Kodeks etyczny AI grupy LEGIER i „SANDIC by LEGIER“

Spis treści

Uwaga: Jeśli automatyczny katalog jest pusty, kliknij prawym przyciskiem myszy w Word → „Aktualizuj pole“.

1. preambuła i zakres zastosowania

Niniejszy Kodeks określa wiążące zasady, procesy i kontrole dotyczące rozwoju, zaopatrzenia, obsługi i wykorzystania sztucznej inteligencji w Grupie LEGIER. Obowiązuje on w całej Grupie w odniesieniu do pracowników, kierowników, podmiotów przetwarzających umowy, dostawców i partnerów. Integruje istniejące wytyczne Grupy (ochrona danych, procesy usług cyfrowych, ład korporacyjny, zrównoważony rozwój, polityka praw człowieka, oświadczenie o współczesnym niewolnictwie) i rozszerza je o wymagania specyficzne dla sztucznej inteligencji. Cel jest zapewnienie korzyści i innowacji, umożliwienie zarządzania ryzykiem oraz ochrona praw użytkowników, klientów i ogółu społeczeństwa. 2. podstawowe wartości i zasady przewodnie  
  • Godność ludzka i prawa podstawowe stać ponad efektywnością ekonomiczną. Sztuczna inteligencja służy ludziom - nigdy na odwrót.
  • Zgodność z prawem: Zgodność z Unijna ustawa o sztucznej inteligencji, RODO, DSA i standardy sektorowe. Brak stosowania niedozwolonych praktyk.
  • Odpowiedzialność i rozliczalność: Dla każdego systemu AI wyznaczany jest odpowiedzialny właściciel; decyzje są identyfikowalne i zaskarżalne.
  • Proporcjonalność: Równowaga celu, ryzyka, intensywności interwencji i wpływu społecznego.
  • Przejrzystość i zrozumiałość: Odpowiednie informacje, dokumentacja i kanały komunikacji dotyczące funkcjonalności, sytuacji danych i ograniczeń.
  • Sprawiedliwość i integracja: Systematyczne testowanie stronniczości, ochrona grup szczególnie wrażliwych, dostępność i wielojęzyczność.
  • Bezpieczeństwo i odporność: Security-by-design, defence-in-depth, ciągłe wzmacnianie i monitorowanie.
  • Zrównoważony rozwój: Wydajność modeli i centrów danych (energia, PUE/CFE), widok cyklu życia danych/modeli.

3. zarządzanie i obowiązki (Rada Etyki AI, RACI)

Rada Etyki AI (AIEB): Interdyscyplinarny (technologia, prawo/zgodność, ochrona danych, bezpieczeństwo, redakcja/produkt, ludzie). Zadania: Aktualizacja polityk, wydawanie zgód (szczególnie wysokiego ryzyka), decydowanie o konfliktach, monitorowanie raportów. Role: Właściciel przypadku użycia, właściciel modelu, Data Steward, DPO, Security Lead, redaktor odpowiedzialny, właściciel usługi, kierownik ds. zamówień. Komitety i bramy: Zatwierdzenie AIIA przed uruchomieniem; rada doradcza ds. zmian w przypadku istotnych zmian; coroczne przeglądy zarządzania. Zasada RACI: Wyraźne przypisanie odpowiedzialności za każde działanie (Odpowiedzialny, Odpowiedzialny, Konsultowany, Poinformowany).

4. ramy prawne i normalizacyjne (ustawa UE o sztucznej inteligencji, RODO, DSA, prawo autorskie, prawo handlowe)

  • EU-AI-Act: Ramy oparte na ryzyku z zakazami, obowiązkami dotyczącymi systemów wysokiego ryzyka, dokumentacją, rejestrowaniem, zarządzaniem, obowiązkami w zakresie przejrzystości; stosowanie rozłożone w czasie od 2025/2026 r.
  • RODO: Podstawy prawne (art. 6/9), prawa osób, których dane dotyczą, uwzględnienie ochrony prywatności w fazie projektowania/zamierzenia, ocena skutków dla ochrony danych (DPIA), przekazywanie danych do państw trzecich (art. 44 i nast.).
  • DSA: Procesy platformy dotyczące powiadomień, skarg, raportów przejrzystości, ocen ryzyka dużych platform.
  • Prawa autorskie i prawa pokrewne / prawa osobiste: Przejrzyste łańcuchy licencyjne, prawa do wizerunku/nazwy, prawa do domicylu stron trzecich.
  • Wymagania specyficzne dla branży (np. prawo lotnicze/morskie/Health).

5. klasyfikacja ryzyka i ocena wpływu sztucznej inteligencji (AIIA)

Klasyfikacja:
  1. Praktyki zabronione (niedozwolone)
  2. Systemy wysokiego ryzyka (rygorystyczne obowiązki)
  3. Ograniczone ryzyko (przejrzystość)
  4. Zminimalizowane ryzyko
Procedura AIIA: Opis Cel/zakres, interesariusze, podstawa prawna, źródła danych; analiza ryzyka (prawnego, etycznego, bezpieczeństwa, stronniczości, wpływu na środowisko); plan łagodzenia skutków; decyzja (zatwierdzenie przez AIEB). Ponowne oceny: W przypadku istotnych zmian, corocznie w przypadku wysokiego ryzyka; dokumentacja w centralnym rejestrze.

6. etyka danych i ochrona danych (podstawa prawna, DPIA, pliki cookie, państwo trzecie)

  • Minimalizacja danych i ograniczenie celu; Preferowana pseudonimizacja/anonimizacja.
  • Przejrzystość: Informacje o ochronie danych, kanały informowania i usuwania danych; możliwość przenoszenia danych; opcje sprzeciwu.
  • Pliki cookie/śledzenie: Zarządzanie zgodami; odwołanie; anonimizacja IP; tylko zatwierdzone narzędzia.
  • Transfery z krajów trzecich: Tylko z odpowiednimi gwarancjami (SCC/adekwatność); regularne testowanie podprzetwarzających.
  • DPIA: Obowiązkowe w przypadku przetwarzania wysokiego ryzyka; dokumentowanie środków technicznych/organizacyjnych (TOM).

7. cykl życia modeli i danych (ML-Lifecycle, karty Data, karty modeli)

Data Cykl życia: Pozyskiwanie → Opieka → Etykietowanie → Bramki jakości → Wersjonowanie → Przechowywanie/usuwanie. Cykl życia modelu: Definicja problemu → Wybór architektury → Szkolenie/finetuning → Ocena (offline/online) → Wydanie → Obsługa → Monitorowanie → Ponowne szkolenie/wycofanie. Karty Data: Pochodzenie, reprezentatywność, jakość, ustalenia dotyczące stronniczości, ograniczenia wykorzystania. Karty modeli: Cel, dane szkoleniowe, testy porównawcze, metryki, ograniczenia, oczekiwane wzorce błędów, zalecenia/zakazy. Pochodzenie i odtwarzalność: Hasła, wersje danych/modeli, weryfikacje potoków.

8. przejrzystość, zrozumiałość i instrukcje dla użytkownika

  • Etykietowanie dla interakcji AI i treści generowanych przez AI.
  • Wyjaśnialność: Używaj dostosowanych do przypadku, przyjaznych dla laika wyjaśnień (lokalnych/globalnych).
  • Instrukcje dla użytkownika: Cel, główne czynniki wpływające, ograniczenia; informacje zwrotne i metody korekty.

9. człowiek w pętli i obowiązki nadzorcze

  • Nadzór ludzki jako standard dla istotnych decyzji (szczególnie wysokiego ryzyka).
  • Zasada czterech oczu w przypadku zadań o charakterze redakcyjnym/społecznym.
  • Funkcje zastępowania/anulowania; ścieżki eskalacji; dokumentacja.

10. bezpieczeństwo, solidność i red-teaming (szybkie wstrzykiwanie, jailbreaki)

  • Modelowanie zagrożeń (STRIDE + specyficzne dla AI): Prompt injection, zatruwanie danych treningowych, kradzież modeli, wyciek ochrony danych.
  • Red teaming i testy adwersarzy; zapobieganie jailbreakowi; ograniczanie szybkości; filtrowanie danych wyjściowych; skanowanie bieżnika 1TP63.
  • Solidność: Podpowiedzi awaryjne, poręcze, plany wycofania; wydania kanaryjskie; testy chaosu dla bezpieczeństwa.

11. łańcuch dostaw, prawa człowieka i uczciwa praca (współczesne niewolnictwo, odpowiednik LkSG)

  • Należyta staranność w zakresie praw człowieka: Analiza ryzyka, kodeks postępowania dostawcy, zobowiązania umowne, audyty, działania naprawcze.
  • Współczesne niewolnictwo: Deklaracja roczna, uwrażliwienie, kanały raportowania.
  • Standardy pracy: Sprawiedliwe wynagrodzenie, godziny pracy, ochrona zdrowia; ochrona sygnalistów.

12. zarządzanie uprzedzeniami, sprawiedliwość i integracja (wrażliwi klienci, dostępność)

  • Kontrola uprzedzeń: Analizy zestawów danych, równoważenie, różne grupy testowe, wskaźniki sprawiedliwości; udokumentowane środki łagodzące.
  • Zagrożeni klienci: Cele ochrony, alternatywne kanały, jasny język; brak wykorzystywania słabości poznawczych.
  • Dostępność: WCAG-Zgodność; wielojęzyczność; podejście integracyjne.

13. generatywna sztuczna inteligencja, dowód pochodzenia i etykietowanie (C2PA, znak wodny)

  • Etykietowanie: Widoczne etykiety/metadane dla treści AI; podpowiedź dla interakcji.
  • Gwarancje pochodzenia: C2PA-kontekst, podpisy/znaki wodne, o ile jest to technicznie możliwe.
  • Prawa autorskie/ochrona usług: Wyjaśnienie licencji; szkolenie w zakresie zgodności danych; dokumentowanie łańcucha praw.

14. zawartość, moderacja i procesy DSA (raportowanie, skargi, przejrzystość)

  • Kanały raportowania: Niskoprogowe zgłoszenia użytkowników; priorytetowe przetwarzanie nielegalnych treści.
  • Procesy reklamacyjne: Przejrzyste uzasadnienie, sprzeciw, eskalacja.
  • Raporty dotyczące przejrzystości: Okresowa publikacja odpowiednich kluczowych danych liczbowych i środków.

15. zastosowanie specyficzne dla domeny (Wiadomości, Data, Health, Lotnictwo, Yachts, Estate, Pay/Trade/Trust/Coin, Cars)

  • Wiadomości/Publikacje: Pomoc w badaniach, tłumaczenie, moderacja; jasne oznaczanie treści generatywnych.
  • SCANDIC DATA: Bezpieczna infrastruktura AI/HPC, separacja klientów, HSM/KMS, obserwowalność, artefakty zgodności.
  • Health: Użycie oparte na dowodach, ostateczna decyzja człowieka, brak niesprawdzonych diagnoz.
  • Aviation/Yachts: Procesy bezpieczeństwa, nadzór nad ludźmi, procedury awaryjne.
  • Estate: Modele wyceny z kontrolą uczciwości; integracja ESG.
  • Pay/Trade/Trust/Coin: Zapobieganie oszustwom, KYC/AML, nadzór rynku, wytłumaczalne decyzje.
  • Cars: Spersonalizowane usługi przy ścisłej ochronie danych.

16. Strony trzecie, zaopatrzenie i zarządzanie ryzykiem dostawców

  • Należyta staranność przed wdrożeniem: Poziom bezpieczeństwa/ochrony danych, lokalizacje danych, podprocesory, certyfikaty.
  • Kontrakty: Prawa do audytu, klauzule przejrzystości i naprawcze, wskaźniki SLA/OLA.
  • Monitorowanie: KPI wydajności, wymiana ustaleń/incydentów, plany wyjścia.

17. działanie, możliwość obserwacji, plany awaryjne i ponownego uruchomienia

  • Działanie: Obserwowalność (logi, metryki, ślady), zarządzanie SLO/SLI, planowanie wydajności.
  • Nagły wypadek: Runbooki, testy DR, czasy odzyskiwania, plany komunikacji.
  • Zarządzanie konfiguracją/sekretami: Najmniejsze uprawnienia, rotacje, hartowanie.

18. Incydenty i środki zaradcze (etyka, ochrona danych, bezpieczeństwo)

  • Incydenty związane z etyką: Niepożądana dyskryminacja, dezinformacja, niejasne pochodzenie - natychmiastowe działania i przegląd AIEB.
  • Incydenty związane z ochroną danych: Procesy raportowania do inspektora ochrony danych/nadzoru; informacje dla zainteresowanych stron; analiza przyczyn źródłowych.
  • Incydenty bezpieczeństwa: Procedury CSIRT, kryminalistyka, wyciągnięte wnioski, środki zapobiegawcze.

19. wskaźniki, KPI i zapewnienie (wewnętrzne/zewnętrzne)

  • Obowiązkowe wskaźniki KPI: 100 % pokrycie AIIA produktywnych przypadków użycia AI; 95 % wskaźnik szkoleń; 0 otwartych krytycznych ustaleń z audytu.
  • Wskaźniki sprawiedliwości: Zróżnicowany wpływ, wyrównane szanse (stosowanie w zależności od przypadku).
  • Zrównoważony rozwój: Dane dotyczące energii/PUE/emisji dwutlenku węgla centrów danych; wydajność modeli.

20. szkolenia, świadomość i zmiany kulturowe

  • Szkolenie obowiązkowe (coroczne): Etyka AI, ochrona danych, bezpieczeństwo, etyka mediów; moduły specyficzne dla grup docelowych.
  • Kampanie uświadamiające: Przewodniki, sesje z brązową torbą, godziny konsultacji; wewnętrzne społeczności praktyków.
  • Kultura: Przywództwo jako wzór do naśladowania, kultura błędów, nagradzanie odpowiedzialnego zachowania.

21. wdrożenie i mapa drogowa (0-6 / 6-12 / 12-24 miesięcy)

  • 0-6 miesięcy: Inwentaryzacja przypadków użycia sztucznej inteligencji; proces AIIA; minimalne kontrole; fala szkoleń; kontrola dostawców.
  • 6-12 miesięcy: Wdrożenie red teamingu; pierwsze raporty przejrzystości; program energetyczny; finalizacja RACI.
  • 12-24 miesięcy: Dostosowanie do ISO/IEC-42001; ograniczona gwarancja; ciągłe doskonalenie; przygotowanie CSRD/ESRS (jeśli dotyczy).

22. rolki i macierz RACI

  • Właściciel przypadku użycia (A): Cel, korzyści, KPI, budżet, ponowne oceny.
  • Model-Właściciel (R): Dane/szkolenie/ocena, karta modelu, monitorowanie dryfu.
  • Inspektor ochrony danych (C/A ds. ochrony danych): Podstawa prawna, ocena skutków dla ochrony danych, prawa osób, których dane dotyczą.
  • Security Lead (C): Modelowanie zagrożeń, red teaming, TOM.
  • Redaktor odpowiedzialny (C): Etyka mediów, etykietowanie, rejestr korekt.
  • Właściciel usługi (R): Obsługa, SLO, zarządzanie incydentami.
  • Kierownik ds. zamówień (R/C): Osoby trzecie, umowy, plany wyjścia.

23. listy kontrolne (AIIA short, data release, go-live gate)

  • Szybkie sprawdzenie AIIA: Cel? Podstawa prawna? Dotknięte strony? Ryzyko (prawne/etyczne/1TP63Bezpieczeństwo/obiektywizm/środowisko)? Środki łagodzące? Kontrole HIL?
  • Udostępnianie danych: Źródło zgodne z prawem? Minimalizacja? Przechowywanie? Dostęp? Kraj trzeci?
  • Go-Live-Gate: Artefakty są kompletne (Data/karty modeli, dzienniki)? Czy wyniki Red Team zostały uwzględnione? Konfiguracja monitorowania/DR?

24. formularze i szablony (karta wzoru, karta Data, raport z incydentu)

  • Model-Card-Template: Cel, dane, szkolenie, poziomy odniesienia, ograniczenia, ryzyko, osoby odpowiedzialne, kontakt.
  • Data-Card-Template: Pochodzenie, licencja, jakość, reprezentatywność, kontrole stronniczości, ograniczenia wykorzystania.
  • Szablon raportu z incydentu: Incydent, skutki, osoby poszkodowane, środki natychmiastowe, przyczyna źródłowa, środek zaradczy, wyciągnięte wnioski.

25 Słowniczek i odniesienia

Słowniczek: System AI, generatywna AI, system wysokiego ryzyka, AIIA, HIL, C2PA, red teaming, DPIA, RACI, SLO/SLI. Referencje:
Uwaga: Niniejszy Kodeks AI uzupełnia istniejące wytyczne LEGIER, takie jak m.in: (ochrona danych, usługi cyfrowe, prawa człowieka/łańcuch dostaw, ład korporacyjny, zrównoważony rozwój, współczesne niewolnictwo). Stanowi on integralną część ram zgodności Grupy LEGIER (LEGIER Beteiligungs mbH).