Política d'IA (EU AI Act · ISO 42001)

1. Marc legal

Aquesta Política d'IA es regeix pel Reglament (UE) 2024/1689 del Parlament Europeu i del Consell (EU AI Act), que estableix normes harmonitzades sobre intel·ligència artificial a tota la Unió Europea.

Alineiem també les nostres pràctiques de gestió d'IA amb la norma ISO 42001:2023, l'estàndard internacional per a sistemes de gestió d'IA, garantint un enfocament estructurat, basat en el risc i orientat a l'ètica en el desenvolupament i desplegament d'IA.

Aquesta política s'aplica a tots els sistemes d'IA que desenvolupem, proporcionem o despleguem com a part dels nostres serveis.

2. Classificació de riscos

L'EU AI Act classifica els sistemes d'IA en quatre categories de risc:

Risc inacceptable — Usos d'IA completament prohibits, com la puntuació social per part d'autoritats públiques, la vigilància biomètrica en temps real en espais públics o sistemes que exploten vulnerabilitats psicològiques. No desenvolupem ni despleguem cap sistema d'aquest tipus.

Alt risc — Sistemes d'IA utilitzats en àrees crítiques com ara decisions d'ocupació, educació, accés a serveis essencials, seguretat pública o components de seguretat de productes regulats. Quan els nostres serveis s'emmarquen en aquesta categoria, apliquem el conjunt complet d'obligacions descrites en aquesta política.

Risc limitat — Els sistemes d'IA que interactuen amb usuaris (p. ex., xatbots) tenen obligacions de transparència. Garantim que els usuaris sempre estiguin informats quan interactuen amb un sistema d'IA.

Risc mínim — La majoria d'aplicacions d'IA d'ús general. Apliquem estàndards de bones pràctiques fins i tot on la regulació no ho exigeix.

3. Principis de governança

La nostra governança d'IA es basa en cinc principis fonamentals:

Responsabilitat — Identifiquem clarament les persones responsables de cada sistema d'IA que operem. Les decisions preses amb o per IA sempre es poden rastrejar fins a un actor humà responsable dins la nostra organització.

Transparència — Comuniquem obertament la naturalesa, les capacitats i les limitacions dels nostres sistemes d'IA. Els usuaris i les parts afectades son informats quan l'IA té un paper material en una decisió que els afecta.

Equitat — Treballem activament per identificar i mitigar els biaixos en els sistemes d'IA. No permetem que l'IA discrimini per raó de raça, gènere, edat, discapacitat, religió o altres característiques protegides.

Supervisió humana — Totes les decisions d'IA d'alt risc estan subjectes a una revisió humana significativa. Els resultats automatitzats es tracten com a recomanacions, no com a determinacions definitives.

Millora contínua — Ens comprometem amb la supervisió, avaluació i millora contínues dels nostres sistemes d'IA a la llum de noves evidències, actualitzacions regulatòries i comentaris de les parts interessades.

4. Obligacions com a proveïdor de serveis d'IA

Com a proveïdor de serveis basats en IA, complim les obligacions següents d'acord amb l'EU AI Act:

— Mantenim documentació tècnica actualitzada per als sistemes d'IA d'alt risc.
— Realitzem procediments d'avaluació de conformitat abans de posar en servei sistemes d'IA d'alt risc.
— Registrem els sistemes d'IA d'alt risc a la base de dades de la UE quan és requerit.
— Apliquem el marcatge CE on correspongui i elaborem declaracions de conformitat de la UE.
— Establim i mantenim un sistema de seguiment postcomercialització per controlar el rendiment en condicions reals.
— Notifiquem incidents greus o fallades a les autoritats nacionals competents sense dilació injustificada.
— Cooperem plenament amb les autoritats de vigilància del mercat a la seva sol·licitud.

5. Procés de gestió de riscos

Operem un procés documentat de gestió de riscos d'IA alineat amb l'EU AI Act i amb la norma ISO 42001:2023. Aquest procés inclou:

Identificació — Catalogar tots els sistemes d'IA en ús o en desenvolupament i avaluar la seva finalitat prevista, possibles usos i usos indeguts previsibles.

Avaluació — Valorar la probabilitat i gravetat dels possibles danys per a persones, grups o la societat, inclosos els efectes indirectes i acumulatius.

Mitigació — Aplicar mesures tècniques i organitzatives proporcionals als riscos identificats, incloent-hi controls de qualitat de dades, mecanismes d'explicabilitat i restriccions d'accés.

Seguiment — Monitorar contínuament el comportament del sistema en producció amb mètriques definides i llindars d'escalada.

Revisió — Reavaluar periòdicament els perfils de risc en resposta a canvis en el sistema, noves orientacions regulatòries o evidències emergents de dany.

6. Drets humans en decisions automatitzades (RGPD art. 22)

Quan els nostres serveis impliquen presa de decisions automatitzada que produeix efectes jurídics o igualment significatius sobre les persones, complim plenament l'article 22 del Reglament General de Protecció de Dades (RGPD).

Les persones tenen dret a no ser objecte d'una decisió basada únicament en el tractament automatitzat. Quan es produeix aquest tractament, garantim que les persones:

— Siguin informades que s'està produint una presa de decisions automatitzada.
— Tinguin dret a sol·licitar una revisió humana de qualsevol decisió automatitzada.
— Puguin expressar el seu punt de vista i impugnar la decisió.
— Rebin una explicació significativa de la lògica implicada.

Implementem aquests drets a través d'interfícies d'usuari clares, canals de contacte accessibles i procediments interns de revisió definits.

7. Pla de formació

Mantenim un programa continu de formació en alfabetització i responsabilitat en IA per a tot el personal involucrat en el desenvolupament, desplegament o gestió de sistemes d'IA. Aquest programa abasta:

— Conceptes fonamentals d'IA i aprenentatge automàtic.
— Requisits legals i regulatoris aplicables, inclosos l'EU AI Act i el RGPD.
— Principis ètics i pràctiques d'IA responsable.
— Identificació de biaixos, resultats injustos i riscos.
— Procediments de notificació d'incidents i vies d'escalada.

La formació es revisa i s'actualitza almenys anualment i sempre que es produeixin desenvolupaments regulatoris o tècnics significatius. Els registres de finalització es mantenen i estan disponibles per a auditoria.

8. Coordinació amb el RGPD

La nostra Política d'IA opera juntament i en plena coordinació amb la nostra Política de Protecció de Dades (RGPD). Els dos marcs són complementaris:

— Les dades personals utilitzades per entrenar o operar sistemes d'IA es processen únicament sobre una base jurídica i subjectes a controls adequats de minimització de dades, limitació de finalitat i retenció.
— Es realitzen Avaluacions d'Impacte en la Protecció de Dades (AIPD) per als sistemes d'IA que probablement comportin un alt risc per als drets i les llibertats de les persones.
— El nostre Delegat de Protecció de Dades (DPD) participa en la revisió i aprovació de totes les iniciatives d'IA d'alt risc.
— Les sol·licituds d'accés, supressió i altres drets dels interessats s'atenen dins dels terminis legalment exigits.

Per a qualsevol pregunta sobre la intersecció entre IA i dades personals, no dubteu a contactar amb el nostre equip.

9. Contacte

Per a qualsevol pregunta, dubte o sol·licitud relacionada amb la nostra política d'IA, pràctiques de gestió de riscos o l'exercici dels vostres drets, contacteu-nos a:

info@certitrue.com

Ens comprometem a respondre totes les consultes en un termini de 15 dies hàbils.