PORTARIA Nº 6.970, DE 3 DE JUNHO DE 2025 (parte 2 de 2)

ANEXO
NORMA DE ORGANIZAÇÃO Nº 60
TÍTULO I
DAS DISPOSIÇÕES GERAIS
CAPÍTULO I
DO OBJETIVO
Art. 1º Esta Norma dispõe sobre a Política de uso e de desenvolvimento da
Inteligência Artificial Generativa (IAGen), a serem cumpridos no âmbito da Agência
Nacional de Energia Elétrica (ANEEL).
Art. 2º São objetivos específicos da Política de uso e de desenvolvimento da
Inteligência Artificial Generativa:
I. Estabelecer diretrizes para o uso seguro e ético da IAGen, garantindo a
conformidade com as normas e regulamentações aplicáveis;
II. Fornecer orientações para o desenvolvimento de modelos e aplicativos de
IAGen, promovendo a inovação tecnológica de forma responsável; e
III. Fomentar uma abordagem colaborativa no desenvolvimento de soluções
baseadas em IAGen, incentivando a participação ativa das partes interessadas para
assegurar transparência e responsabilidade em todos os processos.
CAPÍTULO II
DA ABRANGÊNCIA
Art. 3º Esta norma se aplica a todos os agentes públicos, servidores e
contratados envolvidos no uso ou no desenvolvimento de IAGen, incluindo o envolvimento
com modelos internos, modelos de terceiros ou aplicativos disponíveis publicamente,
abrangendo todas as iniciativas e projetos que utilizem estas tecnologias.
Art. 4º Esta norma organizacional se aplica ao uso desses aplicativos em
dispositivos da ANEEL e/ou dispositivos pessoais quando usados para realização das
atividades laborais.
CAPÍTULO III
DA CONCEITUAÇÃO
Art. 5º Para fins de uniformidade dos procedimentos relacionados à presente
Norma Organizacional, os termos mais usuais referentes ao uso da Inteligência Artificial
Generativa (IAGen) são definidos do seguinte modo:
I. Ambiente Computacional: conjunto de ativos de tecnologia da informação,
composto por hardwares e softwares, destinado ao recebimento, tratamento,
armazenamento, transmissão e processamento de dados;
II. API (Interface de Programação de Aplicações): conjunto de definições e
protocolos que permite a integração de IAGen com outras aplicações e sistemas,
facilitando a troca de informações e funcionalidades;
III. Aplicativo de IA: Software que utiliza um ou mais modelos de IA para
fornecer funcionalidades aos usuários;
IV. Dados de Treinamento: conjunto de dados utilizados para treinar modelos
de IAGen;
V. Gestor negocial: Servidor da ANEEL responsável pelo uso ou
desenvolvimento de uma solução baseada em IAGen;
VI. Gestor técnico: Servidor da Superintendência de Gestão Técnica da
Informação (SGI) responsável pela equipe técnica que desenvolve uma solução baseada em
IAGen;
VII. Inteligência Artificial Generativa (IAGen): refere-se a uma tecnologia de
inteligência artificial que sintetiza texto, áudio ou imagens visuais a partir de grandes
conjuntos de dados em resposta às solicitações do usuário. Os modelos de IAGen podem
ser usados em aplicativos independentes ou incorporados em outros aplicativos, como
mecanismos de busca na Internet ou aplicativos de processamento de texto;
VIII. Modelo de IA: Algoritmo ou conjunto de algoritmos treinados em dados
para realizar tarefas específicas;
IX. Prompt: entrada textual ou instrução fornecida a um modelo de IAGen para
gerar uma resposta ou completar uma tarefa específica. O prompt direciona o
comportamento do modelo e define o contexto para a saída gerada;
X. Rede corporativa: conjunto de computadores interligados por ativos de rede
e capazes de trocar informações e de compartilhar recursos por meio de um sistema de
comunicação;
XI. Segurança da Informação: ações destinadas a assegurar a disponibilidade, a
integridade, a confidencialidade e a autenticidade da informação;
XII. Sistema Corporativo: aplicação, painel ou software adquirido ou
desenvolvido pela Agência e hospedado em sua infraestrutura de TI, para dar suporte
ao(aos) seu(seus) processo(os) de trabalho de forma geral;
XIII. Sistema Negocial: aplicação, painel ou software adquirido ou desenvolvido
pela Agência e hospedado em sua infraestrutura de TI, para dar suporte ao(aos)
processo(os) de trabalho de Uorg; e
XIV. Treinamento de Modelos de IAGen: processo de alimentação de dados em
um modelo de IAGen para criá-lo ou aprimorar sua capacidade de gerar conteúdos
relevantes e coerentes.
TÍTULO II
DIRETRIZES PARA O USO E DESENVOLVIMENTO DA IAGen
CAPÍTULO I
DIRETRIZES GERAIS
Art. 6º Qualquer uso de IAGen, por meio de plataformas, ferramentas e
software deve ser consistente com o Código de Ética da ANEEL, demais políticas e
legislação aplicável.
Art. 7º Não é recomendado o uso de dispositivos pessoais ou contas pessoais
nas ferramentas de IAGen para realização das atividades laborais.
Art. 8º O uso de ferramentas de IAGen em dispositivos pessoais para contornar
as instruções ou salvaguardas da ANEEL é estritamente proibido.
Art. 9º É permitido acessar aplicativos de IAGen aprovados pela SGI por meio
de sistemas corporativo ou negocial e da rede corporativa da ANEEL.
§ 1º Não deverão ser utilizadas credenciais, endereços de e-mail ou números de
telefone da ANEEL como login para aplicativos de IAGen disponíveis publicamente.
§ 2º Não poderão ser instaladas no ambiente computacional interfaces de
programação de aplicativos (APIs), plug-ins, conectores ou software não aprovados
relacionados a sistemas de IAGen.
§ 3º Não poderão ser implementados ou utilizados códigos-fonte gerados por
ferramentas de IAGen não aprovadas nos sistemas corporativos ou negociais.
Art. 10. O compartilhamento de dados, por servidores e contratados, em
sistemas de IAGen aprovados, deve estar de acordo com as normas de privacidade de
dados e segurança da informação vigentes na ANEEL.
Art. 11. Fica instituído o Núcleo de Inteligência Artificial (NIA), vinculado à
Superintendência de Gestão Técnica da Informação (SGI), com o objetivo de orientar e
fomentar o uso responsável e ético da Inteligência Artificial nas atividades da ANEEL.
CAPÍTULO II
PROCEDIMENTOS PARA USO E DESENVOLVIMENTO
Art. 12. Todo desenvolvimento ou uso de IAGen deve ser submetido
previamente ao Núcleo de Inteligência Artificial para consideração, sendo apresentadas as
seguintes informações:
I. Identificação do gestor técnico e negocial da IAGen;
II. Se a proposta consiste no desenvolvimento de uma nova IAGen ou modificar
uma IAGen existente;
III. Se a proposta vai usar uma IAGen fornecida e licenciada por um
fornecedor;
IV. Se a proposta consiste na utilização de uma IAGen que será acessível
publicamente;
V. Funções que a IAGen fornecerá;
VI. Processos de negócios (se existentes) que serão automatizados pela
IAGen;
VII. Novos processos de negócios que serão apoiados pela IAGen;
VIII. Dados que serão utilizados no desenvolvimento ou aplicação da IAGen;
IX. Dados que serão produzidos pela IAGen;
X. Forma de medição do desempenho dos processos apoiados pela IAGen ao
longo do tempo;
XI. Forma de monitoramento e gerenciamento do uso da IAGen;
XII. Forma de monitoramento e gerenciamento do uso dos dados consumidos
ou produzidos pela IAGen;
XIII. Ameaças à confiança, à segurança ou à privacidade que são produzidas ou
aumentadas pela IAGen; e
XIV. Riscos para o desempenho e aos valores corporativos que são produzidos
ou aumentados pela IAGen.
Art. 13. Todo o conteúdo gerado pela IAGen deve ser revisado se utilizado para
fins de trabalho, garantindo a atribuição clara da ferramenta utilizada.
Art. 14. O conteúdo criado pela IAGen que seja inconsistente, impróprio,
discriminatório ou não alinhado aos valores e princípios da ANEEL não deve ser usado para
fins de trabalho.
Art. 15. Toda a saída da IAGen deve ser classificada inicialmente como somente
para uso interno e gerenciada de acordo.
Parágrafo único. Toda IAGen que seja aberta para o público externo, ou que
tenha saída para o público externo, deve ser submetida ao Núcleo de Inteligência Artificial
(NIA) para análise, à Comissão de Gestão da Informação (CGI) para revisão e aprovação,
antes de sua divulgação.
Art. 16. Todos os dados de treinamento utilizados por uma IAGen devem aderir
à Política de Qualidade de Dados da ANEEL, garantindo sua acurácia, integridade, precisão,
completude, confiabilidade e relevância e devem ser continuamente monitorados pelos
gestores negocial e técnico da IAGen para assegurar que permanecem livres de desvios de
qualidade, de preconceitos, de interpretação equivocada e de vieses inadequados.
Art. 17. Todos os processos, ferramentas, infraestrutura e dados utilizados no
desenvolvimento, modificação ou refinamento da IAGen devem cumprir todas as políticas,
padrões e processos de desenvolvimento, implantação, monitoramento, segurança e
manutenção de sistemas.
Art. 18. Todos os dados utilizados no desenvolvimento da IAGen devem ser
criados, coletados, validados e protegidos em conformidade com as políticas existentes que
regem o uso de dados nos processos de desenvolvimento e de teste de sistemas.
Art. 19. Antes e após a implantação da IAGen, todos os resultados da IAGen
devem ser regularmente avaliados quanto à degradação da precisão e da qualidade.
TÍTULO III
DAS RESPONSABILIDADES
Art. 20. A Superintendência de Gestão Técnica da Informação (SGI) é
responsável por elaborar, manter e fazer cumprir a norma organizacional de uso e de
desenvolvimento da Inteligência Artificial Generativa (IAGen).
Art. 21. Para assegurar o cumprimento dessa norma organizacional, a SGI
poderá acessar e monitorar o uso de aplicativos IAGen em quaisquer dispositivos
fornecidos ou que apareçam em redes gerenciadas pela SGI para garantir o uso compatível
desses sistemas.
Parágrafo único. Se os sistemas e processos de monitoramento detectarem
uma possível violação desta norma organizacional ou se forem relatadas possíveis violações
de uso da IAGen, o evento suspeito deverá ser tratado conforme processos apropriados de
resposta a incidentes de segurança.
Art. 22. Cada ferramenta ou serviço de IAGen deve ter um gestor negocial ou
técnico designado que é responsável por:
I. Garantir que todo desenvolvimento ou modificação da IAGen esteja em
conformidade com esta norma organizacional;
II. Garantir que a IAGen funcione em conformidade com esta norma
organizacional;
III. Garantir que todo o uso da IAGen esteja em conformidade com esta norma
organizacional e com as demais normas de uso de IAGen em vigor;
IV. Garantir que os dados usados ou produzidos pela IAGen estejam em
conformidade com esta norma organizacional e outras políticas e regulamentos que regem
o gerenciamento e a segurança de dados;
V. Selecionar e manter os dados de treinamento da IAGen, assegurando a
prevenção de preconceitos e vieses inadequados.
VI. Garantir que o acesso dos colaboradores à IAGen esteja em conformidade
com esta norma organizacional e outras políticas que regem o gerenciamento de
identidade e acesso;
VII. Revisar propostas de modificação ou retirada da IAGen e encaminhar as
alterações aprovadas à Equipe Consultiva de IA para consideração;
VIII. Investigar relatos de comportamento inadequado ou aberrante da IAGen; e
IX. Garantir que o uso do IAGen esteja alinhado com os usos definidos nos
casos de usos aprovados para a IAGen.
Art. 23. O Núcleo de Inteligência Artificial (NIA) é responsável por:
I. Definir e propor modificações para melhorar esta norma organizacional;
II. Revisar, aprovar ou rejeitar propostas para novos usos e projetos de
IAGen;
III. Definir os sistemas, casos de uso e aplicativos permitidos e proibidos de
IAGen;
IV. Orientar aos usuários sobre o uso dos serviços de IAGen;
V. Promover iniciativas de divulgação de boas práticas e lições aprendidas no
uso e desenvolvimento de soluções relacionadas à IAGen;
VI. Manter uma lista de todos os gestores técnicos e negociais designados de
ferramentas e sistemas IAGen;
VII. Manter uma lista de todos os aplicativos de IAGen aprovados pela SGI.
Art. 24. A SGI é responsável por expandir os controles e práticas de segurança
cibernética existentes para apoiar esta norma organizacional, de acordo com as seguintes
atividades mínimas, gerenciadas pelo Núcleo de Segurança Cibernética (NSC):
I. Análise e concessão de acesso aos serviços de IAGen disponíveis na Internet
não fornecidos ou mantidos pela SGI, mediante assinatura de termo de responsabilidade
pelo usuário (ANEXO I desta norma organizacional);
II. Monitoramento do acesso de usuários e sistemas aos serviços de IAGen
disponíveis na Internet por meio da rede corporativa da Agência; e
III. Monitoramento e remoção de aplicativos IAGen não aprovados
eventualmente instalados em dispositivos da Agência.
Art. 25. Todas as coordenações da SGI que forneçam ou empreguem tecnologia
de IAGen nos serviços de TI por elas prestados ou disponibilizados são responsáveis pela
correção de vulnerabilidades existentes nas implementações dessa tecnologia, conforme
estabelecido na Instrução Administrativa SGI nº 1, de 31 de janeiro de 2024, que dispõe da
Política de Gerenciamento de Vulnerabilidades Cibernéticas.
TÍTULO IV
DAS DISPOSIÇÕES FINAIS
Art. 26. Os casos omissos serão resolvidos pela Comissão de Gestão da
Informação (CGI).
Art. 27. O cumprimento desta Norma Organizacional será avaliado
periodicamente, de acordo com os critérios da SGI.
Art. 28. A SGI poderá elaborar procedimentos específicos para a
operacionalização dos controles estabelecidos nesta Norma Organizacional.
Art. 29. Esta política será avaliada pelo NIA após o seu primeiro ano de vigência
para verificar sua atualidade frente aos avanços tecnológicos e necessidades da ANEEL.
Art. 30. Esta Norma entra em vigor na data de sua publicação.
ANEXO I
TERMO DE RESPONSABILIDADE NO USO SEGURO DE IAGen
Pelo presente termo, declaro que em razão das minhas atividades na ANEEL,
necessito de acesso web permitido à aplicativo web, API ou eventuais implementações de
IAGen disponíveis na Internet por meio da rede corporativa da ANEEL.
Declaro ter conhecimento da Norma de Organização ANEEL nº 012, que dispõe
da Política de Segurança da Informação e Comunicações da ANEEL
(http://www2.ANEEL.gov.br/cedoc/prt20196143.pdf), da Norma de Organização ANEEL nº
015 (www2.ANEEL.gov.br/cedoc/prt20163836.pdf), que dispõe acerca da classificação das
informações da Agência, bem como da Norma de Organização ANEEL nº 60, que dispõe
acerca das instruções de uso e desenvolvimento de Inteligência Artificial Generativa
(IAGen) na ANEEL, comprometendo-me a usá-la em conformidade com as diretrizes,
instruções e recomendações estabelecidas nesses normativos.
Com isso, visando mitigar os riscos de segurança associados ao acesso e uso de
IAGen, declaro que adotarei os seguintes cuidados:
¸Não compartilharei informações sigilosas da Agência (grau reservado e secreto)
em aplicativos, ferramentas ou plataformas públicas ou privadas de IAGen conforme
definidas na Norma de Organização da ANEEL nº 015;
¸ Não compartilharei informações restritas da Agência (material de acesso
restrito), tais como códigos-fonte de aplicações internas que contenham endereços IP,
tokens e credenciais de usuários de rede, sistemas e bancos de dados da Agência;
¸Utilizarei senhas fortes e complexas para o login em aplicativos, ferramentas
ou plataformas públicas ou privadas de IAGen combinada com outros mecanismos de
reforço de segurança, como por exemplo "múltiplos fatores de autenticação", sempre que
disponível; e
¸Não utilizarei essas ferramentas para a geração de códigos de programação,
por não estarem de acordo com as normas de desenvolvimento seguro de soluções
adotadas por essa agência.
Tenho consciência de que meus acessos poderão ser monitorados por
ferramentas automatizadas da SGI, com finalidade única de prevenção de incidentes
cibernéticos e garantia da segurança das informações da Agência, de acordo com a
supracitada Política de Segurança da Informação e das Comunicações da ANEEL.
Por fim, concordo que este privilégio concedido por período indeterminado
poderá ser revogado a qualquer momento, em função da utilização inadequada ou
alteração em normativos, e que a eventual constatação de violação das normas internas,
legislações ou de direitos de terceiros ensejará a realização de sindicâncias que poderão
resultar em sanções éticas, administrativas e/ou legais.
Brasília (DF), ____ de ___________ de _____.
(assinado digitalmente)
_____________________________
Nome do Servidor/Colaborador
UOrg/Empresa
. . CASO(OS) DE USO/APLICAÇÃO
. . (Inserir detalhes das atividades institucionais que necessitam do uso da ferramenta)
Obs.1: Para fins de controle, o formulário assinado digitalmente ou à mão deverá ser
protocolado pelo solicitante no SICNET incluindo o número do chamado na descrição e
tramitado à SGI-NSC. Uma cópia eletrônica do termo deverá ser anexada ao chamado no
sistema de ServiceDesk como condição para concessão do acesso.