AI Código de Ética do Grupo LEGIER e "SANDIC by LEGIER

 
 

Índice

 

Nota: Se o diretório automático aparecer vazio, clique com o botão direito do rato no Word → "Atualizar campo".

 

 
 
 

1. preâmbulo e âmbito de aplicação

O presente Código estabelece princípios, processos e controlos vinculativos para o desenvolvimento, aquisição, operação e utilização da IA no Grupo LEGIER. Aplica-se em todo o Grupo aos colaboradores, gestores, subcontratantes, fornecedores e parceiros.

Integra as orientações existentes do Grupo (proteção de dados, processos de serviços digitais, governação empresarial, sustentabilidade, política de direitos humanos, declaração sobre escravatura moderna) e alarga-as de modo a incluir requisitos específicos da IA.

 

Objetivo é permitir benefícios e inovação, tornar os riscos geríveis e proteger os direitos dos utilizadores, dos clientes e do público em geral.

 

2. valores básicos e princípios orientadores

 

  • Dignidade humana e direitos fundamentais está acima da eficiência económica. A IA serve as pessoas - nunca o contrário.
  • Conformidade legal: Conformidade com Lei da IA da UE, RGPD, DSA e normas sectoriais específicas. Não utilização de práticas proibidas.
  • Responsabilidade e obrigação de prestar contas: É nomeado um proprietário responsável para cada sistema de IA; as decisões são rastreáveis e contestáveis.
  • Proporcionalidade: Equilíbrio entre objetivo, risco, intensidade da intervenção e impacto social.
  • Transparência e explicabilidade: Informação, documentação e canais de comunicação adequados sobre a funcionalidade, a situação dos dados e as suas limitações.
  • Equidade e inclusão: Testes sistemáticos de preconceitos, proteção de grupos vulneráveis, acessibilidade e multilinguismo.
  • Segurança e resiliência: Segurança desde a conceção, defesa em profundidade, reforço e monitorização contínuos.
  • Sustentabilidade: Eficiência dos modelos e centros de dados (energia, PUE/CFE), visão do ciclo de vida dos dados/modelos.
 
 

3. governação e responsabilidades (Conselho de Ética da IA, RACI)

 

Conselho de Ética da IA (AIEB): Interdisciplinar (tecnologia, jurídico/conformidade, proteção de dados, segurança, editorial/produto, pessoas). Tarefas: Atualização de políticas, emissão de aprovações (especialmente de alto risco), decisão sobre conflitos, acompanhamento de relatórios.

Funções: Responsável pelos casos de utilização, responsável pelo modelo, responsável pelos dados, DPO, responsável pela segurança, editor responsável, responsável pelo serviço, responsável pelo aprovisionamento.

Comités e portais: Aprovação da AIIA antes da entrada em funcionamento; conselho consultivo para alterações materiais; análises anuais da gestão.

Princípio RACI: Atribuição clara de responsabilidades para cada atividade (Responsável, Responsabilizado, Consultado, Informado).

 

4. quadro jurídico e de normalização (Lei da IA da UE, GDPR, DSA, direitos de autor, direito comercial)

 
  • Ato UE-AI: Quadro baseado no risco com proibições, obrigações para sistemas de alto risco, documentação, registo, governação, obrigações de transparência; aplicabilidade escalonada a partir de 2025/2026.
  • RGPD: Bases jurídicas (art. 6.º/9), direitos das pessoas em causa, privacidade desde a conceção/por defeito, avaliação do impacto da proteção de dados (AIPD), transferências para países terceiros (art. 44.º e seguintes).
  • DSA: Processos das plataformas para notificação, queixas, relatórios de transparência, avaliações de risco das grandes plataformas.
  • Direitos de autor e direitos conexos / direitos pessoais: Cadeias de licenças claras, direitos de imagem/nome, direitos de domiciliação de terceiros.
  • Requisitos específicos do sector (por exemplo, direito aeronáutico/marítimo/saúde) devem ser igualmente respeitadas.
 

5. classificação dos riscos e avaliação do impacto da IA (AIIA)

 
 

Classificação:

  1. Práticas proibidas (não autorizadas)
  2. Sistemas de alto risco (obrigações estritas)
  3. Risco limitado (transparência)
  4. Risco minimizado

Procedimento AIIA: Descrição Objetivo/âmbito, partes interessadas, base jurídica, fontes de dados; análise de riscos (jurídicos, éticos, de segurança, de preconceitos, de impacto ambiental); plano de atenuação; decisão (aprovação do AIEB).

Reavaliações: Para alterações materiais, anualmente para risco elevado; documentação no registo central.

 

6. ética e proteção de dados (base jurídica, DPIA, cookies, país terceiro)

 
  • Minimização dos dados e limitação da finalidade; É preferível a pseudonimização/anonimização.
  • Transparência: Informações sobre proteção de dados, canais de informação e eliminação; portabilidade; opções de objeção.
  • Cookies/rastreamento: Gestão do consentimento; revogação; anonimização do IP; apenas ferramentas aprovadas.
  • Transferências de países terceiros: Apenas com garantias adequadas (SCC/adequação); testes regulares dos subcontratantes.
  • DPIA: Obrigatório para o processamento de alto risco; documentar as medidas técnicas/organizacionais (MTO).
 
 

7. ciclo de vida do modelo e dos dados (ciclo de vida do ML, cartões de dados, cartões de modelo)

 

Ciclo de vida dos dados: Aquisição → Curadoria → Rotulagem → Gates de qualidade → Controlo de versões → Retenção/eliminação.

Ciclo de vida do modelo: Definição do problema → Seleção da arquitetura → Formação/confinamento → Avaliação (offline/online) → Lançamento → Funcionamento → Monitorização → Reciclagem/reforma.

Cartões de dados: Origem, representatividade, qualidade, resultados tendenciosos, restrições à utilização.

Cartões modelo: Objetivo, dados de formação, parâmetros de referência, métricas, limitações, padrões de erro esperados, o que fazer e o que não fazer.

Proveniência e reprodutibilidade: Hashes, versões de dados/modelos, verificações de condutas.

 

8. transparência, explicabilidade e instruções para os utilizadores

 
  • Rotulagem para interação com IA e conteúdos gerados por IA.
  • Explicabilidade: Utilizar explicações adaptadas a cada caso e de fácil compreensão para os leigos (local/global).
  • Instruções para o utilizador: Objetivo, principais factores de influência, limites; métodos de feedback e de correção.
 

9. funções humanas no circuito e de supervisão

 
  • Supervisão humana como norma para decisões relevantes (especialmente de alto risco).
  • Princípio dos quatro olhos para os trabalhos sensíveis do ponto de vista editorial/social.
  • Funções de substituição/cancelamento; vias de escalonamento; documentação.
 

10. segurança, robustez e red-teaming (injeção rápida, jailbreaks)

 
  • Modelação de ameaças (STRIDE + específica para IA): Injeção de prompts, envenenamento de dados de treino, roubo de modelos, fuga de proteção de dados.
  • Red teaming e testes adversários; prevenção de jailbreak; limitação de taxa; filtragem de saída; scanning secreto.
  • Robustez: Avisos de recuo, barreiras de proteção, planos de reversão; lançamentos canários; testes de caos para segurança.
 

11. cadeia de abastecimento, direitos humanos e trabalho justo (escravatura moderna, análogo ao LkSG)

 
  • Diligência devida em matéria de direitos humanos: Análise de risco, código de conduta do fornecedor, compromissos contratuais, auditorias, medidas corretivas.
  • Escravatura moderna: Declaração anual, sensibilização, canais de comunicação.
  • Normas laborais: Remuneração justa, horário de trabalho, proteção da saúde; proteção dos autores de denúncias.
 

12. gestão de preconceitos, equidade e inclusão (clientes vulneráveis, acessibilidade)

 
  • Controlo de preconceitos: Análises de conjuntos de dados, equilíbrio, vários grupos de teste, métricas de equidade; atenuação documentada.
  • Clientes em risco: Objectivos de proteção, canais alternativos, linguagem clara; não explorar as fraquezas cognitivas.
  • Acessibilidade: WCAG-Conformidade; multilinguismo; abordagem inclusiva.
 

13. IA generativa, prova de origem e rotulagem (C2PA, marca de água)

 
  • Rotulagem: Rótulos/metadados visíveis para conteúdos de IA; sugestão para interações.
  • Garantias de origem: C2PA-contexto, assinaturas/marcas de água, na medida do tecnicamente possível.
  • Direitos de autor/proteção de serviços: Esclarecer as licenças; formar a conformidade dos dados; documentar a cadeia de direitos.
 

14. conteúdo, moderação e processos DSA (relatórios, queixas, transparência)

 
  • Canais de comunicação: Comunicação dos utilizadores com um limiar baixo; tratamento prioritário dos conteúdos ilegais.
  • Processos de reclamação: Justificação, objeção e escalonamento transparentes.
  • Relatórios de transparência: Publicação periódica dos principais números e medidas relevantes.
 

15. utilização específica de um domínio (notícias, dados, saúde, aviação, iates, património, pagamento/comércio/confiança/moeda, automóveis)

 
  • Notícias/edição: Assistência à investigação, tradução, moderação; rotulagem clara do conteúdo generativo.
  • DADOS ESCANDALOSOS: Infraestrutura segura de IA/HPC, separação de clientes, HSM/KMS, observabilidade, artefactos de conformidade.
  • Saúde: Utilização baseada em provas, decisão final humana, sem diagnósticos não testados.
  • Aviação/iates: Processos de segurança, controlo humano, procedimentos de emergência.
  • Património: Modelos de avaliação com controlos de equidade; integração de ESG.
  • Pagar/Comercializar/Confiar/Coin: Prevenção da fraude, KYC/AML, vigilância do mercado, decisões explicáveis.
  • Automóveis: Serviços personalizados com proteção rigorosa dos dados.
 

16. gestão do risco de terceiros, aquisições e fornecedores

 
  • Diligência prévia à integração: Nível de segurança/proteção dos dados, localização dos dados, subprocessadores, certificados.
  • Contratos: Direitos de auditoria, cláusulas de transparência e de correção, métricas SLA/OLA.
  • Controlo: KPIs de desempenho, intercâmbio de conclusões/incidentes, planos de saída.
 

17. planos de funcionamento, observabilidade, emergência e reinício de atividade

 
  • Funcionamento: Observabilidade (registos, métricas, traços), gestão SLO/SLI, planeamento da capacidade.
  • Emergência: Runbooks, testes DR, tempos de recuperação, planos de comunicação.
  • Configuração/gestão de segredos: Privilégio mínimo, rotações, endurecimento.
 

18. incidentes e vias de recurso (ética, proteção de dados, segurança)

 
  • Incidentes de ética: Discriminação indesejada, desinformação, origem pouco clara - medidas imediatas e revisão do AIEB.
  • Incidentes de proteção de dados: Processos de comunicação ao RPD/supervisão; informação das partes afectadas; análise da causa principal.
  • Incidentes de segurança: Procedimentos CSIRT, análise forense, lições aprendidas, medidas preventivas.
 

19. métricas, KPIs e garantia (interna/externa)

 
  • KPIs obrigatórios: 100 % cobertura AIIA de casos de utilização produtiva de IA; 95 taxa de formação %; 0 constatações de auditoria críticas abertas.
  • Métricas de equidade: Impacto desigual, probabilidades igualadas (utilizar caso específico).
  • Sustentabilidade: Valores de energia/PUE/carbono dos centros de dados; eficiência dos modelos.
 

20. formação, sensibilização e mudança cultural

 
  • Formação obrigatória (anual): Ética da IA, proteção de dados, segurança, ética dos meios de comunicação social; módulos específicos para grupos-alvo.
  • Campanhas de sensibilização: Guias, sessões de informação, horas de consulta; comunidades internas de prática.
  • Cultura: Liderança como modelo, cultura do erro, recompensa do comportamento responsável.
 

21. implementação e roteiro (0-6 / 6-12 / 12-24 meses)

 
  • 0-6 meses: Inventário de casos de utilização de IA; processo AIIA; controlos mínimos; onda de formação; seleção de fornecedores.
  • 6-12 meses: Implementar o red teaming; primeiros relatórios de transparência; programa de energia; finalizar o RACI.
  • 12-24 meses: Alinhamento com a norma ISO/IEC-42001; garantia limitada; melhoria contínua; preparação do CSRD/ESRS (se aplicável).
 

22. rolos e matriz RACI

 
  • Proprietário do caso de utilização (A): Objetivo, benefícios, KPIs, orçamento, reavaliações.
  • Proprietário-Modelo (R): Dados/formação/avaliação, cartão de modelo, monitorização da deriva.
  • DPO (C/A para a proteção de dados): Base jurídica, AIPD, direitos das pessoas em causa.
  • Chefe de Segurança (C): Modelação de ameaças, red teaming, TOMs.
  • Editor responsável (C): Ética dos meios de comunicação social, rotulagem, registo de correção.
  • Proprietário do serviço (R): Operação, SLO, gestão de incidentes.
  • Chefe de compras (R/C): Terceiros, contratos, planos de saída.
 

23. listas de controlo (AIIA curta, libertação de dados, porta de entrada em funcionamento)

 
  • Verificação rápida da AIIA: Objetivo? Base jurídica? Partes afectadas? Riscos (jurídicos/éticos/segurança/preconceitos/ambientais)? Mitigação? Controlos HIL?
  • Divulgação de dados: Origem lícita? Minimização? Retenção? Acesso? País terceiro?
  • Go-Live-Gate: Artefactos completos (cartões de dados/modelo, registos)? Resultados da equipa vermelha tratados? Monitorização/DR configurada?
 

24. formulários e modelos (cartão de modelo, cartão de dados, relatório de incidente)

 
  • Modelo-Cartão-Template: Objetivo, dados, formação, parâmetros de referência, limitações, riscos, pessoas responsáveis, contacto.
  • Modelo de cartão de dados: Origem, licença, qualidade, representatividade, controlos de enviesamento, restrições de utilização.
  • Modelo de relatório de incidente: Incidente, efeitos, pessoas afectadas, medidas imediatas, causa principal, solução, lições aprendidas.
 

25 Glossário e referências

 

Glossário: Sistema de IA, IA generativa, sistema de alto risco, AIIA, HIL, C2PA, equipa vermelha, DPIA, RACI, SLO/SLI.

Referências:

 
 

Nota: Este Código de IA complementa as diretrizes LEGIER existentes, tais como, entre outras: (Proteção de Dados, Serviços Digitais, Direitos Humanos/Cadeia de Fornecimento, Governação Corporativa, Sustentabilidade, Escravatura Moderna). Ele é parte integrante do quadro de conformidade do Grupo LEGIER (LEGIER Beteiligungs mbH).