Política de Inteligência Artificial

Propósito

Esta política estabelece o marco de governança com o qual a Cloud Legion desenvolve, implementa, gerencia e usa a inteligência artificial (IA), com base nos princípios de transparência, privacidade desde a concepção, proporcionalidade, segurança integral e melhoria contínua. A Alta Direção promove uma adoção responsável e ética da IA e provê os recursos necessários para gerenciá-la dentro dos nossos marcos de segurança e privacidade.

Seus objetivos são:

Transparência e rastreabilidade: processos claros para compreender como funcionam os sistemas de IA e com quais critérios decidem, facilitando auditorias e revisões.
Confiabilidade e segurança: minimizar os riscos e assegurar que os sistemas funcionem como previsto, protegendo os dados e a robustez dos modelos diante de ataques ou falhas.
Ética e conformidade legal: respeitar os direitos das pessoas, incluindo a privacidade, a não discriminação e os direitos humanos.
Desempenho e eficiência: monitorar e melhorar continuamente o desempenho dos sistemas.
Decisões baseadas em dados: apoiar decisões informadas e precisas que gerem valor.
Inovação e melhoria contínua: atualizar os sistemas à medida que mudam a tecnologia e o mercado.
Responsabilidade social: que o uso da IA beneficie a sociedade, promova a confiança e minimize os impactos negativos.

Escopo e marco de referência

Aplica-se a todas as áreas e colaboradores da Cloud Legion que interagem com tecnologias de IA ou participam do ciclo de vida dos dados que elas usam, incluindo os serviços de consultoria, manutenção, operação, suporte e implementação de soluções tecnológicas, inclusive as baseadas em IA, para organizações públicas e privadas. Abrange os sistemas de IA que fornecemos e usamos durante todo o seu ciclo de vida, do projeto e desenvolvimento à implementação, ao monitoramento e à desativação.

Nosso Sistema de Gestão de Inteligência Artificial (AIMS) é certificado na norma ISO/IEC 42001:2023 e integrado aos nossos sistemas de segurança (ISO/IEC 27001) e privacidade (ISO/IEC 27701). Cumprimos a legislação de cada país em que atuamos, em particular a LGPD no Brasil e a Lei 25.326 na Argentina, e tomamos como referência o Regulamento de Inteligência Artificial da União Europeia (Regulamento UE 2024/1689) quando aplicável.

Governança

A Cloud Legion conta com um Comitê de Ética e Governança de IA multidisciplinar, integrado por:

Chief AI Officer (CAIO): principal responsável pelo AIMS e pelo cumprimento desta política.
Chief Information Security Officer (CISO): integra os princípios de segurança e cibersegurança nos sistemas de IA.
Chief Privacy Officer (CPO): assegura que as atividades de IA cumpram as normas de privacidade.
Jurídico: assessora no cumprimento regulatório e ético.
Área de serviços: alinha os serviços de IA aos objetivos estratégicos.

O Comitê define as diretrizes estratégicas do uso de IA; avalia, prioriza e aprova cada projeto ou serviço de IA antes de sua entrada em produção; supervisiona seu cumprimento ético, normativo e de transparência; e gerencia seus riscos. Todo sistema de IA passa por uma avaliação de impacto ético e de riscos antes do desenvolvimento e novamente antes da implementação, que considera vieses, proteção de dados, transparência e impacto nas pessoas. Uma auditoria interna anual revisa a segurança, a privacidade e a efetividade dos sistemas implementados.

Compromisso da Direção

A Direção se compromete a promover as funções e responsabilidades de segurança e privacidade no AIMS, prover os recursos necessários, promover a conscientização, exigir o cumprimento da política e da legislação, considerar os riscos éticos e de privacidade em suas decisões, supervisionar a privacidade desde a concepção e por padrão, promover a explicabilidade dos sistemas e monitorar continuamente seus impactos éticos e de privacidade.

Uso ético

Não discriminação: projetamos e treinamos os sistemas para evitar vieses injustos por gênero, origem étnica, religião, orientação sexual, deficiência ou outras características protegidas, e avaliamos os vieses regularmente.
Direitos humanos: a IA deve respeitar a privacidade, a liberdade de expressão e a dignidade das pessoas, e não é usada para fins que comprometam sua segurança ou liberdade.
Privacidade: os dados de treinamento seguem o princípio da minimização e são gerenciados conforme a nossa Política de Privacidade; são anonimizados e criptografados quando apropriado, e os dados sensíveis não são usados sem o consentimento adequado.
Usos proibidos: é proibido usar a IA para manipular informações, para vigilância invasiva não consentida ou para qualquer fim prejudicial ou contrário aos nossos valores.
Supervisão: o Comitê supervisiona a ética de todos os sistemas, e toda violação ou incidente é relatado e tratado.

Transparência e supervisão humana

Desenvolvemos sistemas explicáveis quando seu uso exige, para que seus resultados possam ser compreendidos.
Informamos claramente clientes e colaboradores quando interagem com um sistema de IA, quais dados ele processa e como toma decisões.
Informamos o uso de dados pessoais nos sistemas de IA, e os titulares podem exercer os direitos que a legislação aplicável lhes reconhece.
As decisões automatizadas que afetam diretamente pessoas podem ser revisadas por um ser humano, e nossos clientes podem solicitar uma explicação e a revisão dessas decisões.
Comunicamos os riscos e benefícios do uso da IA às partes interessadas.

Privacidade e segurança dos dados

Os sistemas de IA seguem as diretrizes da nossa Política de Privacidade. Antes de desenvolver ou implementar um sistema de IA que use dados pessoais, realizamos uma avaliação de impacto à privacidade. Coletamos apenas os dados necessários e revisamos anualmente se seu uso continua necessário e proporcional; aplicamos anonimização e, quando não for possível, pseudonimização; criptografamos os dados em repouso e em trânsito, controlamos o acesso por papéis e aplicamos políticas seguras de retenção e eliminação. Diante de um incidente de segurança, ativamos nosso plano de resposta, com notificação oportuna aos afetados e às autoridades competentes, e contamos com backup e recuperação de desastres.

Gestão de riscos

Mantemos um marco específico para identificar, avaliar e mitigar os riscos da IA durante todo o seu ciclo de vida, alinhado à privacidade e à segurança desde a concepção. Consideramos especialmente os vieses algorítmicos, as decisões incorretas ou não explicáveis, as violações de privacidade e o impacto social e ético. Cada risco é avaliado por probabilidade e impacto em uma matriz de riscos, e para cada um definimos planos de mitigação, como controles adicionais, revisões éticas, técnicas de balanceamento de dados e testes rigorosos antes da produção.

Desenvolvimento seguro e validação

Dados: usamos dados relevantes, confiáveis e revisados para reduzir vieses, com minimização e revisões periódicas de sua qualidade e origem.
Treinamento: em ambientes seguros e monitorados, com conjuntos separados de treinamento, validação e teste, e técnicas de redução de vieses.
Testes: de precisão e robustez com dados adversos ou imprevistos, medidos com métricas como precisão, sensibilidade, especificidade e taxa de erro, e testes de segurança e de intrusão dos sistemas que interagem com o modelo.
Auditoria prévia à implementação: verifica o cumprimento dos requisitos de segurança, privacidade e precisão, e da legislação aplicável.
Implementação e monitoramento: implantação sob controles de segurança e acompanhamento contínuo com indicadores de desempenho.

Cibersegurança em IA

Simulamos ataques adversariais durante os testes e treinamos os modelos para resistir a entradas maliciosas.
Monitoramos os sistemas em produção para detectar padrões de entrada suspeitos, com alertas automáticos.
Protegemos a integridade dos dados que alimentam os modelos com criptografia e verificação de integridade.
Restringimos o acesso a modelos e dados com controle de acesso por papéis e autenticação multifator em desenvolvimento e produção, registramos as atividades e revisamos as permissões periodicamente.

Conformidade e auditorias

Realizamos auditorias periódicas, internas ou externas, da conformidade dos nossos sistemas de IA com as leis e normas aplicáveis, e revisamos nossos sistemas e políticas diante de mudanças normativas. Mantemos as certificações ISO/IEC 27001, ISO/IEC 27701 e ISO/IEC 42001 com as auditorias que cada norma exige.

Capacitação e conscientização

Capacitamos continuamente o pessoal que desenvolve, opera ou supervisiona sistemas de IA em desenvolvimento seguro, gestão de dados, mitigação de riscos, normas aplicáveis e uso ético, e realizamos campanhas de conscientização para todo o pessoal, com canais internos para tirar dúvidas ou relatar usos indevidos ou vieses.

Avaliação de impacto social e em direitos humanos

Antes de implementar um sistema de IA, avaliamos como ele poderia afetar diferentes grupos, incluindo os riscos de exclusão, discriminação e impacto no emprego, e analisamos os riscos aos direitos humanos nos sistemas que afetam pessoas. Quando identificamos riscos significativos, nós os mitigamos antes da implementação, por exemplo com supervisão humana ou maior transparência.

Relatórios e canais de denúncia

Documentamos e monitoramos as atividades de desenvolvimento e operação dos sistemas de IA, incluindo os resultados de auditorias. Os colaboradores contam com um canal interno confidencial, gerenciado pelo Comitê de IA, e clientes e terceiros podem relatar de forma confidencial qualquer problema que considerem afetar seus direitos ou os princípios desta política escrevendo para grc@cloudlegion.com.ar.

Responsabilidade e melhoria contínua

O Comitê de IA supervisiona o AIMS e cada área envolvida designa um responsável por seu cumprimento. As falhas detectadas dão lugar a ações corretivas. Esta política é revisada pelo menos uma vez por ano, ou antes diante de riscos emergentes ou mudanças normativas, com a participação de segurança, privacidade, jurídico e desenvolvimento, e suas alterações são comunicadas a colaboradores, fornecedores e parceiros. Promovemos a inovação responsável: toda nova solução de IA passa por uma revisão ética antes de sua adoção.