Política de IA (EU AI Act · ISO 42001)

1. Enquadramento legal

Esta Política de IA é regida pelo Regulamento (UE) 2024/1689 do Parlamento Europeu e do Conselho (EU AI Act), que estabelece regras harmonizadas sobre inteligência artificial em toda a União Europeia.

Alinhamos também as nossas práticas de gestão de IA com a norma ISO 42001:2023, o padrão internacional para sistemas de gestão de IA, garantindo uma abordagem estruturada, baseada no risco e orientada pela ética no desenvolvimento e implementação de IA.

Esta política aplica-se a todos os sistemas de IA que desenvolvemos, fornecemos ou implementamos no âmbito dos nossos serviços.

2. Classificação de riscos

O EU AI Act classifica os sistemas de IA em quatro categorias de risco:

Risco inaceitável — Utilizações de IA totalmente proibidas, como a pontuação social por autoridades públicas, a vigilância biométrica em tempo real em espaços públicos ou sistemas que exploram vulnerabilidades psicológicas. Não desenvolvemos nem implementamos nenhum desses sistemas.

Alto risco — Sistemas de IA utilizados em áreas críticas como decisões de emprego, educação, acesso a serviços essenciais, segurança pública ou componentes de segurança de produtos regulamentados. Quando os nossos serviços se enquadram nesta categoria, aplicamos o conjunto completo de obrigações descritas nesta política.

Risco limitado — Os sistemas de IA que interagem com utilizadores (p. ex., chatbots) têm obrigações de transparência. Garantimos que os utilizadores são sempre informados quando interagem com um sistema de IA.

Risco mínimo — A maioria das aplicações de IA de uso geral. Aplicamos padrões de boas práticas mesmo onde a regulamentação não o exige.

3. Princípios de governação

A nossa governação de IA assenta em cinco princípios fundamentais:

Responsabilização — Identificamos claramente as pessoas responsáveis por cada sistema de IA que operamos. As decisões tomadas com ou por IA podem sempre ser rastreadas até um ator humano responsável na nossa organização.

Transparência — Comunicamos abertamente a natureza, as capacidades e as limitações dos nossos sistemas de IA. Os utilizadores e as partes afetadas são informados quando a IA desempenha um papel significativo numa decisão que os afeta.

Equidade — Trabalhamos ativamente para identificar e mitigar enviesamentos nos sistemas de IA. Não permitimos que a IA discrimine com base em raça, género, idade, deficiência, religião ou outras características protegidas.

Supervisão humana — Todas as decisões de IA de alto risco estão sujeitas a uma revisão humana significativa. Os resultados automatizados são tratados como recomendações, não como determinações finais.

Melhoria contínua — Comprometemo-nos com a monitorização, avaliação e melhoria contínuas dos nossos sistemas de IA à luz de novas evidências, atualizações regulatórias e feedback das partes interessadas.

4. Obrigações enquanto fornecedor de serviços de IA

Como fornecedor de serviços baseados em IA, cumprimos as seguintes obrigações ao abrigo do EU AI Act:

— Mantemos documentação técnica atualizada para sistemas de IA de alto risco.
— Realizamos procedimentos de avaliação de conformidade antes de colocar sistemas de IA de alto risco em serviço.
— Registamos sistemas de IA de alto risco na base de dados da UE quando exigido.
— Apostos a marcação CE quando aplicável e elaboramos declarações de conformidade da UE.
— Estabelecemos e mantemos um sistema de monitorização pós-comercialização para acompanhar o desempenho em condições reais.
— Comunicamos incidentes graves ou avarias às autoridades nacionais competentes sem demora injustificada.
— Cooperamos plenamente com as autoridades de fiscalização do mercado mediante pedido.

5. Processo de gestão de riscos

Operamos um processo documentado de gestão de riscos de IA alinhado com o EU AI Act e com a norma ISO 42001:2023. Este processo inclui:

Identificação — Catalogar todos os sistemas de IA em uso ou em desenvolvimento e avaliar a sua finalidade prevista, possíveis utilizações e uso indevido previsível.

Avaliação — Avaliar a probabilidade e a gravidade de potenciais danos para indivíduos, grupos ou a sociedade, incluindo efeitos indiretos e cumulativos.

Mitigação — Aplicar medidas técnicas e organizacionais proporcionais aos riscos identificados, incluindo controlos de qualidade de dados, mecanismos de explicabilidade e restrições de acesso.

Monitorização — Acompanhar continuamente o comportamento do sistema em produção com métricas definidas e limiares de escalada.

Revisão — Reavaliar periodicamente os perfis de risco em resposta a alterações no sistema, novas orientações regulatórias ou evidências emergentes de dano.

6. Direitos humanos em decisões automatizadas (RGPD art. 22)

Quando os nossos serviços envolvem tomada de decisão automatizada que produz efeitos jurídicos ou igualmente significativos sobre as pessoas, cumprimos plenamente o artigo 22.º do Regulamento Geral sobre a Proteção de Dados (RGPD).

As pessoas têm o direito de não ficarem sujeitas a uma decisão baseada exclusivamente no tratamento automatizado. Quando esse tratamento ocorre, garantimos que as pessoas:

— São informadas de que está a ocorrer uma tomada de decisão automatizada.
— Têm o direito de solicitar uma revisão humana de qualquer decisão automatizada.
— Podem expressar o seu ponto de vista e contestar a decisão.
— Recebem uma explicação significativa da lógica envolvida.

Implementamos estes direitos através de interfaces de utilizador claras, canais de contacto acessíveis e procedimentos internos de revisão definidos.

7. Plano de formação

Mantemos um programa contínuo de formação em literacia e responsabilidade em IA para todo o pessoal envolvido no desenvolvimento, implementação ou gestão de sistemas de IA. Este programa abrange:

— Conceitos fundamentais de IA e aprendizagem automática.
— Requisitos legais e regulatórios aplicáveis, incluindo o EU AI Act e o RGPD.
— Princípios éticos e práticas de IA responsável.
— Identificação de enviesamentos, resultados injustos e riscos.
— Procedimentos de notificação de incidentes e vias de escalada.

A formação é revista e atualizada pelo menos anualmente e sempre que ocorram desenvolvimentos regulatórios ou técnicos significativos. Os registos de conclusão são mantidos e estão disponíveis para auditoria.

8. Coordenação com o RGPD

A nossa Política de IA funciona em conjunto e em plena coordenação com a nossa Política de Proteção de Dados (RGPD). Os dois quadros são complementares:

— Os dados pessoais utilizados para treinar ou operar sistemas de IA são tratados apenas com base jurídica e sujeitos a controlos adequados de minimização de dados, limitação de finalidade e retenção.
— São realizadas Avaliações de Impacto sobre a Proteção de Dados (AIPD) para sistemas de IA suscetíveis de resultar num risco elevado para os direitos e liberdades das pessoas.
— O nosso Encarregado de Proteção de Dados (EPD) está envolvido na revisão e aprovação de todas as iniciativas de IA de alto risco.
— Os pedidos de acesso, apagamento e outros direitos dos titulares de dados são respeitados dentro dos prazos legalmente exigidos.

Para qualquer questão sobre a interseção entre IA e dados pessoais, não hesite em contactar a nossa equipa.

9. Contacto

Para quaisquer questões, preocupações ou pedidos relacionados com a nossa política de IA, práticas de gestão de riscos ou o exercício dos seus direitos, contacte-nos em:

info@certitrue.com

Comprometemo-nos a responder a todas as consultas num prazo de 15 dias úteis.