S6 · Segurança, ética, RGPD e normas IA

Para começar — 9h00

Já alguma vez usaste dados de clientes ou colegas numa ferramenta de IA? Sabes onde esses dados foram parar e o que pode acontecer com eles?

Bloco 1 — Ética e regulação · 9h10 1 / 5

Objectivos desta sessão

Compreender porque é que a ética em IA não é opcional
Conhecer os princípios de IA responsável e como aplicá-los
Perceber o que o RGPD exige quando usamos IA com dados pessoais
Conhecer o AI Act europeu e as suas implicações práticas
Aplicar as normas de segurança, qualidade e saúde no trabalho
Fazer a auditoria ética e de risco do teu caso de uso (Peça 7)

Penúltima sessão: depois desta auditoria, a S7 é a compilação final. O teu projecto fica completo e pronto a apresentar.

IA não é neutra — e isso importa

Cada sistema de IA reflecte as escolhas de quem o construiu, os dados com que foi treinado e o contexto onde é usado.

Viés algorítmico: sistema de recrutamento da Amazon discriminava mulheres — treinado com CVs históricos maioritariamente masculinos
Opacidade: sistemas de crédito que negam empréstimos sem conseguir explicar porquê — impossível contestar
Responsabilidade difusa: quando a IA decide, quem é responsável pelo erro? O utilizador, a empresa, o fornecedor?
Efeito de escala: um preconceito humano afecta dezenas de pessoas; um preconceito algorítmico afecta milhões

Princípio fundamental: a IA deve ser um instrumento ao serviço dos humanos — não o contrário. A decisão final com impacto nas pessoas é sempre responsabilidade humana.

6 princípios de IA responsável

Transparência: as pessoas sabem quando interagem com IA e como as decisões são tomadas
Equidade: o sistema não discrimina nem amplifica desigualdades existentes
Privacidade: dados pessoais protegidos e usados apenas para o fim declarado
Segurança: o sistema é robusto, testado e resistente a manipulação
Responsabilidade: existe sempre um humano responsável pelas decisões tomadas com apoio de IA
Benefício social: o sistema serve o bem comum — não apenas o lucro do fornecedor

O AI Act europeu — o que mudou

A UE aprovou o primeiro quadro regulatório abrangente para IA — em vigor desde 2024, implementação faseada até 2027.

Risco inaceitável (proibido): pontuação social de cidadãos pelo Estado; manipulação subliminar; reconhecimento facial em espaço público em tempo real (com excepções)
Risco alto — obrigações estritas: IA em recrutamento, crédito, saúde, educação, segurança pública — transparência, supervisão humana, documentação obrigatória
Risco limitado: chatbots — obrigação de identificar que é IA
Risco mínimo: filtros de spam, jogos — sem obrigações específicas

Na prática: se o teu caso de uso envolve decisões sobre pessoas (recrutamento, crédito, acesso a serviços), o AI Act impõe obrigações de documentação e supervisão que tens de cumprir.

RGPD e IA — o que tens de saber

Base legal: precisas de justificação legal para processar dados pessoais com IA (consentimento, contrato, interesse legítimo)
Finalidade: dados recolhidos para um fim não podem ser usados para outro diferente
Minimização: recolher só o que é estritamente necessário
Explicabilidade: decisões automatizadas com impacto significativo têm de poder ser explicadas e contestadas
Direito ao esquecimento: a pessoa pode pedir eliminação dos seus dados
Portabilidade: a pessoa pode pedir os seus dados em formato reutilizável

Regra prática: nunca introduzir dados pessoais de clientes, colaboradores ou terceiros em ferramentas de IA externas sem verificar os termos de serviço e garantir base legal RGPD.

Exercício 1 de 2 15 min · Individual

Identificar riscos éticos do meu caso de uso

Aplica os 6 princípios de IA responsável ao teu caso de uso. Este é o primeiro passo da auditoria ética.

1Para cada princípio (transparência, equidade, privacidade, segurança, responsabilidade, benefício social) — o teu caso de uso cumpre? Há risco? Descreve.
2O AI Act classifica o teu caso de uso em que nível de risco? (mínimo / limitado / alto / inaceitável) Justifica.
3Que grupos de pessoas podem ser prejudicados se o sistema falhar ou tiver viés? (colaboradores, clientes, fornecedores, grupos específicos)

Tarefa Moodle — Peça 7a do Projecto Final · entrega até à sessão 7

Bloco 2 — Segurança, normas e saúde no trabalho · 10h30 1 / 4

Segurança na utilização de IA

Prompt injection: inputs maliciosos que tentam manipular o comportamento da IA — relevante em chatbots expostos ao público
Fuga de dados: inputs enviados para LLMs externos podem ser usados para treino futuro — usar versões enterprise que garantem não usar dados
Dependência excessiva: quando os colaboradores aceitam tudo o que a IA diz sem questionar — corrosão do pensamento crítico
Deepfakes e fraude: voz e imagem sintética usadas para imitar chefias e autorizar pagamentos — já aconteceu em Portugal
Exposição de informação confidencial: estratégias, dados financeiros, segredos comerciais introduzidos em chatbots

Política de uso responsável: a organização deve definir o que pode e não pode ser introduzido em ferramentas de IA externas — antes do incidente, não depois.

Normas de segurança IA e qualidade

ISO/IEC 42001:2023: sistema de gestão para IA — define como implementar, monitorizar e melhorar sistemas de IA de forma responsável
ISO/IEC 23894:2023: gestão de risco em IA — identificar, avaliar e tratar riscos de sistemas de IA
Normas da qualidade (ISO 9001): processos com IA devem ser documentados, controlados e sujeitos a melhoria contínua

Na prática — o mínimo exigível

Documentar os sistemas de IA em uso e o seu propósito
Definir critérios de aceitação e limites de uso autónomo
Estabelecer processos de validação antes de usar outputs em decisões críticas
Rever regularmente se o sistema continua a funcionar como esperado

Saúde e bem-estar no trabalho com IA

A IA deve reduzir carga cognitiva — mas pode criar novos riscos se mal implementada:

Sobrecarga de supervisão: monitorizar sistemas automatizados continuamente é mentalmente esgotante — criar pausas e rotações
Erosão da autonomia: quando a IA decide tudo, os colaboradores perdem a capacidade de julgamento independente
Ansiedade tecnológica: medo de ser substituído, de não perceber as ferramentas, de cometer erros — formação é a resposta
Hiperconectividade: automação que responde 24/7 cria expectativas de disponibilidade permanente — definir limites claros

Princípio: a IA deve aumentar a qualidade do trabalho humano — não apenas a velocidade. Se os colaboradores estão mais stressados depois da IA, a implementação falhou.

Resumo — Sessão 6

IA não é neutra — reflecte dados, escolhas e contextos; um preconceito algorítmico afecta milhões
6 princípios: transparência, equidade, privacidade, segurança, responsabilidade, benefício social
AI Act: 4 níveis de risco — alto risco exige documentação, supervisão e explicabilidade
RGPD: base legal, finalidade, minimização, explicabilidade para decisões automatizadas
Segurança: prompt injection, fuga de dados, deepfakes — definir política antes do incidente
Saúde no trabalho: a IA deve reduzir carga cognitiva, não criar novos riscos

Última sessão (15 Jul): compilar o teu Plano de Implementação completo e receber o Kit do Formando.

Exercício 2 de 2 45 min · Individual

Auditoria completa — RGPD e segurança do meu caso de uso

Completa a auditoria ética com a análise de conformidade RGPD e as medidas de segurança. Esta peça fecha o capítulo de risco do teu projecto final.

1Dados pessoais: que dados pessoais são processados? Qual a base legal RGPD? Como são protegidos?
2Ferramenta externa: se usas um LLM externo (ChatGPT, Claude), os termos garantem que os dados não são usados para treino? Há versão enterprise disponível?
3Supervisão humana: que decisões ficam sempre sujeitas a revisão humana? Quem é o responsável designado?
4Política de uso: que regras propões para uso desta solução na organização? (o que é permitido, o que é proibido, como reportar problemas)
5Plano de contingência: se o sistema falhar ou produzir resultados errados, o que acontece? Existe processo manual alternativo?

Tarefa Moodle — Peça 7b do Projecto Final · Auditoria RGPD e segurança · entrega até à sessão 7

Segurança, ética, RGPD e normas IA