Registo de IA

A pegnitz.city revela onde a inteligência artificial (IA) é utilizada nas funções documentadas. Este registo público de IA é a nossa autoavaliação atual e apoia a transparência nos termos do Art. 50.º do Regulamento europeu de IA (EU AI Act); não é uma certificação jurídica nem uma auditoria independente. Para cada função descrita abaixo indicamos finalidade, base de dados, modelo, controlo humano e registo. Onde uma função é retida do público ou uma prova ainda está em aberto, declaramo-lo. A classificação é reexaminada sempre que uma função muda substancialmente.

Operador e responsabilidade

Classificação de riscos

Classificação de riscos (EU AI Act). Segundo a nossa autoavaliação atual, não vinculativa, classificamos as funções aqui descritas predominantemente como funções de risco limitado com obrigações de transparência. As funções centrais publicadas geram indicações, resumos, propostas de planeamento ou voz sintética; não decidem sobre o acesso a serviços públicos essenciais e não tomam nenhuma decisão com efeito jurídico sobre pessoas individuais. A verificação de fontes, a aprovação editorial, os travões de segurança e a divulgação diferem por função e por isso são descritos individualmente abaixo. A verificação de segurança do mentor classifica sinais de perigo apenas para a vez atual e não guarda texto em claro ao fazê-lo; como tais sinais podem tocar categorias especiais nos termos do Art. 9.º do RGPD, permanece documentada separadamente. O registo apoia o objetivo de transparência do Art. 50.º, mas não substitui uma avaliação jurídica ou regulamentar definitiva. Práticas proibidas como a pontuação social ou a identificação biométrica à distância não fazem parte do âmbito de publicação documentado.

Funções de IA nesta plataforma

Tradução e análise do catálogo público da interface durante a criação

Finalidade: Grok, Codex, GLM 5.3 e Ox Alpha Free podem traduzir e analisar linguisticamente textos fixos da interface redigidos pela Crew antes de um novo idioma ser disponibilizado. Durante a apresentação de uma página não ocorre qualquer chamada a um modelo.

Dados e limites: A tarefa enviada é reconstruída a partir de uma lista positiva fechada: textos alemães do catálogo provenientes do repositório, glossário, indicações sobre o registo linguístico e nomes de marcadores ICU não resolvidos. Sem nomes de pessoas privadas, dados de contacto, contribuições de cidadãos, sonhos, memórias do mentor, dados de sessão, extratos da base de dados ou registos. Antes de cada chamada externa, um controlo fail-closed analisa todo o lote; uma ocorrência mantém todo o lote no dispositivo.

Modelos: Exclusivamente as portas de subscrição Plane A já autorizadas Grok (xAI), Codex (OpenAI), GLM 5.3 (Z.AI) e Ox Alpha Free (porta de entrada OpenCode Zen, Anomaly Innovations, Inc., EUA; subprocessor secreto não nomeado; segundo o fornecedor alojamento nos EUA, zero retenção e sem treino — sem DPA nos nossos documentos, a mesma classe de lacuna honesta que a Z.AI; nunca «UE» nem «adequação»). É autorizado exatamente um ID de modelo (x-preview-f-free); qualquer outro modelo gratuito Zen, segundo o fornecedor, treina ou regista, e fica excluído. Um fornecedor desconhecido ou uma classe de dados desconhecida é recusada. A inferência para cidadãos, mentor, sonhos, crianças e crises continua exclusivamente local na UE na infraestrutura própria Ollama.

Controlo humano: Os modelos podem traduzir e analisar, mas não autorizar. Uma análise externa termina no estado «analisado por IA, à espera de uma pessoa». Apenas uma decisão humana registada pode definir o estado como «autorizado»; a disponibilização de um idioma continua a ser um passo humano e do Board separado.

Regra de recurso: Uma ocorrência repetida no controlo de proteção, uma violação da proveniência do catálogo, um novo fornecedor ou uma nova classe de dados encerra a autorização externa para os textos afetados. Volta então a aplicar-se: local na UE ou nenhuma execução.

Pré-planeamento do sonho com o mentor em primeiro lugar («o seu sonho»)

Finalidade: Quando descreve um sonho para Pegnitz, primeiro um mentor privado o ajuda a afiná-lo. Depois de três passos no máximo pode fixar o sonho pré-planeado; só depois uma projeção analisada entra em revisão, investigação e possíveis operações.

Dados e fontes: O seu texto de visão introduzido livremente (limitado a 2000 caracteres), opcionalmente um pedido de refinamento e o plano até agora; apenas para utilizadores com sessão iniciada. NOVO desde 15.08.2026: antes do planeamento, a cidade procura o seu sonho no SEU próprio conhecimento verificado — o texto do seu sonho serve como pesquisa na projeção de conhecimento já publicada (a mesma função que a resposta de conhecimento da cidade utiliza), e os nós encontrados são entregues ao modelo como factos. Esta procura corre inteiramente EM PROCESSO na máquina local da UE: uma leitura de ficheiro, uma ordenação puramente computacional e os vetores Xenova locais — nenhuma chamada de rede, nenhum serviço externo, nenhuma transmissão do seu sonho a um fornecedor. Ficam excluídos a parte de autodescrição do código-fonte do grafo, os perfis da Crew e os sonhos de outras pessoas. Se a cidade não encontra nada ou é demasiado lenta, no prompt consta explicitamente que nada foi procurado — um bloco vazio nunca é apresentado como investigação. Além disso, as condições enquadradoras de uma pequena cidade francónica (~13.600 habitantes) dadas no prompt. Nenhuma base de dados externa de dados pessoais.

Modelo (com país de alojamento): Inferência local na UE, autoalojada, no hardware próprio da XBANQ® GmbH — gemma4:31b-mlx no Mac Studio em Pegnitz (Alemanha), alcançado através de um túnel privado encriptado; um segundo endpoint local na UE (Hetzner, Nuremberga, Alemanha) serve apenas como HOST de recurso. HONESTO, e tornado preciso desde 15.08.2026: já NÃO há substituição de modelo — o seu sonho é planeado pelo modelo que esta cidade verificou para o efeito, ou não é planeado e nós dizemo-lo. Para menores com consentimento válido dos responsáveis legais é antes fixado o modelo infantil verificado (também local na UE); um fornecedor fora da UE está bloqueado de forma rígida neste caminho (fail-closed, sem recurso GLM/EUA para conteúdos dos cidadãos). A resposta é transmitida em streaming via SSE.

Classe de risco: Segundo a nossa autoavaliação atual: risco limitado / obrigação de transparência (Art. 50.º) — gera uma proposta de planeamento não vinculativa, nenhuma decisão com efeito jurídico; nenhuma avaliação do acesso a serviços públicos.

Controlo humano: Uma pessoa ao volante, e desde 15.08.2026 à letra: o próprio pode REESCREVER o plano proposto — os seus passos alterados são guardados como camada própria ao lado da proposta do modelo, e a versão que o próprio moldou é a versão que segue. O plano é inicialmente visível apenas para si; uma publicação como nó ocorre só depois de aprovação editorial (moderation:'pending'), e também o texto que o próprio escreveu passa pela mesma limpeza de PII que qualquer outro campo público. Pode pedir a eliminação da sua contribuição em qualquer momento.

Registo: As contribuições submetidas (texto de visão, plano gerado, a sua própria versão do plano, ID de utilizador, momento) são guardadas por conta; a execução em direto não é mantida como registo público. Por cada execução é escrita uma linha operacional sem pessoas (evento, tentativa, modelo, duração) — nunca o seu sonho, nunca a resposta, nunca um identificador de conta. Limitação de frequência por utilizador.

Fila plano-do-sonho e correio de disponibilização («o seu sonho»)

Finalidade: Desde 24.08.2026 o primeiro rascunho («preplan») corre por UMA fila duradoura: nenhuma tarefa se perde quando um processo reinicia, e por conta a cidade trabalha em exatamente uma tarefa — a uma segunda pressão do botão é dito com honestidade que o planeamento já está a decorrer. Em vez de um tempo limite de espera, na tarefa está escrito à letra: não tem de esperar — avisámo-lo assim que o seu rascunho estiver pronto. É exatamente para isso que serve o correio de disponibilização: diz apenas que o seu rascunho está à sua espera na conta protegida. Os restantes tipos de tarefa (refinar, assistente antigo, superfície de administração) são passados para a mesma fila um após outro; até lá, a porta recusa-os com um aviso honesto em vez de contornar secretamente o modelo.

Dados e fontes: O seu sonho em bruto (12–2000 caracteres) vive exclusivamente numa própria linha de custódia: escrita apenas pelo serviço do servidor, legível apenas para a sua conta, e a coluna com o sonho em bruto em si é visível apenas para o serviço do servidor. Após a conclusão é eliminada — o mais tardar 24 horas depois, um ciclo de limpeza força o resto. A fila de notificação não contém conteúdo. Um possível correio diz apenas que o seu plano está pronto na conta protegida; título, primeiro passo e texto do sonho não são enviados. O planeamento automático começa apenas quando o seu correio estiver confirmado e a sua conta aprovada.

Modelo: A criação do plano em si permanece a inferência local na UE, autoalojada, descrita acima (gemma4:31b-mlx; o caminho infantil fixado no modelo infantil verificado, nenhum fornecedor fora da UE). Novo na fila: o acesso ao único modelo local na UE está deliberadamente fixado em exatamente uma execução simultânea — ninguém é favorecido, ninguém é afastado. E a fila fecha-se por si para menores: apenas uma resposta explícita de adulto na porta de idade executa o modelo de adultos; todas as idades ausentes ou indeterminadas contam como criança e recebem o modelo infantil (fail-closed). Para o correio em si NENHUM modelo de IA é chamado — é um modelo fixo, baseado em regras, em infraestrutura própria na Alemanha.

Classe de risco: Criação do plano inalterada: risco limitado / obrigação de transparência (Art. 50.º) — uma proposta de planeamento não vinculativa, nenhuma decisão com efeito jurídico. O correio não é IA no sentido do EU AI Act (entrega baseada em regras). Em termos de proteção de dados assenta no Art. 6.º, n.º 1, alínea b) do RGPD (execução da função «o seu sonho → plano» por si solicitada): é a entrega do resultado encomendado, não publicidade e não um boletim — e desligável em qualquer momento na sua conta, além disso com uma hiperligação de cancelamento num clique.

Controlo humano: O utilizador encarrega com o seu sonho; o rascunho fica primeiro visível apenas para si, e uma publicação como nó ocorre só depois de aprovação editorial (moderation:'pending'). Após a conclusão, o seu treinador dá o primeiro passo: uma saudação fixa, baseada em regras, construída a partir do seu plano recebe-o — nenhum modelo a improvisa, e é criada antes de qualquer correio entrar na fila; se a passagem falhar, nenhum correio é enviado. A tarefa pela superfície de administração para sonhos já submetidos está reservada a administradores com sessão iniciada.

Registo: As linhas operacionais sobre a fila são sem pessoas: evento, tentativa, modelo, duração — nunca o seu sonho, nunca a resposta, nunca um identificador de conta. Para o correio é mantida uma linha privada de entrega com estado e motivo (por exemplo: em fila, ou saltado por cancelamento); uma linha conta como enviada só quando o prestador do serviço confirmou efetivamente o envio.

Estruturação do conhecimento da inteligência da cidade (conduta de dados)

Finalidade: Com apoio de IA pesquisa, estrutura e cura factos publicamente verificáveis sobre instituições, lugares, organizações e repartições em Pegnitz e ordena-os na inteligência do conhecimento (clusters, nós, relações).

Dados e fontes: Fontes de acesso público (páginas web, registos, indicações oficiais). As afirmações factuais devem ser ligadas a uma referência de fonte verificável; as lacunas nunca são apresentadas como verificadas. Nenhum dado pessoal de indivíduos privados — titulares de cargos públicos apenas na sua função oficial.

Modelo: Enxame sem cabeça: opencode-GLM e Codex como executantes, dirigidos e planeados por Claude (Opus) como planeador; a construção ocorre na altura da criação, não em cada consulta de página.

Classe de risco: Segundo a nossa autoavaliação atual: risco limitado / obrigação de transparência (Art. 50.º) — estrutura informação factual pública; nenhuma decisão sobre pessoas, nenhum perfilamento.

Supervisão humana: Dever de fonte; os conteúdos destinados à publicação passam pelo descrito processo de fonte e aprovação. A respetiva superfície ou este registo declaram o documentado apoio de IA.

Registo: Registado em agent_runs / verification_results (interno, acessível apenas do lado do servidor — nenhuma alimentação pública).

Nível de verificação por IA (comparação de fontes)

Finalidade: Verifica os valores ligados a fontes, entregues a uma execução de verificação, contra as suas fontes em direto indicadas. Valores divergentes, fontes inacessíveis, campos obrigatórios vazios ou direitos não esclarecidos levam à rejeição e têm de ser trabalhados antes de uma aprovação.

Dados e fontes: Nós e afirmações estruturados da conduta e os URL de fonte correspondentes.

Modelo: Claude (Opus) através da CLI Claude Code (sessão por subscrição, sem chave de API) como verificador.

Classe de risco: Segundo a nossa autoavaliação atual: risco limitado / obrigação de transparência (Art. 50.º) — uma porta de qualidade que assegura a fidelidade aos factos; não toma decisões sobre pessoas.

Supervisão humana: A execução de verificação apoia o controlo humano: um valor aí rejeitado não pode sair deste caminho de aprovação como aprovado.

Registo: Cada rejeição com motivo e, se aplicável, URL de fonte em verification_results (interno, não público).

Síntese de clusters e nós (textos de inteligência na inteligência)

Finalidade: Gera os textos de análise e recomendação resumidos («intelligence»/síntese) que, na vista de clusters e nós da inteligência do conhecimento, explicam uma esfera de vida.

Dados e fontes: Os nós e relações já verificados e estruturados do grafo. Os textos são gerados na altura da criação e guardados no grafo; na apresentação, a superfície calcula apenas a partir do grafo carregado, sem nova chamada ao modelo.

Modelo: Enxame sem cabeça (opencode-GLM / Codex) na altura da criação.

Classe de risco: Segundo a nossa autoavaliação atual: risco limitado / obrigação de transparência (Art. 50.º) — síntese descritiva de assuntos públicos; nenhuma decisão sobre pessoas.

Supervisão humana: Para uma aprovação pública está prevista uma verificação editorial; este registo declara a geração da síntese com apoio de IA.

Registo: Geração no âmbito das execuções da conduta (agent_runs, interno).

Generalização de PII dos textos livres de IA (scrub-pii)

Finalidade: Generaliza, nos textos livres de IA (síntese, análises, recomendações), pequenos negócios privados ou geridos pelo proprietário nomeados pelo nome, de modo que nenhuma pessoa singular identificável apareça nos textos públicos.

Dados e fontes: Textos livres gerados por IA a partir da síntese. Os titulares de cargos públicos na sua função oficial são mantidos (lícito nos termos do Art. 6.º, n.º 1, alínea f) do RGPD).

Modelo: Função determinística de regras/expressões regulares — NENHUMA IA/nenhum modelo de linguagem. Levada aqui por transparência porque pós-processa saídas de IA.

Classe de risco: Nenhuma IA no sentido do EU AI Act (baseada em regras); medida de minimização de dados do RGPD — substituição de texto puramente determinística; serve a proteção de dados, não toma decisões.

Supervisão humana: A lista de regras é mantida editorialmente e ampliada a cada regeneração.

Registo: Nenhum registo próprio; parte da exportação da conduta.

«Pergunta à cidade» — resposta de conhecimento (RAG ancorado)

Finalidade: Faz uma pergunta sobre a cidade e recebe uma resposta curta, ligada a fontes reais. A cidade pesquisa primeiro o seu próprio conhecimento de forma puramente lexical (os nós verificados do grafo), mostra-lhe os nós reais encontrados como cartões, e a partir deles formula um resumo conciso. Se não encontra nada sólido, diz-o com honestidade («A cidade ainda não sabe nada sobre isso») — inteiramente sem chamada a um modelo.

Dados e fontes: A sua pergunta introduzida livremente (limitada a um comprimento curto) e EXCLUSIVAMENTE os nós já verificados e de fonte pública da inteligência do conhecimento (web/.artifacts/graph.json) — nenhuma base de dados externa, nenhum acesso à Internet durante a resposta. O modelo recebe apenas os excertos de nós previamente recuperados mais a sua pergunta e pode citar APENAS estes nós; qualquer outra indicação de fonte é descartada do lado do servidor (lista branca de fontes). A pergunta não é guardada quanto ao conteúdo.

Modelo (com país de alojamento): Inferência local na UE, autoalojada, em hardware próprio — gemma4:31b-mlx no Mac Studio em Pegnitz (Alemanha), alcançado através de um túnel privado encriptado; um segundo endpoint local na UE (Hetzner, Nuremberga, Alemanha) é apenas um HOST de recurso, não um MODELO substituto. Fail-closed (sem recurso GLM/EUA para conteúdos dos cidadãos), com ferramentas desligadas (nenhum acesso a ficheiros ou rede); a resposta é transmitida em streaming via SSE. Uma resposta é brevemente colocada em cache na memória de trabalho (por instância) para responder a perguntas idênticas repetidas sem nova chamada ao modelo.

Classe de risco: Segundo a nossa autoavaliação atual: risco limitado / obrigação de transparência (Art. 50.º) — responde a perguntas factuais a partir de conhecimento público verificado; não toma decisões sobre pessoas, nenhum perfilamento, nenhum efeito jurídico.

Supervisão humana: Ancoragem por conceção: o modelo vê apenas nós já verificados e pode citar apenas esses — uma fonte inventada não consegue passar a lista branca. Os cartões de fontes mostrados sustentam-se por si; se o resumo falhar, permanecem eles a resposta honesta. As respostas de IA são reconhecíveis como tal.

Registo: Nenhuma conservação do conteúdo da pergunta. Limitação de frequência por IP anonimizado (com hash) — o IP em bruto nunca é guardado ou registado.

Posicionamento da empresa (análise do sítio web / dossiê) — em preparação

Estado (honesto): A introdução pública do sítio web e a sua API de cidadãos estão retidas na Core V1. Os caminhos internos existentes de verificação e eliminação mantêm-se; os cidadãos e as cidadãs de momento não podem iniciar uma análise. Uma ativação pública segue apenas depois de uma própria prova de segurança, proteção de dados e navegador.

Finalidade: Assim que ativa, indica o endereço web da sua empresa e confirma que a gere ou que para isso está autorizado. A cidade lê o sítio web publicamente acessível e cria dele um primeiro posicionamento gratuito: uma classificação concisa da presença mais recomendações concretas, baseadas em evidência. O resultado nasce como nó com estado moderation:'pending' e aparece publicamente só depois de aprovação editorial.

Dados e fontes: Exclusivamente os conteúdos publicamente recuperáveis do sítio web por si indicado (nome, descrição, serviços, títulos, indicações públicas de contacto e sociais, dados estruturados, excerto de texto). O raspador verifica o endereço de destino contra endereços internos/locais (proteção SSRF) e respeita robots.txt. O texto lido é um DADO a analisar, nunca uma instrução ao modelo (proteção contra injeção de instruções). Nenhum dado pessoal de indivíduos privados; titulares de cargos públicos apenas na sua função oficial.

Modelo: Claude (Opus) através da CLI Claude Code (sessão por subscrição, sem chave de API), chamado como processo de servidor. Se a CLI não estiver disponível, é devolvida uma estrutura de evidência honesta construída exclusivamente a partir das lacunas reconhecidas — nunca uma afirmação inventada.

Classe de risco: Segundo a nossa autoavaliação atual: risco limitado / obrigação de transparência (Art. 50.º) — gera uma análise e recomendações não vinculativas para uma empresa; nenhuma decisão automatizada com efeito jurídico sobre pessoas, nenhuma avaliação de solvência ou acesso, nenhum perfilamento.

Supervisão humana: O modelo analisa APENAS a partir da evidência apresentada e nomeia lacunas em vez de adivinhar. O nó gerado é moderation:'pending' e torna-se público só depois de aprovação editorial; apenas utilizadores com sessão iniciada que confirmem a legitimidade podem desencadear a análise. Pode pedir a eliminação da contribuição em qualquer momento (RGPD Art. 17.º).

Registo: O nó gerado (pendente) é guardado na entrada do dossiê; a execução em direto não é mantida como registo público. Limitação de frequência por utilizador.

Agente mentor pessoal («o seu agente»)

Estado (honesto): Esta V1 está disponibilizada para adultos confirmados: descreve o seu sonho, escolhe uma postura (mentor, parceiro de treino ou «o seu CEO»), e é criado para si um registo de agente pessoal, encriptado do lado do cliente. Menores e pessoas de idade indeterminada não recebem nesta V1 nenhuma resposta de modelo. A conversa protegida está ligada como função da conta: o texto em claro é processado na memória de trabalho apenas para a vez de resposta individual, não guardado do lado do servidor, e depois novamente encriptado do lado do cliente. Pode manter várias conversas guardadas: cada conversa tem um título que atribui livremente, e também esse título é guardado encriptado do lado do cliente. Conversas mais antigas pode arquivá-las; permanecem conservadas encriptadas até as eliminar.

Finalidade: O agente pessoal e privado de uma cidadã ou de um cidadão (mentor, parceiro de treino ou «o seu CEO»). Deve acompanhá-lo no seu próprio sonho – como contraparte de acompanhamento, treino e execução. Não decide nada por si; o utilizador decide, possui e assina.

Dados e fontes: Exclusivamente os seus próprios conteúdos, introduzidos por si (perfil, sonho, decurso da conversa, título da conversa). Os CONTEÚDOS jazem encriptados do lado do cliente como cifrado AEAD (por igual mensagens e títulos de conversa); a chave é derivada de uma frase-senha que o utilizador detém. O operador não consegue ler estes conteúdos. HONESTO e completo: por conversa são além disso mantidos alguns dados administrativos SEM CONTEÚDO não encriptados, para que a lista de conversas funcione — número de mensagens, momento da última mensagem, e se uma conversa está afixada ou arquivada. Estes metadados não contêm nenhum conteúdo de conversa nem título. Para a vez de resposta individual, texto em claro pode ser processado de forma passageira no ambiente do lado do servidor; não é guardado do lado do servidor. NOVO desde 15.08.2026: antes da resposta, o mentor procura a sua última mensagem no conhecimento verificado da cidade — exatamente pela mesma função que o pré-planeamento do sonho, inteiramente no processo na máquina local da UE (leitura de ficheiro, ordenação computacional, vetores locais), sem chamada de rede e sem transmissão da sua mensagem a qualquer fornecedor. Ficam excluídos a parte de autodescrição do código-fonte do grafo, os perfis da Crew e os sonhos de outras pessoas; se a procura não cair dentro da sua janela temporal curta, no prompt consta explicitamente que nada foi procurado. Nenhum perfilamento externo, nenhum rastreio, nenhuma transmissão a serviços publicitários ou de perfilamento.

Modelo: A inferência privada do mentor para adultos corre exclusivamente local na UE e autoalojada com o modelo verificado para esta V1, gemma4:e4b, no Mac Studio do operador em Pegnitz (Alemanha), alcançável através de um túnel privado encriptado. Não há para este mentor nenhum nó de recurso nem modelo substituto: se o Mac não estiver acessível, estiver sobrecarregado ou uma resposta demorar mais de 25 segundos, aparece uma resposta limitada de indisponibilidade. Cada execução devolve exatamente uma resposta JSON em memória intermédia, não utiliza ferramentas, não altera ficheiros e não regista conteúdos de mensagens. O cliente guarda depois a sua própria vez e a resposta em conjunto, encriptadas.

Classe de risco: Segundo a nossa autoavaliação atual: risco limitado / obrigação de transparência (Art. 50.º) — ferramenta pessoal de acompanhamento/treino sem decisão automatizada com efeito jurídico ou comparavelmente significativo; nenhum perfilamento, nenhuma avaliação do acesso a serviços públicos.

Supervisão humana: Uma pessoa ao volante: o agente propõe e acompanha; a cidadã ou o cidadão decide e possui o resultado. A V1 atual recusa a menores e pessoas de idade indeterminada a chamada ao modelo mesmo quando já existe um consentimento depositado. Uma versão infantil posterior precisa de uma própria avaliação de modelo, de uma própria proteção de saída e da aprovação da proteção da infância. O reconhecimento de angústia corre de forma determinística antes de cada inferência e mais uma vez do lado do servidor sobre todas as vezes da conversa: perante sinais de automutilação, abuso ou perigo, a chamada ao modelo para, não é gerada nenhuma resposta e aparecem caminhos de ajuda reais. A pegnitz.city não é um serviço de emergência; em necessidade aguda dirige-se diretamente à ajuda real: telefone de apoio 0800 111 0 111 ou 0800 111 0 222 (gratuito, anónimo, de dia e de noite), número contra a mágoa 116 111 (gratuito, anónimo, seg–sáb 14:00–20:00), bombeiros e ambulância 112 ou polícia 110 (ambos gratuitos, de dia e de noite).

A única porta do seu mentor para a Crew (nova desde 15.08.2026): O seu mentor agora consegue fazer duas coisas — e apenas duas. PRIMEIRO PERGUNTAR: responde à pergunta do que a cidade afinal fez com o seu sonho, exclusivamente a partir das SUAS PRÓPRIAS linhas que o próprio pode reler na sua conta; a frase é composta a partir de linhas contadas, nenhum modelo a formula, e se não houver nada, diz exatamente isso. SEGUNDO PEDIR: pode dirigir um desejo à Crew — é guardado como PROPOSTA que sem a sua aprovação expressa não é mostrada a ninguém e não desencadeia nenhum trabalho da Crew. O que sai por esta porta é estreitamente limitado: uma sigla pseudónima do seu sonho (um valor de hash derivado, nunca o seu identificador de conta) e a versão curta pública já limpa, além do texto do seu pedido, antes limpo de dados de contacto E depois ainda uma vez verificado se resta algo pessoal. Se restar algo, o pedido NÃO sai e isso lhe é dito. Quem bloqueou o seu sonho anonimamente não tem tal sigla — então não sai nada, e o perguntar funciona mesmo assim. O mentor em si não recebe para isso nenhuma ferramenta na mão: a inferência continua sem qualquer acesso a ferramentas.

Registo: Nenhum registo de conteúdos por parte do operador – os conteúdos guardados estão encriptados e são ilegíveis para o operador; a inferência em direto não regista conteúdos de mensagens. Arquivar vs. eliminar: arquivar apenas esconde uma conversa da lista ativa, o histórico encriptado permanece. Direito à eliminação (RGPD Art. 17.º): só a eliminação das suas chaves e cifrados torna os conteúdos irrecuperáveis – isso continua a funcionar inalterado também para conversas arquivadas.

Lembretes do mentor sobre os seus próprios próximos passos — envio de correio retido

Estado (honesto): Os lembretes estão DESLIGADOS por predefinição e só surgem quando o próprio os liga. Na aplicação vê-os na sua conta. O envio por CORREIO permanece retido — bloqueado triplamente: primeiro, o envio está desligado na configuração de operação e o domínio do remetente não está aprovado; segundo, o passo de confirmação (dupla aceitação por correio) ainda não está construído — um consentimento por isso não pode de modo algum ser confirmado e assim tornar-se enviável; terceiro, a verificação antes de cada envio exige um consentimento confirmado e atual e sem ele falha fechada. Desde 17.08.2026 este consentimento nos termos do Art. 7.º do RGPD é guardável na base de dados — versionado, idêntico palavra por palavra, com revogação separada que vigora em qualquer momento nas suas definições e prevalece sobre todas as confirmações anteriores. O local de armazenamento existe pois; mas sem o passo de confirmação construído, todo o consentimento permanece no estado «não confirmado», e é exatamente aí que toda a tentativa de envio falha. Enquanto for assim, não sai nenhum correio de lembrete. Uma ativação declaramo-la aqui só quando tiver realmente acontecido.

Finalidade: Recordá-lo de UM passo que o próprio se propôs — não puxá-lo de volta para a aplicação. Sem passo, sem lembrete: preferimos o silêncio a um pretexto fabricado.

Dados e fontes: As suas próprias definições (ligado/desligado, horas de descanso, fuso horário), o título da sua própria tarefa de mentor aberta e — apenas no momento de um envio real — o seu endereço de correio da conta confirmado. A fila em si não guarda nem o seu endereço de correio nem um correio privado já composto nem o seu sonho em bruto. Nenhuma fonte de dados externa, nenhum perfilamento, nenhuma publicidade.

Modelo (com país de alojamento): Para o lembrete em si NENHUM modelo de IA é chamado: seleção e texto são um modelo fixo, baseado em regras, que corre em infraestrutura própria na Alemanha. O passo nomeado provém do seu próprio plano de mentor, antes gerado localmente na UE. Por transparência este ponto continua aqui, porque entrega uma saída de IA. Se houvesse envio, o serviço de entrega seria um fornecedor de correio (Resend, UE/EUA, certificado DPF, com DPA) — este ponto é declarado aqui antes de se tornar ativo, não depois.

Classe de risco: Nenhuma IA no sentido do EU AI Act (entrega baseada em regras). Em termos de proteção de dados, uma comunicação direta com base no seu consentimento (Art. 6.º, n.º 1, alínea a), Art. 7.º do RGPD).

Controlo humano: O utilizador decide triplamente: os lembretes estão desligados até que o próprio os ligue; um correio exige além disso um consentimento próprio, dado expressamente para este fim no processo de dupla aceitação, separado do consentimento do boletim; e pode revogá-lo separadamente em qualquer momento — através da hiperligação de cancelamento num clique ou nas suas definições. Uma prova ausente, uma revogada e uma não confirmada conduzem todas ao mesmo resultado: não se envia.

Registo: Por cada tentativa de entrega é mantida uma linha privada com estado e motivo (por exemplo: em fila, ou saltada porque não há consentimento), para que não surja nenhum lembrete duplicado. Uma linha conta como enviada só quando o prestador do serviço confirmou efetivamente a entrega — um lembrete à espera nunca é apresentado como enviado. Cancelamentos, devoluções e queixas são mantidos como dados privados de bloqueio.

Voz da Crew (atualizações de trabalho faladas em direto dos agentes)

Estado (honesto) — identidade da pessoa que fala: O nome que lê e ouve numa linha falada é a autodeclaração da respetiva execução do agente. A plataforma mantém para cada linha se essa identidade pôde ser comprovada tecnicamente — e nas linhas reproduzidas publicamente esta marca consta atualmente como «não comprovada». Dizemos-lhe pois QUE NOME depositou a comunicação — não que essa identidade esteja provada. Se uma linha não comprovada reclama um papel de direção (por ex. CEO ou proteção da infância), é expressamente marcada como não comprovada na vista da Crew; para todas as demais funções até agora não aparece tal aviso. Uma prova do orador verificável por máquina está em preparação; assim que realmente suportar as linhas públicas, isso será declarado aqui.

Finalidade: Na página inicial e na vista da Crew pode ligar as vozes da Crew: um compasso real de trabalho de um agente (início/conclusão de uma tarefa) pode tornar-se audível como breve mensagem de estado falada, livremente formulada — sob que nome a comunicação foi depositada, no que se trabalha, porque isso ajuda a cidade e quem assume a seguir. Nem todo o compasso se torna audível: linhas que não passam a salvaguarda descrita abaixo permanecem mudas. A alimentação escrita permanece alemã; a linha falada é inglesa.

Dados e fontes: EXCLUSIVAMENTE factos internos de exploração depositados no repositório: a identidade redigida do agente (nome, função, carácter), a comunicação real de trabalho da Crew e os factos registados no board da operação correspondente. Nenhum dado de cidadãos, nenhum dado pessoal — uma comunicação de trabalho que contenha um endereço de correio ou um número de telefone não produz NENHUMA linha falada (fail-closed).

Modelo: A linha falada é redigida pela própria sessão de agente que a executa — nenhum modelo a compõe (por linha está documentado model = NULL e speechAuthor = 'agent'). Esta sessão corre no fornecedor em que o respetivo trabalho corre; para as pistas de código do Plane A isso ocorre fora da UE (por ex. Z.AI/China, Anthropic/EUA, OpenAI/EUA). Nestes prompts não entra nenhum dado de cidadãos nem pessoal — a transferência de saída é o prompt de código sem PII (já registado como Plane A), a linha de voz é uma saída que reflui para a UE. A própria saída de voz ocorre através de motores TTS autoalojados (Piper/Qwen) em infraestrutura própria.

Salvaguarda (grounding, fail-closed): Cada linha composta passa por um verificador determinístico: fórmulas de recusa, números não comprovados, pessoas ou autoridades inventadas (por ex. um OK do board nunca dado), códigos de operação ausentes e afirmações de sucesso ou aprovação não comprovadas levam ao descarte da linha — o compasso fica então mudo na alimentação escrita. A comunicação de trabalho é entregue ao modelo estruturalmente como DADO, nunca como instrução (proteção contra injeção de instruções).

Classe de risco: Segundo a nossa autoavaliação atual: risco limitado / obrigação de transparência (Art. 50.º) — voz sintética sobre o próprio trabalho da Crew de agentes; nenhuma decisão sobre pessoas, nenhum perfilamento. A saída de voz está assinalada como IA na superfície (interruptor «vozes de IA ligado/desligado») e só está ativa se o próprio a ligar.

Registo: Cada linha falada nasce de uma linha publicamente visível na alimentação em direto da vista da Crew (tabela warroom_live_activity; a alimentação mais antiga agent_activity já não transporta estas linhas) — o que é falado é também legível e reconstituível. Para cada linha é além disso registado internamente se a identidade do orador pôde ser comprovada tecnicamente; esta marca é a base da limitação honesta declarada acima.

Ziggy-Kosmos — companheiro de aprendizagem para crianças (página pública de demonstração)

Estado (honesto): Publicamente acessível está a página de demonstração com visitas guiadas e uma função de leitura em voz alta — textos fixos, mantidos editorialmente, que explicam o sistema de aprendizagem planeado. O próprio sistema de aprendizagem (conta, exercícios, conversas de mentor, verificação de desenhos) NÃO está publicamente ativado: é uma pilotagem guiada por trás de sessão e aprovações próprias. Antes de as crianças o poderem utilizar, são exigidas uma própria verificação do conhecimento quanto à adequação à idade (JMStV), a aprovação da proteção da infância e a avaliação vinculativa do modelo infantil — até lá, esta parte permanece retida.

Finalidade: A página apresenta o Ziggy-Kosmos: um companheiro de aprendizagem privado que oferece às crianças exercícios segundo o LehrplanPLUS bávaro, as acompanha de forma socrática (a IA nunca dá simplesmente a solução) e, a pedido de um docente, gera cenas 3D sobre temas de aprendizagem. Na própria página pública não ocorre aprendizagem — ela apenas explica.

Dados e fontes: Na página pública a plataforma não processa NENHUM dado de cidadãos: a função de leitura em voz alta pronuncia exclusivamente textos fixos de diapositivos de um catálogo fechado que o utilizador pode escolher diapositivo a diapositivo — texto livre não é aceite e nunca consegue alcançar a voz. Para a defesa contra abusos serve apenas um endereço IP anonimizado (com hash) para a limitação de frequência. O sistema de aprendizagem (não público) processa progressos e conversas de aprendizagem de crianças exclusivamente com consentimento dos responsáveis legais (Art. 8.º do RGPD), encriptado e local na UE — esta parte não está ativa.

Modelo (com país de alojamento): A leitura em voz alta é uma voz sintética: saída de voz Piper autoalojada (voz alemã) em hardware próprio da XBANQ® GmbH na Alemanha — nenhum serviço externo, nenhuma transmissão para países terceiros. O sistema de aprendizagem (não público) calcula com modelos autoalojados, locais na UE, em Ollama (mentor: gemma4; verificação de desenhos: qwen3-vl) — ancorado de forma fixa para caminhos infantis sem modelo de recurso (fail-closed).

Classe de risco: Segundo a nossa autoavaliação atual: risco limitado / obrigação de transparência (Art. 50.º) — voz sintética e apresentação explicativa; nenhuma decisão sobre pessoas. O sistema de aprendizagem está classificado como risco limitado sob a condição vinculativa de que os níveis de aprendizagem permaneçam privados e nunca sejam utilizados como avaliação escolar oficial; uma situação de alto risco (avaliação oficial ou acesso) bloquearia qualquer entrada em funcionamento.

Supervisão humana: A página pública consiste em conteúdos fixos, mantidos editorialmente. No sistema de aprendizagem vale: docente, responsáveis legais e a criança dirigem; a IA não avalia oficialmente, não decide nada e não substitui nenhuma escola. A pegnitz.city é e permanece não uma oferta oficial da cidade de Pegnitz.

Registo: Nenhuma conservação de conteúdos na página pública; limitação de frequência por IP anonimizado (com hash) — o IP em bruto nunca é guardado. O sistema de aprendizagem regista internamente, ligado à conta, e não está publicamente ativo.

Mediateca da cidade: análise de meios com IA (imagem, som, pesquisa) — em preparação

Estado (honesto): O carregamento público, a pesquisa pública e a vista pública de meios estão retidos na V1. Mantêm-se as provas de propriedade e revogações existentes bem como os caminhos separados de revisão, administração e análise. A análise de IA local na UE trabalha fail-closed: sem um modelo local alcançável não nasce nenhuma análise automática, o sinal de pessoas permanece «desconhecido» e não há nenhuma publicação automática. Uma ativação pública declaramo-la aqui só depois da sua própria prova de aprovação.

Finalidade: Assim que ativa, a IA apoia a verificação humana dos meios carregados: uma IA de imagem descreve e etiqueta um meio e estima se são visíveis pessoas ou presumíveis menores (pré-seleção de proteção de menores); as pistas de áudio são transcritas localmente; para a pesquisa de meios são calculados vetores locais.

Dados e fontes: Exclusivamente os meios que o utilizador carrega e as suas próprias indicações (título, categoria, classificação de pessoas). Nenhuma base de dados externa, nenhuma comparação com ficheiros de pessoas alheias, nenhum reconhecimento biométrico.

Modelo: Inferência local na UE, autoalojada, em hardware próprio na Alemanha — IA de imagem: exclusivamente a IA de imagem afixada com pin e comprovada por prova de capacidade (OLLAMA_KIDS_MODEL, atualmente gemma4:e4b no Mac Studio em Pegnitz (Alemanha)); as substituições de visão para adultos ou genéricas são deliberadamente ignoradas, sem pin não corre nenhuma análise (fail-closed). Transcrição whisper.cpp, vetores de pesquisa Xenova multilingual-e5-small; nenhuma transmissão para um país terceiro.

Classe de risco: Segundo a nossa autoavaliação atual: risco limitado / obrigação de transparência (Art. 50.º) — descrição e pré-seleção preparatórias; nenhuma decisão automatizada com efeito jurídico sobre pessoas. A pré-seleção de menores serve a proteção da juventude e pode tocar categorias especiais (Art. 9.º do RGPD); não decide nada, antes submete cada caso dúvidoso a uma pessoa.

Supervisão humana: Uma pessoa ao volante e fail-closed: nada se torna visível ou utilizado antes de uma pessoa o ter aprovado. Se a indicação de quem carrega diverge de um sinal de IA, ou a análise de IA não está disponível, verifica necessariamente uma pessoa. Meios com menores reconhecíveis permanecem bloqueados sem consentimento documentado dos responsáveis legais.

Registo: Os resultados da análise (descrição, transcrição, sinal de pessoas, modelo) são guardados por meio internamente (media_vault_analysis, acessível apenas do lado do servidor mediante row-level security). Na revogação ou eliminação, análise, transcrição e vetor de pesquisa são removidos com eles.

Kein Training mit Stadtdaten — Attestierung je Modell

Für jedes Modell, das diese Instanz nutzen kann, ist unten attestiert, warum seine Ausgaben nicht in das Training oder Fine-Tuning allgemeiner Modelle fliessen: vertraglich zugesichert und nachgewiesen im Auftragsverarbeitungsvertrag, oder technisch ausgeschlossen, weil das Modell selbst betrieben wird und keine Verbindung zu einem Anbieter besteht. Der Stand der Prüfung ist je Eintrag datiert.

Controlo humano e registo

O controlo humano e o registo diferem por caminho de aprovação. Na conduta de dados são verificados os valores ligados a fontes entregues a uma execução; um valor aí rejeitado tem de ser trabalhado antes da aprovação. As visões dos cidadãos são guardadas como origin:'citizen', moderation:'pending' e aparecem na inteligência do conhecimento pública só depois de uma aprovação editorial expressa. As superfícies principais documentadas declaram o seu apoio de IA no resultado ou neste registo. As execuções da conduta são registadas internamente em agent_runs e verification_results, entre outros com estado, resultado da verificação, motivo de rejeição e, se aplicável, URL de fonte. Estes registos não são uma alimentação pública em tempo real; um visualizador público de auditoria em direto hoje não existe. O dever de fonte permanece uma exigência de qualidade vinculativa, não a afirmação de que cada nó histórico já esteja comprovado sem lacunas. Meios com direitos não esclarecidos não são publicados publicamente.

Em preparação

• Visualizador de auditoria/registo publicamente consultável: os registos (agent_runs, verification_results) já existem, mas estão hoje acessíveis apenas do lado do servidor (service_role). Uma área de auditoria publicamente consultável ainda não está realizada – assim que chegar, será declarada aqui de forma transparente.
• Fluxo editorial de aprovação para visões dos cidadãos: as contribuições já são mantidas como moderation:'pending'; o processo de aprovação está realizado como princípio, uma interface confortável de moderação está em preparação.
• Mediateca da cidade – análise de meios com IA: a receção pública e a pesquisa pública permanecem encerradas na V1. Os caminhos internos de análise e verificação são ativados publicamente só depois da sua própria prova de aprovação.
• Prova do orador verificável por máquina para a voz da Crew: enquanto não suportar as linhas reproduzidas publicamente, o nome de agente mostrado é uma autodeclaração da respetiva execução e não uma prova. O estado está honestamente no topo da secção «Voz da Crew» e será aqui alterado assim que a prova realmente vigorar.
• Correios de lembrete do mentor: o caminho de envio está construído e verificado, mas retido. O consentimento nos termos do Art. 7.º do RGPD é guardável e revogável separadamente desde 17.08.2026; o passo de confirmação por correio (dupla aceitação) é a parte ainda em falta, e sem ele a verificação recusa todo o envio. Alteramos este parágrafo só quando o passo de confirmação estiver construído e o primeiro envio estiver realmente aprovado.
• Mais funções de IA são aqui acrescentadas assim que estiverem realmente disponibilizadas; as funções retidas permanecem até lá expressamente marcadas como «em preparação».