MÓDULO 4 · PROTEGER
Segurança e utilização responsável
Utilizar a Inteligência Artificial com controlo, discernimento e responsabilidade.
OBJETIVOS
No final deste módulo deverá ser capaz de:
- Avaliar a finalidade, a ferramenta e os dados antes da utilização.
- Classificar situações através de um semáforo de risco.
- Reconhecer riscos antes, durante e depois da geração.
- Aplicar supervisão humana efetiva.
- Agir adequadamente perante um erro ou incidente.
O que significa utilizar IA de forma responsável?
Utilizar de forma responsável significa escolher uma finalidade legítima, usar uma ferramenta autorizada, limitar os dados ao necessário, avaliar os resultados e manter responsabilidade humana sobre a decisão.
A pessoa deve compreender suficientemente o processo para questionar o resultado, interromper a utilização e encaminhar a decisão quando necessário.
Dados, privacidade e confidencialidade
O risco pode surgir antes de a resposta ser gerada. Ao escrever um pedido ou anexar um ficheiro, a informação pode ser transmitida para um serviço externo, tratada segundo condições específicas e permanecer registada de acordo com as configurações da conta.
Dados pessoais
Informação que identifica ou pode identificar uma pessoa: nome, contacto, número, imagem, função ou combinação de elementos.
Dados sensíveis
Informação que exige proteção reforçada, incluindo saúde, biometria, convicções ou outros dados especialmente protegidos.
Informação confidencial
Contratos, estratégias, preços, dados comerciais, documentos internos, segredos de negócio ou informação sujeita a dever de sigilo.
Credenciais
Palavras-passe, códigos, chaves, tokens, ligações privadas e dados de autenticação. Nunca devem ser introduzidos.
Uma pessoa pode continuar identificável pela função, empresa, local, data, idade ou combinação de vários elementos. Para exercícios, prefira casos completamente fictícios.
Semáforo de utilização
Ideias genéricas, dados fictícios, informação pública confirmada, reformulação de texto não sensível.
Ação: utilizar com revisão normal.
Documentos internos, comunicação externa, informação de negócio, decisões que afetam pessoas ou dados que podem ser identificáveis.
Ação: confirmar autorização, ferramenta, regras e nível de validação.
Credenciais, segredos, dados pessoais ou sensíveis sem base e autorização, informação sujeita a sigilo ou conteúdo cuja exposição cause dano.
Ação: não enviar; usar alternativa segura ou pedir orientação.
O semáforo é um apoio rápido, não substitui as políticas da organização. Uma situação amarela pode tornar-se verde após anonimização e autorização, ou vermelha quando o risco não pode ser controlado.
Riscos ao longo de toda a tarefa
Finalidade inadequada, ferramenta não autorizada, dados excessivos, falta de base ou ausência de regras.
Exposição de informação, instruções mal interpretadas, enviesamento, conteúdo nocivo, falsa confiança ou perda de contexto.
Utilização sem validação, divulgação indevida, decisão automatizada sem controlo, falta de registo ou impossibilidade de explicar a origem.
Alteração do sistema, degradação da qualidade, novas utilizações, acumulação de dados e dependência excessiva.
Também devem ser avaliados os dados de entrada, o processo, o destinatário, a forma de utilização e as consequências.
Supervisão humana efetiva
Supervisionar não é apenas olhar para a resposta. É existir uma pessoa com competência, informação, tempo e autoridade para avaliar, alterar, rejeitar ou interromper a utilização.
Responsabilidade definida
Identificar quem prepara, quem valida e quem aprova o resultado.
Critérios de revisão
Definir o que deve ser verificado: factos, fontes, tom, equidade, segurança, conformidade e impacto.
Capacidade de contestar
Evitar aceitar a recomendação apenas porque foi produzida por um sistema ou parece objetiva.
Escalonamento
Encaminhar situações incertas, sensíveis ou de elevado impacto para a pessoa ou área competente.
A decisão humana só é uma salvaguarda quando a pessoa pode realmente compreender, questionar e intervir.
Transparência adequada ao contexto
Nem toda a utilização interna exige a mesma comunicação. A necessidade e a forma de transparência dependem da natureza do conteúdo, do destinatário, das políticas aplicáveis, do risco de engano e das obrigações específicas do sistema ou da atividade.
Pode justificar identificação
- conteúdo sintético que possa ser confundido com real;
- comunicação externa em que a origem seja relevante;
- decisão ou interação em que o uso do sistema afete expectativas ou direitos;
- situação abrangida por regra interna ou obrigação específica.
Não substitui outras medidas
- identificar IA não corrige informação falsa;
- não autoriza o uso de dados confidenciais;
- não elimina a revisão humana;
- não transfere a responsabilidade.
Em caso de dúvida, consulte a política da organização ou o responsável competente. Não aplique uma frase genérica de divulgação sem considerar o contexto.
Como agir perante um erro ou incidente
Um incidente pode incluir a introdução indevida de dados, divulgação de conteúdo falso, resultado discriminatório, uso não autorizado ou qualquer situação com impacto na segurança, nas pessoas ou na organização.
A comunicação rápida aumenta a possibilidade de limitar danos. Apagar a conversa não garante a eliminação dos dados nem resolve a exposição.
Checklist antes de utilizar IA
Prática individual
Classifique cada situação e compare com a orientação.
Copiar para uma ferramenta pública um contrato de cliente para obter um resumo.Ver orientação
Vermelho. Contém informação confidencial e possivelmente dados pessoais. Não deve ser enviado sem ferramenta autorizada, base, minimização e regras adequadas.
Pedir ideias para organizar uma reunião utilizando nomes fictícios.Ver orientação
Verde, em princípio. Continua a ser necessário rever a utilidade e não transformar o exemplo fictício em informação enganadora.
Gerar uma comunicação externa com números financeiros ainda não confirmados.Ver orientação
Amarelo ou vermelho, conforme o impacto. Os valores devem ser confirmados na fonte competente e o conteúdo aprovado antes do envio.
Introduzir por engano dados pessoais numa ferramenta não autorizada.Ver orientação
Incidente. Interromper, não continuar a utilização e comunicar imediatamente pelo procedimento definido.
Teste final do Módulo 4
Responda às dez perguntas. A correção é imediata e o módulo considera-se concluído com 70% ou mais.