O que Podemos Comprovar e o que Não Podemos

Não. A IrexAI opera um SGSI alinhado à ISO/IEC 27001:2022 e à 27002:2022, sem certificação própria; a certificação é um objetivo declarado. Nas instâncias gerenciadas pela IREX, a infraestrutura de hospedagem de servidores em data center é certificada pela ISO/IEC 27001:2022 por meio do provedor de hospedagem. Esse certificado está em nossos arquivos.

Por uma política pública, não por uma promessa. A Política de Governança de Modelos de IA (DOC-ISMS-POL-014) abrange as duas classes de modelos da plataforma. Os detectores próprios são treinados somente com quatro fontes permitidas de dados. Pessoas anotam os dados ou revisam as anotações. Os modelos são avaliados em conjuntos reservados de imagens reais, com limiares fixados antes do teste. Quando detectam ou identificam pessoas, passam por avaliação de viés demográfico por gênero, faixa etária e tom de pele antes do lançamento. As limitações conhecidas são informadas aos clientes. Os modelos fundacionais do StreamVLM™ e do Ask IREX têm pesos abertos e são usados como publicados, fixados por versão e soma de verificação. São executados em endpoints designados dentro da instância, sem acesso de rede de saída nem inferência em nuvens de terceiros. Em cada solicitação, herdam as permissões e o identificador do caso do operador. A identidade dos modelos é divulgada sob NDA, sem publicação, pois identificá-los expõe uma superfície de ataque. A política se alinha à ISO/IEC 42001:2023 e ao NIST AI RMF 1.0 e pode ser fornecida a qualquer autoridade contratante: leia a política ou baixe o PDF na página de IA ética.

Sim. A IREX é software e não utiliza equipamentos nem serviços abrangidos pela seção 889 da NDAA na plataforma ou hospedagem. Isso exclui Huawei, ZTE, Hytera, Hikvision, Dahua e suas afiliadas. A IREX também não fornece as câmeras, os servidores ou os equipamentos de rede de uma implantação: normalmente, o usuário final os adquire e possui. A conformidade do parque de câmeras com a seção 889 cabe à aquisição do comprador. A vistoria do local confirma os equipamentos antes da assinatura do escopo de trabalho. Quando uma licitação pede à IREX uma proposta de hardware, ela inclui somente modelos conformes à seção 889, nunca as marcas abrangidas. Os modelos finais são confirmados após a vistoria.

A IrexAI não possui. Existe um relatório SOC 2 Type II da camada do data center de Dallas que cobre um período histórico definido, mas expirou. Nós o descrevemos somente para esse período, nunca como vigente.

O SaaS comercial dos EUA não tem. Opera em servidores físicos sem uma camada de virtualização, hospedados em um data center com certificação ISO 27001. Essa infraestrutura não é uma nuvem autorizada pelo FedRAMP. Se um programa exigir FedRAMP, é possível definir o escopo de uma instância dedicada em nuvem autorizada e buscar sua viabilização para esse projeto.

Nas implantações hospedadas pelo cliente, integralmente na sua infraestrutura e jurisdição: a implantação local é o mecanismo de residência e soberania dos dados. Nas instâncias gerenciadas pela IREX, ficam na nuvem privada da IREX em servidores hospedados em data centers em Dallas e Plano, Texas, com backups no mesmo ambiente gerenciado. Titulares de dados da UE e do EEE são atendidos por uma instância na própria região.

Você é proprietário dos dados e mantém sempre todos os direitos, títulos e interesses sobre eles. A IREX possui apenas uma licença limitada de processamento para fornecer os produtos. A rescisão por descumprimento não corrigido, insolvência ou falha sustentada de disponibilidade dá direito a reembolso proporcional das taxas pagas antecipadamente.