Governança de IA em serviços financeiros: risco, explicabilidade e trilha

Instituições financeiras convivem com gestão de risco operacional, controles internos e supervisão há décadas. Isso é uma vantagem quando a IA chega: a estrutura de governança já existe e o trabalho é estendê-la, não criá-la.

A dificuldade está em outro lugar — a IA generativa entrou pela porta do dia a dia (atendimento, redação, análise de documento) antes de entrar pela porta dos modelos, que já tinha processo formal de validação.

Conteúdo informativo; a aplicação ao seu caso depende do enquadramento regulatório da instituição e deve ser validada com compliance e jurídico.

As duas IAs dentro do banco

Vale separar, porque o tratamento é diferente.

A IA de modelo — escoragem de crédito, detecção de fraude, previsão de inadimplência — normalmente já está sob processo de validação, documentação e monitoramento. É território conhecido.

A IA generativa de uso corrente — resumo de contrato, redação de comunicação, apoio ao atendimento, análise de documento — entrou sem passar por esse crivo, e é onde a governança costuma estar ausente.

O erro comum é aplicar a régua pesada de validação de modelo ao uso corrente e paralisar tudo, ou não aplicar régua nenhuma. Classificação por risco resolve: nem todo uso pede o mesmo controle.

Decisão sobre pessoas e explicabilidade

Quando a IA influencia concessão de crédito, limite, precificação ou encerramento de relacionamento, três exigências se somam.

A primeira é a base legal e a transparência sobre o tratamento — inclusive o direito do titular de solicitar revisão de decisão tomada unicamente com base em tratamento automatizado, previsto na LGPD.

A segunda é a explicabilidade suficiente: conseguir descrever quais fatores pesaram na recomendação, num nível que o cliente entenda e que o regulador aceite. "O modelo decidiu" não é resposta.

A terceira é a vedação à discriminação ilícita. Modelo treinado em histórico reproduz o padrão do histórico, inclusive o que a instituição não quer repetir. Isso exige teste ativo, não boa intenção.

Gestão de terceiros: o provedor de IA é um fornecedor crítico

Instituições financeiras costumam ter processo maduro de contratação e monitoramento de prestador relevante. O provedor de IA entra nessa categoria e deveria seguir o mesmo rito:

• Avaliação prévia de segurança, continuidade e conformidade.
• Cláusulas de tratamento de dados, retenção, uso do conteúdo enviado e auditoria.
• Clareza sobre subcontratação e sobre onde o processamento ocorre.
• Plano para indisponibilidade, mudança de termos ou descontinuidade do serviço.

O detalhe que escapa com frequência: a área que começou a usar a ferramenta raramente passou por esse rito. O inventário costuma revelar provedores em produção que nunca foram avaliados.

O que a auditoria vai pedir

Em instituição supervisionada, a pergunta chega mais cedo e mais detalhada. Vale estar pronto para demonstrar:

• Inventário dos usos de IA, com classificação de risco e responsável por cada um.
• Política aprovada e evidência de que ela está aplicada, não apenas publicada.
• Registro de uso: quem, o quê, quando, sob qual regra, com qual desfecho.
• Onde há revisão humana e prova de que ela é efetiva.
• Avaliação dos provedores e o que os contratos preveem.
• Incidentes registrados e o que mudou por causa deles.

A diferença entre uma instituição preparada e outra não está no volume de documento, e sim na capacidade de produzir evidência do período pedido em prazo razoável.

Onde começar sem parar a operação

A abordagem que costuma funcionar é faseada: inventariar o uso corrente, classificar por risco, aplicar controle técnico primeiro no que toca dado de cliente e decisão sobre pessoas, e só então padronizar o restante.

A implantação de IA conduz essa sequência; o NOBUG STUDIO aplica a política no pré-envio e produz a trilha que a auditoria vai pedir; e o licenciamento resolve o problema paralelo de ferramentas contratadas fora do rito de fornecedor.