seção final da AIA titulada:

Coisas que não tenho certeza — peça para seu advogado(a) confirmar antes de confiar nisto:

Listar cada item incerto com (1) o que eu disse, (2) do que não tenho certeza, (3) por que importa para a avaliação. Usuários com role Advogado recebem o tratamento [verificar] inline — eles sabem o que a tag significa.

Trilha rápida vs. avaliação completa: ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md define o que qualifica para tratamento abreviado. Se não define critérios de trilha rápida, default para avaliação completa e perguntar ao usuário quais critérios ele quer capturar para a próxima vez.

Na dúvida, rodar a avaliação completa. Uma trilha rápida que se prova errada é pior que uma avaliação completa em algo de baixo risco.

---

Passo 2: Intake

Antes de escrever qualquer coisa, obter respostas para isso. Conversacional está bom — isso não é formulário para enviar.

O sistema

• O que a IA faz? Descrever em linguagem simples, não copy de marketing.
• Qual modelo ou fornecedor potencializa isso? Fine-tuned ou pronto de fábrica?
• Onde fica no fluxo de trabalho — é assistiva (humano revisa output), aumentativa (humano pode sobrepor mas geralmente não faz), ou automatizada (sem humano no loop)?
• Qual é o output — texto gerado, uma pontuação, uma classificação, uma recomendação, uma ação?

Quem é afetado

• Sobre quem age o output da IA — empregados, clientes, terceiros?
• Se a IA produz um erro (falso positivo, falso negativo, alucinação), quem sofre o dano e qual o pior caso realista?
• Algum grupo vulnerável está desproporcionalmente no escopo — menores, candidatos a emprego, pessoas em dificuldade financeira, pacientes?

Entradas e dados

• Que dado a IA recebe?
• Recebe dado pessoal? De quem?
• O modelo foi treinado com dado desta empresa, ou é modelo de fundação sem treino específico da empresa?
• Para onde vai o dado de entrada — sai do perímetro para API de modelo de terceiro?

Decisões e supervisão

• O output da IA dispara uma ação automaticamente, ou um humano decide o que fazer com o output?
• Se há revisão humana: com que frequência o humano de fato muda o output da IA? (Se a resposta é "raramente" — o humano não está revisando de verdade; está carimbando.)
• Há processo de recurso ou correção para pessoas afetadas pelos outputs da IA? (LGPD Art. 20 garante isso quando a decisão é tomada unicamente com base em tratamento automatizado e afeta interesses do titular.) [verified: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709compilado.htm]
• Quem é responsável pelos outputs do sistema de IA — há um dono nomeado?

Acurácia e falha

• Qual a taxa de erro conhecida ou estimada? Que teste foi feito?
• O que acontece quando a IA erra — o erro é exposto, logado, corrigido?
• Foi feito teste de viés? Contra quais grupos demográficos?

Estágio de implantação e escala

Perguntar:

• Estágio: "Esse sistema está (a) proposto e ainda não construído, (b) em piloto, (c) vivo em produção, ou (d) vivo e escalado?"
• Escala: "Aproximadamente quantos indivíduos são afetados por [mês/ano]? Há quanto tempo está rodando?"
• Histórico: "Já foi avaliado antes? Já produziu decisões contestadas, recorridas, ou revertidas?"

Estágio muda a avaliação: sistema proposto recebe revisão de design (dá pra construir com segurança?). Piloto recebe revisão de design mais um gate "antes de escalar". Sistema vivo recebe checagem retrospectiva de impacto (já causou dano?) E revisão prospectiva. Sistema vivo e escalado recebe tudo isso mais um plano de remediação se problemas forem achados, porque não dá simplesmente para desligar.

---

Passo 3: Classificação regulatória

Pré-checagem do Passo 3 — atualidade do escopo. Antes de iterar sobre o ## Regulatory footprint capturado, comparar a população afetada e o tipo de decisão do caso de uso (do Passo 2) contra o escopo como está escrito. O escopo foi definido no cold-start, com base na postura operacional da empresa naquele momento. Se o caso de uso introduz uma população afetada (ex.: menores, empregados em novo estado, titulares de dados fora do Brasil) ou um tipo de decisão (ex.: contratação, crédito, diagnóstico de saúde, infraestrutura crítica) que o escopo não contempla, re-derivar os regimes aplicáveis em vez de iterar sobre a lista desatualizada.

Dizer ao usuário:

"O escopo regulatório do perfil de prática foi definido para [populações afetadas / tipos de decisão capturados no cold-start]. Esse caso de uso afeta [nova população ou tipo de decisão — ex.: empregados, menores, decisão de crédito, identificação biométrica], que não está no escopo capturado. Vou re-derivar os regimes aplicáveis a partir das jurisdições operacionais da empresa e do tipo de decisão deste caso de uso, em vez de usar o escopo desatualizado. Se este caso de uso é representativo de trabalho que você espera ver mais, atualize ## Regulatory footprint ao fim desta rodada para a próxima AIA não precisar re-derivar."

Um erro comum: o escopo lista LGPD + PL 2338/2023, e o caso de uso é um sistema de contratação com componente biométrico (reconhecimento facial em entrevista). O escopo não tem entrada para dado biométrico, então iterar sobre ele silenciosamente perde a qualificação de dado biométrico como dado sensível (LGPD Art. 5º, II) com regras de tratamento mais rígidas, e possível sobreposição com CLT sobre monitoramento de empregado.

Um segundo erro: o escopo foi definido antes de um regime que agora importa existir ou entrar em vigor (ex.: PL 2338/2023 sancionado após o cold-start). Se a re-derivação revela um regime fora do escopo, sinalizar na seção de recomendação do output, citar a autoridade, e recomendar atualizar o escopo.

Para cada regime em ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md → ## Regulatory footprint que se aplica a esse sistema — mais qualquer regime revelado pela re-derivação acima — pesquisar o framework de classificação de risco atualmente vigente e determinar onde o sistema se enquadra.

Tarefas de pesquisa:

• Qual a taxonomia de nível do próprio regime (ex.: excessivo/proibido, alto risco, risco geral para PL 2338/2023; decisão automatizada para LGPD Art. 20; classe de risco para RDC Anvisa)?
• Quais os critérios de cada nível? Citar fontes primárias com referência pinpoint.
• Em qual nível esse sistema se enquadra dada sua função, partes afetadas, e consequencialidade da decisão?
• Há práticas proibidas que o sistema possa tocar (ex.: scoring social, manipulação subliminar, exploração de vulnerabilidade)? Tratar qualquer possível correspondência como crítica — sinalizar imediatamente.
• Há obrigações de transparência que se aplicam independente do nível (aviso de que o usuário interage com IA, rotulagem de conteúdo gerado por IA, notificação a pessoas sujeitas a decisão automatizada — LGPD Art. 20 § único)?
• Se a empresa é fornecedora/desenvolvedora de modelo de propósito geral, que obrigações de nível-fornecedor se aplicam (documentação técnica, transparência de dado de treino, conformidade de direito autoral)?
• Algum regime no escopo exige avaliação de impacto de direitos fundamentais separada? Verificar se o PL 2338/2023, na versão em tramitação, mantém exigência equivalente ao FRIA do AI Act europeu para certos usos de alto risco. Se sim, sinalizar como entregável separado na recomendação e condições — não tratar esta AIA como substituta.
• A RIPD (LGPD Art. 38) é exigida em paralelo? Sempre que há dado pessoal envolvido, sim — independente do resultado da classificação de risco de IA.

Não presumir que sistema só-interno está fora de escopo — LGPD trata dado de empregado como dado pessoal, e monitoramento de empregado é consequencial. Verificar a regra específica.

Split fornecedor-vs-operador (quando AI role: Both). Se ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md → ## Company profile → AI role for Both (a empresa é fornecedora/desenvolvedora E operadora/implementadora), a Seção 6 DEVE incluir uma tabela de mapeamento fornecedor-vs-operador por regime. A maioria dos regimes impõe obrigações materialmente diferentes para fornecedores versus operadores — colapsar em uma lista única perde obrigações e confunde riscos. Produzir, por regime:

Se uma classificação de alto risco (ou equivalente) se aplicar: Sinalizar na avaliação, citando o dispositivo e regime específicos. Notar que esta AIA documenta a revisão interna mas não substitui nenhuma avaliação formal de conformidade que o regime exija. Recomendar revisão jurídica externa antes de implantação.

Capturar a classificação e a autoridade citada no output da avaliação.

---

Passo 4: Escrever a avaliação

Usar a estrutura-semente de ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md. Se nenhuma foi capturada, usar este padrão:

[CABEÇALHO DE PRODUTO DE TRABALHO — conforme config do plugin ## Outputs — difere por role; ver `## Who's using this`]

# Avaliação de Impacto de IA: [Nome do Sistema/Funcionalidade]

**Preparado por:** [nome] | **Data:** [data] | **Status:** RASCUNHO / APROVADO
**Dono do sistema:** [nome] | **Revisor de governança de IA:** [nome]
**Nível de governança:** [Padrão / Elevado / Alto]
**Trilha:** [Rápida / Avaliação completa]

---

## Resumo executivo

[Duas frases: o que essa IA faz e se está OK implantar. Ex.: "Este sistema usa
LLM de terceiro para redigir respostas iniciais a tickets de suporte antes de
revisão por agente humano. Tratamento consistente com a política de IA da
empresa; três condições exigidas antes de implantação em produção."]

**Risco geral:** 🟢 Baixo / 🟡 Médio / 🟠 Alto / 🔴 Muito alto

---

## 1. Descrição do sistema

**O que faz:** [português simples — não marketing]
**Modelo / fornecedor:** [quem fornece a IA]
**Modo de implantação:** [Assistiva / Aumentativa / Automatizada]
**Tipo de output:** [texto / pontuação / classificação / recomendação / ação]
**Status:** [Não iniciado / Piloto / Produção]

---

## 2. Partes afetadas

**Sobre quem age:** [empregados / clientes / terceiros]
**Escala:** [quantas pessoas, com que frequência]
**Dano se errado:** [pior caso mais realista — específico, não genérico]
**Grupos vulneráveis no escopo:** [sim — [quem] / não]

---

## 3. Entradas de dados

**Categorias de dado usadas:** [campos específicos, não "dado de usuário"]
**Dado pessoal:** [sim — [de quem] / não]
**Dado sensível (LGPD Art. 5º, II)?** [sim — [qual categoria] / não]
**Dado sai do perímetro?** [sim — para [fornecedor] / não]
**Treino do modelo:** [dado da empresa usado / modelo de fundação / fine-tuned em [dataset]]

---

## 4. Tomada de decisão e supervisão

**Humano no loop:** [Sempre / Nominalmente (risco de carimbo) / Não]
**Mecanismo de override:** [como humano pode intervir ou corrigir]
**Recurso / correção para partes afetadas (LGPD Art. 20):** [sim — [como] / não]
**Dono nomeado:** [nome ou cargo]

---

## 5. Acurácia e viés

**Taxa de erro:** [conhecida / estimada / não testada]
**Modo de falha:** [o que acontece quando erra — exposto? logado? corrigido?]
**Teste de viés:** [feito — [resultados] / não feito / não aplicável]

---

## 6. Classificação regulatória

*[Uma subseção por regime no escopo regulatório aplicável a este sistema.]*

**Regime:** [nome — ex.: LGPD, PL 2338/2023, Res. CMN/BCB 4.658, RDC Anvisa 657/2022]
**Classificação sob esse regime:** [nível, com citação pinpoint ao dispositivo controlador]
**Práticas proibidas acionadas:** [nenhuma identificada / [dispositivo específico e por quê]]
**Obrigações aplicáveis:** [lista pesquisada com citações — transparência, documentação, supervisão humana, teste, registro, etc.]
**RIPD (LGPD Art. 38) exigida em paralelo?** [Sim / Não]
**Avaliação de impacto de direitos fundamentais exigida?** [Sim — regime equivalente / Não / Não aplicável. Se sim, entregável separado, não subsumido por esta AIA.]
**Data de vigência / fiscalização:** [data(s)]
**Ambiguidade ou interpretação aberta:** [sinalizar qualquer coisa ainda não assentada]

**Split de obrigação fornecedor-vs-operador (obrigatório se `AI role: Both`):**

| Obrigação | Como fornecedor | Como operador |
|---|---|---|
| [obrigação específica + citação pinpoint] | [o que se aplica / não se aplica] | [o que se aplica / não se aplica] |

---

## 7. Consistência com a política de IA

| Compromisso de política | Consistente? | Notas |
|---|---|---|
| [compromisso da seção de política de IA em `~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md`] | 🟢 / 🟡 / 🟠 / 🔴 | |

[Se algum item é 🟡 ou pior: atualização de política necessária antes da
implantação, ou o design precisa mudar. Um dos dois tem que mudar — não os dois
sinalizados e deixados em aberto.]

---

## 8. Riscos e mitigações

| # | Risco | Probabilidade | Impacto | Mitigação | Status | Dono |
|---|---|---|---|---|---|---|
| 1 | [risco específico atrelado a este design — não "alucinação de IA" genericamente] | B/M/A | B/M/A | [controle específico] | Feito / Planejado / Gap | [nome] |

**Risco residual após mitigações:** [avaliação]

---

## 9. Recomendação

**[APROVADO / APROVADO COM CONDIÇÕES / MUDANÇAS EXIGIDAS / NÃO APROVADO]**

**Condições (se houver):**
- [ ] [ação específica antes da implantação — dono, prazo]

**Revisão de privacidade exigida?** [Sim — rodar `/privacy-legal:pia-generation` (RIPD), se o plugin estiver instalado / Não]

**Assinatura:** [nome, data]

---

## Checagem de citação

Citações regulatórias na Seção 6 (e em qualquer outra) foram geradas por modelo de
IA e não foram verificadas contra fontes primárias. Antes da avaliação ser
certificada ou usada como base, rodar uma verificação contra ferramenta de pesquisa
jurídica (site do Planalto, ANPD, BCB, Anvisa, CVM, ou plataforma do escritório)
para cada dispositivo citado — confirmar pinpoint, vigência, e qualquer resolução
ou instrução normativa complementar. O cenário regulatório de IA no Brasil muda
rápido (PL 2338/2023 ainda em tramitação) — verificar antes de aconselhar. Tags de
fonte em cada citação (ex.: `[ANPD]`, `[busca web — verificar]`) mostram de onde
veio; tags `verificar` carregam risco de fabricação maior e devem ser checadas
primeiro.

Antes de certificar a AIA (o passo de Assinatura, marcando Status: APROVADO): Ler ## Who's using this em ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md. Se o Role é Não-advogado:

Certificar esta AIA tem consequências jurídicas — vira o registro que a empresa usa se um regulador (ANPD) ou parte afetada perguntar como esse caso de uso foi avaliado. Você revisou isso com advogado(a)? Se sim, prosseguir. Se não, aqui vai um resumo para levar a ele(a):

[Gerar resumo de 1 página: o sistema, a classificação regulatória, os riscos identificados, as mitigações em vigor, risco residual, questões em aberto, o que perguntar ao(à) advogado(a) antes de certificar.]

Se precisar encontrar advogado(a): o serviço de indicação da OAB da sua seccional é o ponto de partida mais rápido.

Não prosseguir além desse gate sem um sim explícito. Avaliações RASCUNHO para revisão de advogado não exigem o gate — a certificação sim.

---

Padrões de qualidade de risco

Mesmo padrão da skill de RIPD/PIA — riscos devem ser específicos e atrelados ao design.

Buscar 2-5 riscos reais, não 12 preenchidos por preenchimento.

---

Diff de política de IA

Toda avaliação deve cruzar contra os compromissos de política de IA em ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md. Desvio comum:

• Política proíbe uso de IA em [categoria] — este caso de uso é essa categoria. Parar.
• Política exige revisão humana — esta implantação não tem passo humano. Design precisa mudar.
• Política exige divulgação às partes afetadas — mecanismo de divulgação não foi construído.
• Lista de fornecedores aprovados existe — este fornecedor não está nela. Passo de procurement exigido.

Sinalizar todo desalinhamento. Um dos dois tem que mudar antes da implantação.

---

Handoffs

• Para produto / engenharia: Lista de condições com donos e prazos. Não "adicionar supervisão" — "adicionar passo de revisão humana antes de qualquer e-mail automatizado ser enviado, dono: [líder de produto], antes do lançamento."
• Para privacidade: Se dado pessoal está envolvido, sinalizar: "Rodar /privacy-legal:pia-generation [nome do sistema] em paralelo, se o plugin estiver instalado — a AIA não substitui a RIPD."
• Para vendor-ai-review: Se um novo fornecedor está envolvido, sinalizar: "Se não há aditivo de IA revisado para [fornecedor], rodar /ai-governance-legal:vendor-ai-review antes de produção."
• Para reg-gap-analysis: Se novas obrigações regulatórias surgiram (PL 2338/2023 sancionado, nova regra setorial), essa skill rastreia o gap.

---

Fechar com a árvore de decisão de próximos passos

Terminar com a árvore de decisão de próximos passos conforme CLAUDE.md ## Outputs. Customizar as opções para o que essa skill acabou de produzir — os cinco ramos padrão (rascunhar o X, escalar, buscar mais fatos, aguardar e observar, outra coisa) são ponto de partida, não travamento. A árvore é o output; o(a) advogado(a) escolhe.

O que esta skill não faz

• Não aprova a implantação. Um humano assina a avaliação.
• Não constitui nenhuma avaliação formal de conformidade regulatória — onde um regime (ex.: PL 2338/2023, se sancionado) exigir avaliação formal de conformidade, isso é exercício separado exigindo revisão jurídica externa e documentação técnica além do que está aqui.
• Não desenha as mitigações. Descreve o que precisa mitigar; engenharia desenha o conserto.
• Não substitui a RIPD quando dado pessoal está envolvido. Rodar as duas.