Етичний кодекс АУ ЮРИСТА та групи компаній "SANDIC by LEGIER"

 
 

Зміст

 

Зауважте: Якщо автоматична директорія виглядає порожньою, клацніть правою кнопкою миші у Word → "Оновити поле".

 

 
 
 

1. преамбула та сфера застосування

Цей Кодекс встановлює обов'язкові принципи, процеси та засоби контролю для розробки, закупівлі, експлуатації та використання ШІ в Групі LEGIER. Він поширюється на всіх співробітників, менеджерів, виконавців контрактів, постачальників і партнерів Групи компаній LEGIER.

Він об'єднує існуючі керівні принципи Групи (захист даних, процеси надання цифрових послуг, корпоративне управління, сталий розвиток, політика в галузі прав людини, заява про сучасне рабство) і розширює їх, включаючи вимоги, що стосуються штучного інтелекту.

 

Мета полягає в тому, щоб забезпечити переваги та інновації, зробити ризики керованими та захистити права користувачів, клієнтів і широкої громадськості.

 

2. основні цінності та керівні принципи

 

  • Людська гідність та основоположні права стоять вище за економічну ефективність. ШІ служить людям, а не навпаки.
  • Юридична відповідність: Дотримання вимог Закон ЄС про штучний інтелект, GDPR, DSA та галузевих стандартів. Відсутність використання заборонених практик.
  • Відповідальність та підзвітність: Для кожної системи ШІ призначається відповідальний власник; рішення можна відстежити та оскаржити.
  • Пропорційність: Баланс мети, ризику, інтенсивності втручання та соціального впливу.
  • Прозорість та зрозумілість: Адекватна інформація, документація та канали зв'язку щодо функціональності, ситуацій з даними та обмежень.
  • Справедливість та інклюзивність: Систематичне тестування на упередженість, захист вразливих груп, доступність та багатомовність.
  • Безпека та стійкість: Безпека за задумом, глибокий захист, безперервне загартування та моніторинг.
  • Стійкість: Ефективність моделей і центрів обробки даних (енергія, PUE/CFE), перегляд життєвого циклу даних/моделей.
 
 

3. управління та відповідальність (Рада з етики АІ, RACI)

 

Рада з етики AI (AIEB): Міждисциплінарний (технологічний, юридичний/комплаєнс, захист даних, безпека, редакція/продукт, люди). Завдання: Оновлення політик, видача дозволів (особливо високого ризику), вирішення конфліктів, моніторинг звітів.

Ролі: Власник варіанту використання, власник моделі, розпорядник даних, директор з безпеки, відповідальний редактор, власник сервісу, керівник закупівель.

Комітети та шлюзи: Затвердження AIIA перед запуском в експлуатацію; консультативна рада з питань суттєвих змін; щорічні управлінські огляди.

Принцип RACI: Чіткий розподіл відповідальності за кожен вид діяльності (відповідальний, підзвітний, консультований, поінформований).

 

4. правова база та стандартизація (Закон ЄС про штучний інтелект, GDPR, DSA, авторське право, торгове право)

 
  • EU-AI-Act: Ризик-орієнтована система із заборонами, зобов'язаннями щодо систем підвищеного ризику, документації, реєстрації, управління, зобов'язаннями щодо прозорості; поетапне застосування з 2025/2026 років.
  • GDPR: Правові основи (ст. 6/9), права суб'єктів даних, конфіденційність за задумом/за замовчуванням, оцінка впливу на захист даних (DPIA), передача даних до третіх країн (ст. 44 і далі).
  • DSA: Платформні процеси для повідомлень, скарг, звітів про прозорість, оцінки ризиків великих платформ.
  • Авторське право та суміжні права / особисті права: Чіткі ліцензійні ланцюжки, права на зображення/назви, доміцилійні права третіх сторін.
  • Галузеві вимоги (наприклад, авіаційне/морське право/охорона здоров'я) також повинні бути дотримані.
 

5. класифікація ризиків та оцінка впливу штучного інтелекту (AIIA)

 
 

Класифікація:

  1. Заборонені практики (не допускаються)
  2. Системи з високим ризиком (суворі зобов'язання)
  3. Обмежений ризик (прозорість)
  4. Мінімізація ризиків

Процедура AIIA: Опис Мета/обсяг, зацікавлені сторони, правова основа, джерела даних; аналіз ризиків (правових, етичних, безпеки, упередженості, впливу на навколишнє середовище); план пом'якшення наслідків; рішення (схвалення АІЕБ).

Переоцінки: Для суттєвих змін - щорічно для високого ризику; документація в центральному реєстрі.

 

6. етика даних та захист даних (правова основа, DPIA, файли cookie, треті країни)

 
  • Мінімізація даних та обмеження цілей; Бажана псевдонімізація/анонімізація.
  • Прозорість: Інформація про захист даних, канали інформування та видалення; портативність; можливості заперечення.
  • Файли cookie/відстеження: Управління згодою; відкликання; анонімізація ІВ; тільки схвалені інструменти.
  • Перекази з третіх країн: Тільки з відповідними гарантіями (SCC/адекватність); регулярне тестування субпроцесорів.
  • DPIA: Обов'язково для обробки високого ризику; документуйте технічні/організаційні заходи (ТЗ).
 
 

7. життєвий цикл моделі та даних (життєвий цикл ML, картки даних, картки моделей)

 

Життєвий цикл даних: Придбання → Курація → Етикетування → Ворота якості → Редагування версій → Збереження/видалення.

Життєвий цикл моделі: Визначення проблеми → Вибір архітектури → Навчання/доопрацювання → Оцінка (офлайн/онлайн) → Випуск → Експлуатація → Моніторинг → Перепідготовка/виведення на пенсію.

Карти пам'яті: Походження, репрезентативність, якість, упередженість висновків, обмеження на використання.

Зразки для наслідування: Мета, навчальні дані, еталони, метрики, обмеження, очікувані типи помилок, що робити/не робити.

Походження та відтворюваність: Хеші, версії даних/моделей, перевірки конвеєрів.

 

8. прозорість, зрозумілість та інструкції для користувачів

 
  • Маркування для взаємодії зі штучним інтелектом і контенту, створеного штучним інтелектом.
  • Пояснюваність: Використовуйте пояснення, адаптовані до конкретного випадку, зрозумілі для нефахівців (локальні/глобальні).
  • Інструкція для користувача: Мета, основні фактори впливу, обмеження; методи зворотного зв'язку та корекції.
 

9. людина в циклі та наглядові обов'язки

 
  • Людський нагляд як стандарт для відповідних рішень (особливо високого ризику).
  • Принцип "чотирьох очей" для редакційно/соціально чутливих завдань.
  • Функції перевизначення/скасування; шляхи ескалації; документація.
 

10. безпека, надійність та red-teaming (швидка ін'єкція, джейлбрейки)

 
  • Моделювання загроз (STRIDE + специфічне для ШІ): Оперативна ін'єкція, отруєння навчальних даних, крадіжка моделей, витік захисту даних.
  • Red teaming & adversary tests; запобігання джейлбрейку; обмеження швидкості; вихідна фільтрація; секретне сканування.
  • Міцність: Підказки, запобіжники, плани відкату; випуски канарок; тести хаосу на безпеку.
 

11. ланцюг постачання, права людини та справедлива праця (Сучасне рабство, аналог LkSG)

 
  • Належна перевірка дотримання прав людини: Аналіз ризиків, кодекс поведінки постачальника, договірні зобов'язання, аудит, коригувальні дії.
  • Сучасне рабство: Щорічна декларація, інформування, канали звітності.
  • Трудові стандарти: Справедлива оплата праці, робочий час, охорона здоров'я; захист викривачів.
 

12. управління упередженнями, справедливість та інклюзія (вразливі клієнти, доступність)

 
  • Перевірка на упередженість: Аналіз наборів даних, балансування, різні тестові групи, метрики справедливості; задокументоване пом'якшення наслідків.
  • Клієнти в зоні ризику: Цілі захисту, альтернативні канали, зрозуміла мова, відсутність експлуатації когнітивних слабкостей.
  • Доступність: WCAG-Відповідність; багатомовність; інклюзивний підхід.
 

13. генеративний ШІ, доказ походження та маркування (C2PA, водяний знак)

 
  • Маркування: Видимі мітки/метадані для контенту зі штучним інтелектом; підказки для взаємодії.
  • Гарантії походження: C2PA-контекст, підписи/водяні знаки, наскільки це технічно можливо.
  • Авторські права/захист послуг: Уточнення ліцензій; відповідність навчальних даних; документування ланцюжка прав.
 

14. процеси контенту, модерації та DSA (звітність, скарги, прозорість)

 
  • Канали зв'язку: Низькопорогове звітування про користувачів; пріоритетна обробка незаконного контенту.
  • Процес розгляду скарг: Прозоре обґрунтування, заперечення, ескалація.
  • Звіти про прозорість: Періодична публікація відповідних ключових показників та заходів.
 

15. використання в конкретному домені (новини, дані, здоров'я, авіація, яхти, нерухомість, оплата/торгівля/траст/койн, автомобілі)

 
  • Новини/видання: Дослідницька допомога, переклад, модерація; чітке маркування генеративного контенту.
  • СКАНДАЛЬНІ ДАНІ: Безпечна інфраструктура AI/HPC, розділення клієнтів, HSM/KMS, спостережливість, артефакти комплаєнсу.
  • Здоров'я: Використання на основі доказів, остаточне рішення приймає людина, жодних неперевірених діагнозів.
  • Авіація / Яхти: Процеси безпеки, людський нагляд, аварійні процедури.
  • Маєток: Моделі оцінки з перевіркою на справедливість; інтеграція ESG.
  • Платіть/торгуйте/довіряйте/монети: Запобігання шахрайству, KYC/AML, нагляд за ринком, зрозумілі рішення.
  • Машини: Персоналізовані послуги з суворим захистом даних.
 

16. управління ризиками третіх осіб, закупівель та постачальників

 
  • Належна перевірка перед вступом на роботу: Рівень безпеки/захисту даних, розташування даних, підпроцесори, сертифікати.
  • Контракти: Права на аудит, прозорість та положення про виправлення помилок, метрики SLA/OLA.
  • Моніторинг: Ключові показники ефективності, обмін висновками/інцидентами, плани виходу.
 

17. Плани експлуатації, спостереження, аварійних ситуацій та перезапуску

 
  • Операція: Спостережуваність (журнали, метрики, траси), управління SLO/SLI, планування потужностей.
  • Надзвичайна ситуація: Бігові книги, тести на аварійне відновлення, час відновлення, плани зв'язку.
  • Управління конфігурацією/секретами: Найменший привілей, ротації, загартування.
 

18. інциденти та засоби захисту (етика, захист даних, безпека)

 
  • Етичні інциденти: Небажана дискримінація, дезінформація, незрозуміле походження - негайні заходи та огляд AIEB.
  • Інциденти, пов'язані із захистом даних: Процеси звітування перед DPO/наглядом; інформація для постраждалих сторін; аналіз першопричин.
  • Інциденти з безпекою: Процедури CSIRT, судова експертиза, отримані уроки, профілактичні заходи.
 

19. метрики, KPI та підтвердження (внутрішнє/зовнішнє)

 
  • Обов'язкові KPI: 100 % AIIA охоплення продуктивних кейсів використання ШІ; 95 % рівень навчання; 0 відкритих критичних результатів аудиту.
  • Метрики справедливості: Неоднаковий вплив, зрівняні шанси (залежно від конкретного випадку).
  • Стійкість: Показники енергоспоживання/використання енергії/викидів вуглецю в центрах обробки даних; ефективність моделей.
 

20. навчання, підвищення обізнаності та культурні зміни

 
  • Обов'язкове навчання (щорічне): Етика ШІ, захист даних, безпека, медіа-етика; модулі, орієнтовані на цільові групи.
  • Інформаційні кампанії: Путівники, сесії "коричневих мішків", години консультацій; внутрішні спільноти практиків.
  • Культура: Лідерство як зразок для наслідування, культура помилок, винагорода за відповідальну поведінку.
 

21. імплементація та дорожня карта (0-6 / 6-12 / 12-24 місяці)

 
  • 0-6 місяців: Інвентаризація кейсів використання ШІ; процес AIIA; мінімальний контроль; навчальна хвиля; перевірка постачальників.
  • 6-12 місяців: Впровадження червоної команди; перші звіти про прозорість; енергетична програма; завершення RACI.
  • 12-24 місяці: Узгодження з ISO/IEC-42001; обмежена впевненість; постійне вдосконалення; підготовка CSRD/ESRS (якщо застосовно).
 

22. рулони та матриця RACI

 
  • Власник варіанту використання (A): Мета, переваги, KPI, бюджет, переоцінки.
  • Модель-власник (R): Дані/Навчання/Оцінка, Модельна карта, Моніторинг дрейфу.
  • DPO (C/A для захисту даних): Правова основа, DPIA, права суб'єктів даних.
  • Керівник з питань безпеки (C): Моделювання загроз, червоні команди, TOMs.
  • Відповідальний редактор (С): Медіа-етика, маркування, реєстр виправлень.
  • Власник сервісу (R): Операції, SLO, управління інцидентами.
  • Керівник відділу закупівель (R/C): Треті особи, контракти, плани виходу.
 

23. контрольні списки (короткий AIIA, оприлюднення даних, запуск в експлуатацію)

 
  • Швидка перевірка: Мета? Правова основа? Зачеплені сторони? Ризики (правові / етичні / безпеки / упередження / екологічні)? Пом'якшення наслідків? Контроль HIL?
  • Видача даних: Джерело законне? Мінімізація? Збереження? Доступ? Третя країна?
  • Go-Live-Gate: Чи завершені артефакти (карти даних/моделі, журнали)? Результати Червоної команди враховані? Налагоджено моніторинг / ОР?
 

24. форми та шаблони (типова картка, картка даних, звіт про інцидент)

 
  • Модель-Картка-Шаблон: Мета, дані, навчання, контрольні показники, обмеження, ризики, відповідальні особи, контакт.
  • Шаблон картки даних: Походження, ліцензія, якість, репрезентативність, перевірка на упередженість, обмеження на використання.
  • Шаблон звіту про інцидент: Інцидент, наслідки, постраждалі особи, негайні заходи, першопричина, усунення, отримані уроки.
 

25 Глосарій та посилання

 

Глосарій: Система ШІ, генеративний ШІ, система високого ризику, AIIA, HIL, C2PA, red teaming, DPIA, RACI, SLO/SLI.

Посилання:

 
 

Зауважте: Цей Кодекс ШІ доповнює існуючі керівні принципи LEGIER, такі як, серед іншого: (Захист даних, Цифрові послуги, Права людини/Ланцюг поставок, Корпоративне управління, Сталий розвиток, Сучасне рабство). Він є невід'ємною частиною системи комплаєнсу групи LEGIER (LEGIER Beteiligungs mbH).