Kodeks Etyki AI Grupy LEGIER i "SANDIC by LEGIER"

 
 

Spis treści

 

Uwaga: Jeśli automatyczny katalog jest pusty, kliknij prawym przyciskiem myszy w Word → "Aktualizuj pole".

 

 
 
 

1. preambuła i zakres zastosowania

Niniejszy Kodeks określa wiążące zasady, procesy i kontrole dotyczące rozwoju, zaopatrzenia, obsługi i wykorzystania sztucznej inteligencji w Grupie LEGIER. Ma on zastosowanie w całej Grupie do pracowników, kierowników, podmiotów przetwarzających umowy, dostawców i partnerów.

Integruje istniejące wytyczne Grupy (ochrona danych, procesy usług cyfrowych, ład korporacyjny, zrównoważony rozwój, polityka praw człowieka, oświadczenie o współczesnym niewolnictwie) i rozszerza je o wymagania specyficzne dla sztucznej inteligencji.

 

Cel jest zapewnienie korzyści i innowacji, umożliwienie zarządzania ryzykiem oraz ochrona praw użytkowników, klientów i ogółu społeczeństwa.

 

2. podstawowe wartości i zasady przewodnie

 

  • Godność ludzka i prawa podstawowe stać ponad efektywnością ekonomiczną. Sztuczna inteligencja służy ludziom - nigdy na odwrót.
  • Zgodność z prawem: Zgodność z Unijna ustawa o sztucznej inteligencji, RODO, DSA i standardy sektorowe. Brak stosowania niedozwolonych praktyk.
  • Odpowiedzialność i rozliczalność: Dla każdego systemu AI wyznaczany jest odpowiedzialny właściciel; decyzje są identyfikowalne i zaskarżalne.
  • Proporcjonalność: Równowaga celu, ryzyka, intensywności interwencji i wpływu społecznego.
  • Przejrzystość i zrozumiałość: Odpowiednie informacje, dokumentacja i kanały komunikacji dotyczące funkcjonalności, sytuacji danych i ograniczeń.
  • Sprawiedliwość i integracja: Systematyczne testowanie stronniczości, ochrona grup szczególnie wrażliwych, dostępność i wielojęzyczność.
  • Bezpieczeństwo i odporność: Bezpieczeństwo w fazie projektowania, dogłębna obrona, ciągłe wzmacnianie i monitorowanie.
  • Zrównoważony rozwój: Wydajność modeli i centrów danych (energia, PUE/CFE), widok cyklu życia danych/modeli.
 
 

3. zarządzanie i obowiązki (Rada Etyki AI, RACI)

 

Rada Etyki AI (AIEB): Interdyscyplinarny (technologia, prawo/zgodność, ochrona danych, bezpieczeństwo, redakcja/produkt, ludzie). Zadania: Aktualizacja polityk, wydawanie zgód (szczególnie wysokiego ryzyka), decydowanie o konfliktach, monitorowanie raportów.

Role: Właściciel przypadku użycia, właściciel modelu, administrator danych, inspektor ochrony danych, lider ds. bezpieczeństwa, redaktor odpowiedzialny, właściciel usługi, lider ds. zamówień.

Komitety i bramy: Zatwierdzenie AIIA przed uruchomieniem; rada doradcza ds. zmian w przypadku istotnych zmian; coroczne przeglądy zarządzania.

Zasada RACI: Wyraźne przypisanie odpowiedzialności za każde działanie (Odpowiedzialny, Odpowiedzialny, Konsultowany, Poinformowany).

 

4. ramy prawne i normalizacyjne (ustawa UE o sztucznej inteligencji, RODO, DSA, prawo autorskie, prawo handlowe)

 
  • EU-AI-Act: Ramy oparte na ryzyku z zakazami, obowiązkami dotyczącymi systemów wysokiego ryzyka, dokumentacją, rejestrowaniem, zarządzaniem, obowiązkami w zakresie przejrzystości; stosowanie rozłożone w czasie od 2025/2026 r.
  • RODO: Podstawy prawne (art. 6/9), prawa osób, których dane dotyczą, uwzględnienie ochrony prywatności w fazie projektowania/zamierzenia, ocena skutków dla ochrony danych (DPIA), przekazywanie danych do państw trzecich (art. 44 i nast.).
  • DSA: Procesy platformy dotyczące powiadomień, skarg, raportów przejrzystości, ocen ryzyka dużych platform.
  • Prawa autorskie i prawa pokrewne / prawa osobiste: Przejrzyste łańcuchy licencyjne, prawa do wizerunku/nazwy, prawa do domicylu stron trzecich.
  • Wymagania specyficzne dla branży (np. prawo lotnicze/morskie/zdrowie) również muszą być przestrzegane.
 

5. klasyfikacja ryzyka i ocena wpływu sztucznej inteligencji (AIIA)

 
 

Klasyfikacja:

  1. Praktyki zabronione (niedozwolone)
  2. Systemy wysokiego ryzyka (rygorystyczne obowiązki)
  3. Ograniczone ryzyko (przejrzystość)
  4. Zminimalizowane ryzyko

Procedura AIIA: Opis Cel/zakres, interesariusze, podstawa prawna, źródła danych; analiza ryzyka (prawnego, etycznego, bezpieczeństwa, stronniczości, wpływu na środowisko); plan łagodzenia skutków; decyzja (zatwierdzenie przez AIEB).

Ponowne oceny: W przypadku istotnych zmian, corocznie w przypadku wysokiego ryzyka; dokumentacja w centralnym rejestrze.

 

6. etyka danych i ochrona danych (podstawa prawna, DPIA, pliki cookie, państwo trzecie)

 
  • Minimalizacja danych i ograniczenie celu; Preferowana pseudonimizacja/anonimizacja.
  • Przejrzystość: Informacje o ochronie danych, kanały informowania i usuwania danych; możliwość przenoszenia danych; opcje sprzeciwu.
  • Pliki cookie/śledzenie: Zarządzanie zgodami; odwołanie; anonimizacja IP; tylko zatwierdzone narzędzia.
  • Transfery z krajów trzecich: Tylko z odpowiednimi gwarancjami (SCC/adekwatność); regularne testowanie podprzetwarzających.
  • DPIA: Obowiązkowe w przypadku przetwarzania wysokiego ryzyka; dokumentowanie środków technicznych/organizacyjnych (TOM).
 
 

7. cykl życia modeli i danych (cykl życia ML, karty danych, karty modeli)

 

Cykl życia danych: Pozyskiwanie → Opieka → Etykietowanie → Bramki jakości → Wersjonowanie → Przechowywanie/usuwanie.

Cykl życia modelu: Definicja problemu → Wybór architektury → Szkolenie/finetuning → Ocena (offline/online) → Wydanie → Obsługa → Monitorowanie → Ponowne szkolenie/wycofanie.

Karty danych: Pochodzenie, reprezentatywność, jakość, ustalenia dotyczące stronniczości, ograniczenia wykorzystania.

Karty modeli: Cel, dane szkoleniowe, testy porównawcze, metryki, ograniczenia, oczekiwane wzorce błędów, zalecenia/zakazy.

Pochodzenie i odtwarzalność: Hasła, wersje danych/modeli, weryfikacje potoków.

 

8. przejrzystość, zrozumiałość i instrukcje dla użytkownika

 
  • Etykietowanie dla interakcji AI i treści generowanych przez AI.
  • Wyjaśnialność: Używaj dostosowanych do przypadku, przyjaznych dla laika wyjaśnień (lokalnych/globalnych).
  • Instrukcje dla użytkownika: Cel, główne czynniki wpływające, ograniczenia; informacje zwrotne i metody korekty.
 

9. człowiek w pętli i obowiązki nadzorcze

 
  • Nadzór ludzki jako standard dla istotnych decyzji (szczególnie wysokiego ryzyka).
  • Zasada czterech oczu w przypadku zadań o charakterze redakcyjnym/społecznym.
  • Funkcje zastępowania/anulowania; ścieżki eskalacji; dokumentacja.
 

10. bezpieczeństwo, solidność i red-teaming (szybkie wstrzykiwanie, jailbreaki)

 
  • Modelowanie zagrożeń (STRIDE + specyficzne dla AI): Prompt injection, zatruwanie danych treningowych, kradzież modeli, wyciek ochrony danych.
  • Red teaming i testy adwersarzy; zapobieganie jailbreakowi; ograniczanie szybkości; filtrowanie danych wyjściowych; tajne skanowanie.
  • Solidność: Podpowiedzi awaryjne, poręcze, plany wycofania; wydania kanaryjskie; testy chaosu dla bezpieczeństwa.
 

11. łańcuch dostaw, prawa człowieka i uczciwa praca (współczesne niewolnictwo, odpowiednik LkSG)

 
  • Należyta staranność w zakresie praw człowieka: Analiza ryzyka, kodeks postępowania dostawcy, zobowiązania umowne, audyty, działania naprawcze.
  • Współczesne niewolnictwo: Deklaracja roczna, uwrażliwienie, kanały raportowania.
  • Standardy pracy: Sprawiedliwe wynagrodzenie, godziny pracy, ochrona zdrowia; ochrona sygnalistów.
 

12. zarządzanie uprzedzeniami, sprawiedliwość i integracja (wrażliwi klienci, dostępność)

 
  • Kontrola uprzedzeń: Analizy zestawów danych, równoważenie, różne grupy testowe, wskaźniki sprawiedliwości; udokumentowane środki łagodzące.
  • Zagrożeni klienci: Cele ochrony, alternatywne kanały, jasny język; brak wykorzystywania słabości poznawczych.
  • Dostępność: WCAG-Zgodność; wielojęzyczność; podejście integracyjne.
 

13. generatywna sztuczna inteligencja, dowód pochodzenia i etykietowanie (C2PA, znak wodny)

 
  • Etykietowanie: Widoczne etykiety/metadane dla treści AI; podpowiedź dla interakcji.
  • Gwarancje pochodzenia: C2PA-kontekst, podpisy/znaki wodne, o ile jest to technicznie możliwe.
  • Prawa autorskie/ochrona usług: Wyjaśnienie licencji; szkolenie w zakresie zgodności danych; dokumentowanie łańcucha praw.
 

14. zawartość, moderacja i procesy DSA (raportowanie, skargi, przejrzystość)

 
  • Kanały raportowania: Niskoprogowe zgłoszenia użytkowników; priorytetowe przetwarzanie nielegalnych treści.
  • Procesy reklamacyjne: Przejrzyste uzasadnienie, sprzeciw, eskalacja.
  • Raporty dotyczące przejrzystości: Okresowa publikacja odpowiednich kluczowych danych liczbowych i środków.
 

15. Użycie specyficzne dla domeny (wiadomości, dane, zdrowie, lotnictwo, jachty, nieruchomości, pay/trade/trust/coin, samochody)

 
  • Wiadomości/Publikacje: Pomoc w badaniach, tłumaczenie, moderacja; jasne oznaczanie treści generatywnych.
  • SCANDIC DATA: Bezpieczna infrastruktura AI/HPC, separacja klientów, HSM/KMS, obserwowalność, artefakty zgodności.
  • Zdrowie: Użycie oparte na dowodach, ostateczna decyzja człowieka, brak niesprawdzonych diagnoz.
  • Lotnictwo/jachty: Procesy bezpieczeństwa, nadzór nad ludźmi, procedury awaryjne.
  • Nieruchomość: Modele wyceny z kontrolą uczciwości; integracja ESG.
  • Pay/Trade/Trust/Coin: Zapobieganie oszustwom, KYC/AML, nadzór rynku, wytłumaczalne decyzje.
  • Samochody: Spersonalizowane usługi przy ścisłej ochronie danych.
 

16. Strony trzecie, zaopatrzenie i zarządzanie ryzykiem dostawców

 
  • Należyta staranność przed wdrożeniem: Poziom bezpieczeństwa/ochrony danych, lokalizacje danych, podprocesory, certyfikaty.
  • Kontrakty: Prawa do audytu, klauzule przejrzystości i naprawcze, wskaźniki SLA/OLA.
  • Monitorowanie: KPI wydajności, wymiana ustaleń/incydentów, plany wyjścia.
 

17. działanie, możliwość obserwacji, plany awaryjne i ponownego uruchomienia

 
  • Działanie: Obserwowalność (logi, metryki, ślady), zarządzanie SLO/SLI, planowanie wydajności.
  • Nagły wypadek: Runbooki, testy DR, czasy odzyskiwania, plany komunikacji.
  • Zarządzanie konfiguracją/sekretami: Najmniejsze uprawnienia, rotacje, hartowanie.
 

18. Incydenty i środki zaradcze (etyka, ochrona danych, bezpieczeństwo)

 
  • Incydenty związane z etyką: Niepożądana dyskryminacja, dezinformacja, niejasne pochodzenie - natychmiastowe działania i przegląd AIEB.
  • Incydenty związane z ochroną danych: Procesy raportowania do inspektora ochrony danych/nadzoru; informacje dla zainteresowanych stron; analiza przyczyn źródłowych.
  • Incydenty bezpieczeństwa: Procedury CSIRT, kryminalistyka, wyciągnięte wnioski, środki zapobiegawcze.
 

19. wskaźniki, KPI i zapewnienie (wewnętrzne/zewnętrzne)

 
  • Obowiązkowe wskaźniki KPI: 100 % pokrycie AIIA produktywnych przypadków użycia sztucznej inteligencji; 95 % wskaźnik szkoleń; 0 otwartych krytycznych ustaleń z audytu.
  • Wskaźniki sprawiedliwości: Zróżnicowany wpływ, wyrównane szanse (stosowanie w zależności od przypadku).
  • Zrównoważony rozwój: Dane dotyczące energii/PUE/emisji dwutlenku węgla centrów danych; wydajność modeli.
 

20. szkolenia, świadomość i zmiany kulturowe

 
  • Obowiązkowe szkolenie (corocznie): Etyka AI, ochrona danych, bezpieczeństwo, etyka mediów; moduły specyficzne dla grup docelowych.
  • Kampanie uświadamiające: Przewodniki, sesje z brązową torbą, godziny konsultacji; wewnętrzne społeczności praktyków.
  • Kultura: Przywództwo jako wzór do naśladowania, kultura błędów, nagradzanie odpowiedzialnego zachowania.
 

21. wdrożenie i mapa drogowa (0-6 / 6-12 / 12-24 miesięcy)

 
  • 0-6 miesięcy: Inwentaryzacja przypadków użycia sztucznej inteligencji; proces AIIA; minimalne kontrole; fala szkoleń; kontrola dostawców.
  • 6-12 miesięcy: Wdrożenie red teamingu; pierwsze raporty przejrzystości; program energetyczny; finalizacja RACI.
  • 12-24 miesięcy: Dostosowanie do ISO/IEC-42001; ograniczona gwarancja; ciągłe doskonalenie; przygotowanie CSRD/ESRS (jeśli dotyczy).
 

22. rolki i matryca RACI

 
  • Właściciel przypadku użycia (A): Cel, korzyści, KPI, budżet, ponowne oceny.
  • Model-Właściciel (R): Dane/szkolenie/ocena, karta modelu, monitorowanie dryfu.
  • Inspektor ochrony danych (C/A ds. ochrony danych): Podstawa prawna, ocena skutków dla ochrony danych, prawa osób, których dane dotyczą.
  • Security Lead (C): Modelowanie zagrożeń, red teaming, TOM.
  • Redaktor odpowiedzialny (C): Etyka mediów, etykietowanie, rejestr korekt.
  • Właściciel usługi (R): Obsługa, SLO, zarządzanie incydentami.
  • Kierownik ds. zamówień (R/C): Osoby trzecie, umowy, plany wyjścia.
 

23. listy kontrolne (AIIA short, data release, go-live gate)

 
  • Szybkie sprawdzenie AIIA: Cel? Podstawa prawna? Dotknięte strony? Ryzyko (prawne/etyczne/bezpieczeństwa/obiektywizmu/środowiskowe)? Środki łagodzące? Kontrole HIL?
  • Udostępnianie danych: Źródło zgodne z prawem? Minimalizacja? Retencja? Dostęp? Kraj trzeci?
  • Go-Live-Gate: Artefakty są kompletne (karty danych/modeli, dzienniki)? Czy wyniki Red Team zostały uwzględnione? Skonfigurowano monitorowanie/DR?
 

24. formularze i szablony (wzór karty, karta danych, raport z incydentu)

 
  • Model-Card-Template: Cel, dane, szkolenie, poziomy odniesienia, ograniczenia, ryzyko, osoby odpowiedzialne, kontakt.
  • Data-Card-Template: Pochodzenie, licencja, jakość, reprezentatywność, kontrole stronniczości, ograniczenia wykorzystania.
  • Szablon raportu z incydentu: Incydent, skutki, osoby poszkodowane, środki natychmiastowe, przyczyna źródłowa, środek zaradczy, wyciągnięte wnioski.
 

25 Słowniczek i odniesienia

 

Słowniczek: System AI, generatywna AI, system wysokiego ryzyka, AIIA, HIL, C2PA, red teaming, DPIA, RACI, SLO/SLI.

Referencje:

 
 

Uwaga: Niniejszy Kodeks AI uzupełnia istniejące wytyczne LEGIER, takie jak między innymi: (ochrona danych, usługi cyfrowe, prawa człowieka/łańcuch dostaw, ład korporacyjny, zrównoważony rozwój, współczesne niewolnictwo). Stanowi on integralną część ram zgodności Grupy LEGIER (LEGIER Beteiligungs mbH).