Compromisso com Privacidade, Compliance e Segurança em IA

A OORT Labs desenvolve agentes de Inteligência Artificial corporativa com a premissa de que confiança, privacidade e segurança não são opcionais. Cada recurso de IA do OORT Flows — assistentes, agentes autônomos e orquestrações multi-agente — é projetado, operado e auditado segundo um programa formal de IA Responsável.

Esse programa cobre todo o ciclo de vida do sistema: definição do caso de uso, coleta e tratamento de dados, escolha do provedor de modelo, implantação, monitoramento em produção e descomissionamento — garantindo conformidade com as regulamentações aplicáveis no Brasil e no exterior.

• Centralidade do ser humano — sistemas de IA apoiam decisões humanas e preservam supervisão significativa em casos de alto impacto.
• Privacidade por design — proteção de dados pessoais é requisito de produto, não recurso adicional.
• Segurança por padrão — cifração em trânsito e em repouso, isolamento entre tenants e princípio do menor privilégio.
• Transparência e explicabilidade — fluxos, modelos utilizados e fontes de dados são auditáveis pelo Cliente.
• Justiça e não discriminação — avaliação periódica de vieses e impacto sobre grupos protegidos.
• Responsabilização (accountability) — papéis e responsabilidades claros entre OORT (Operadora) e Cliente (Controlador).
• Robustez e segurança técnica — testes de regressão, red-teaming e controles de prompt injection, exfiltração e abuso.
• Não utilização de dados do Cliente para treinamento próprio — o conteúdo trafegado nos fluxos não é usado para treinar modelos da OORT.

O programa de governança da OORT Labs é construído sobre frameworks reconhecidos internacionalmente:

• ISO/IEC 42001:2023 — Sistemas de Gestão de IA (AIMS): base do nosso programa de IA Responsável.
• ISO/IEC 27001 / 27701 — Gestão de Segurança da Informação e de Privacidade.
• ISO/IEC 23894:2023 — Gestão de Riscos em IA.
• NIST AI Risk Management Framework (AI RMF 1.0) — Funções *Govern*, *Map*, *Measure*, *Manage*.
• OWASP Top 10 para LLM Applications — controle de prompt injection, vazamento de dados, supply chain de modelos.
• SOC 2 Type II — controles de segurança, disponibilidade e confidencialidade.
• CIS Benchmarks e MITRE ATLAS — endurecimento de infraestrutura e modelagem de ameaças a sistemas de IA.

Todo fluxo configurado pelo Cliente é classificado em níveis de risco compatíveis com EU AI Act e PL 2338. A classificação determina:

• Necessidade de Avaliação de Impacto Algorítmico (AIA) e/ou Relatório de Impacto à Proteção de Dados (RIPD);
• Profundidade dos logs de execução e período de retenção;
• Presença obrigatória de pontos de revisão humana (human-in-the-loop);
• Restrições a categorias de dados sensíveis e a determinados provedores de modelo;
• Frequência de auditorias internas e testes de viés.

Templates de AIA e RIPD ficam disponíveis no Centro de Recursos do OORT Flows para apoiar o Cliente Controlador.

• Comitê de IA Responsável interno da OORT Labs, com representação de Engenharia, Segurança, Jurídico, Produto e DPO.
• Responsável técnico de IA designado, com canal de comunicação direto com Clientes e autoridades.
• Pontos de aprovação humana configuráveis em qualquer fluxo, com registro de identidade do aprovador, decisão e justificativa.
• Política de uso aceitável de IA vinculante para colaboradores e Clientes.
• Treinamento obrigatório de colaboradores em privacidade, segurança e ética de IA.

O OORT Flows é projetado para que o Cliente saiba o quê, como e por quê cada agente faz o que faz:

• Cada execução de fluxo gera logs detalhados com inputs, etapas intermediárias, modelo utilizado, custo, latência e output;
• Cada agente expõe o provedor de IA e o modelo selecionados pelo Cliente;
• Conteúdos gerados por IA podem ser marcados como sintéticos quando exigido pela regulação aplicável;
• O Cliente pode exportar logs em formato auditável para apresentação a autoridades ou auditores independentes;
• Quando uma decisão automatizada afeta um titular, é possível gerar uma explicação acessível dos critérios principais usados.

• Cifração em repouso com AES-256 e em trânsito com TLS 1.2+;
• Isolamento entre tenants em todos os bancos de dados, filas e armazenamento de arquivos;
• Credenciais de integração armazenadas com Fernet/AES e rotação periódica;
• MFA obrigatório para administradores, SSO/SAML/OIDC disponível para tenants corporativos;
• Princípio do menor privilégio aplicado a usuários, agentes e integrações;
• Não retenção de prompts em provedores de IA com cláusula contratual *zero data retention* quando suportada;
• Filtros de dados sensíveis (PII, PHI, segredos) aplicáveis antes do envio a modelos externos;
• Testes de segurança contínuos: SAST, DAST, SCA, varredura de segredos e red-teaming específico para LLMs;
• Plano de resposta a incidentes com SLA de notificação alinhado à LGPD/GDPR.

Titulares de dados pessoais podem exercer seus direitos a qualquer momento. Solicitações relacionadas a sistemas de IA — explicação, revisão humana, contestação — recebem tratamento prioritário pelo nosso comitê de IA Responsável.

• Encarregado de Proteção de Dados (DPO): [dpo@oortlabs.com]
• Responsável técnico de IA / Comitê de IA Responsável: [ai-governance@oortlabs.com]
• Privacidade geral: [privacy@oortlabs.com]
• Segurança e incidentes: [security@oortlabs.com]

Esta Política é revisada periodicamente. Alterações materiais são comunicadas com antecedência razoável ao Cliente e refletidas nas informações de versão acima.