Checklist de governança de modelos de IA para serviços financeiros

A inteligência artificial já intervém em atividades financeiras como a avaliação de crédito, a detecção de fraude e certas decisões operacionais. Seu uso pode ampliar capacidades, mas também torna mais importante saber quais modelos estão implantados, quem responde por eles e como seus falhas são detectadas.

Este checklist ajuda responsáveis por risco, conformidade, dados e tecnologia a revisar controles ao longo do ciclo de vida. É uma ferramenta de autoavaliação, não uma certificação nem aconselhamento jurídico. As referências regulatórias e supervisoras têm alcances distintos; cada entidade deve determinar quais lhe são aplicáveis de acordo com sua atividade, localização e supervisão.

1. Responsabilidades e escopo

• Existe uma política de governança de IA e modelos aprovada pelo nível de autoridade correspondente e revisada quando as atividades ou os riscos mudam?
• Os responsáveis por negócio, desenvolvimento, validação independente, gestão de riscos, conformidade e tecnologia estão identificados?
• Foram definidos canais de escalonamento para resultados inesperados, incidentes, controvérsias ou descumprimentos dos controles internos?
• A diretoria recebe informações suficientes para supervisionar os riscos relevantes, sem depender exclusivamente de explicações técnicas ou de fornecedores?
• A entidade determinou quais marcos e obrigações podem ser aplicáveis em cada jurisdição onde opera, e quem verifica essa interpretação?

A supervisão deve guardar relação com o perfil e a complexidade da entidade e com a relevância de cada uso. Nem todos os modelos requerem idênticos controles ou a mesma frequência de revisão.

2. Inventário e classificação de modelos

• Há um inventário atualizado que inclua modelos em produção, em testes e, quando aplicável, soluções adquiridas ou integradas por terceiros?
• Registram-se para cada sistema sua finalidade, área usuária, responsável, entradas, saídas, premissas, versão e estado dentro do ciclo de vida?
• Foi estabelecida uma definição interna de modelo suficientemente clara para identificar também algoritmos ou componentes que influenciam decisões, mesmo que se apresentem como ferramentas ou serviços externos?
• Classifica-se cada modelo de acordo com seu uso, exposição, impacto potencial e dependência de outros sistemas?
• O inventário permite identificar modelos sem proprietário designado, duplicados, obsoletos ou implantados sem revisão formal?

Um inventário útil não é apenas um catálogo técnico: permite saber onde cada modelo é usado, quais decisões apoia e quem pode intervir se deixar de funcionar como esperado.

3. Dados, qualidade e rastreabilidade

• Está documentada a origem dos dados e, quando possível, seu percurso desde a obtenção até o uso no modelo?
• Avaliam-se a qualidade, pertinência, atualidade e representatividade dos dados para o propósito declarado?
• Identificam-se dados ausentes, erros, mudanças nas definições e possíveis vieses que possam afetar os resultados?
• Aplicam-se controles de acesso, privacidade, conservação e uso de acordo com as políticas internas e as normas pertinentes?
• É possível reconstruir quais dados e transformações foram utilizados em uma versão específica do modelo ou em uma decisão relevante?

A revisão deve abranger tanto os dados de desenvolvimento quanto os que alimentam o sistema em operação. Uma boa documentação de procedência e transformações facilita investigar desvios e explicar limitações do modelo.

4. Desenvolvimento, validação e aprovação

• Os objetivos, premissas e limites do modelo estão definidos antes de sua implantação?
• Verifica-se que o método escolhido é adequado para o uso previsto e que seus resultados são suficientemente estáveis em condições razoáveis?
• A validação examina desempenho, sensibilidade a mudanças nos dados, casos extremos e possíveis efeitos indesejados?
• A revisão é independente de quem desenvolveu ou implementou o modelo, na medida em que exija o marco interno e o risco?
• Documentam-se as descobertas, as limitações, as medidas corretivas e a decisão de aprovar, restringir ou não implantar o modelo?
• Os controles ajustam-se ao risco e à complexidade, em vez de aplicar automaticamente uma frequência ou um procedimento idêntico a todos os modelos?

A validação não se esgota em verificar métricas iniciais. Deve fornecer evidência suficiente para avaliar se o modelo é adequado para sua finalidade e quais condições poderiam invalidar essa conclusão.

5. Supervisão humana e uso de resultados

• Está claro quais decisões o modelo pode apoiar e quais requerem revisão ou autorização humana?
• As pessoas usuárias conhecem as limitações, os sinais de alerta e os passos para questionar ou escalar um resultado?
• Existe um canal viável para corrigir ou revisar resultados problemáticos quando o processo e a legislação aplicável o exigirem?
• Evita-se que uma recomendação automatizada seja tratada como conclusiva sem considerar seu contexto e qualidade?
• Se um modelo é usado para avaliar ou validar outro, há limites de uso, controles e revisão humana definidos para reduzir o risco de erros encadeados?

A supervisão humana deve ser efetiva: as pessoas precisam de informações, autoridade e tempo para intervir. A mera presença de uma aprovação formal não demonstra por si só que existe controle substancial.

6. Documentação, mudanças e monitoramento

• Conservam-se documentos compreensíveis sobre finalidade, design, dados, testes, resultados, limitações e responsáveis?
• Cada mudança de dados, código, configuração ou fornecedor fica registrada e sujeita a um processo de avaliação e aprovação proporcional?
• Há indicadores para detectar deterioração do desempenho, mudanças nos dados ou resultados atípicos?
• Foram definidos responsáveis, limiares de alerta e ações possíveis quando o monitoramento identifica um desvio?
• Revisa-se periodicamente se o modelo continua sendo adequado para seu uso, e considera-se sua retirada quando deixar de ser?
• Os registros permitem reconstruir versões, mudanças e decisões de gestão diante de uma revisão interna ou externa?

O monitoramento conecta a validação inicial com o comportamento real. Se mudarem o ambiente, os dados ou o propósito, pode ser necessário revisar os controles e a autorização de uso.

7. Fornecedores e dependências externas

• Conhecem-se os modelos, serviços e componentes de terceiros que intervêm em processos relevantes?
• Avaliou-se quais informações o fornecedor recebe, como são utilizadas e qual documentação oferece sobre o sistema?
• Estão definidos os canais para notificar incidentes, mudanças substanciais, interrupções ou modificações das condições do serviço?
• A entidade conserva capacidade suficiente para supervisionar o uso e gerenciar a dependência, mesmo quando não controla o desenvolvimento do modelo?
• Consideraram-se a concentração de fornecedores e as alternativas disponíveis se um serviço deixar de estar acessível ou mudar de forma significativa?

A contratação externa não elimina a necessidade de entender como um sistema afeta as atividades da entidade. O grau de informação e controle disponível pode variar de acordo com o fornecedor e o serviço.

Como interpretar os marcos de referência

As fontes consideradas descrevem abordagens distintas: orientações supervisoras e de gestão de modelos nos Estados Unidos, Canadá e Reino Unido, referências sobre IA na União Europeia e propostas de governança em Singapura, além de marcos voluntários e materiais setoriais. Por exemplo, o NIST AI Risk Management Framework é apresentado como um marco voluntário; o guia canadense OSFI E-23 tem um âmbito e calendário próprios; e a declaração britânica PRA SS1/23 corresponde ao seu contexto supervisor. O material também descreve um marco setorial do Tesouro dos Estados Unidos com 230 objetivos de controle, que não deve ser interpretado como obrigação universal.

Portanto, essas referências servem para orientar perguntas e comparar práticas, não para substituir a análise das normas aplicáveis a cada entidade. A jurisdição, o tipo de instituição, a atividade e o uso concreto do modelo podem mudar o alcance das obrigações.

Resultado da autoavaliação

Para cada pergunta, a entidade pode registrar evidência disponível, responsável, lacuna detectada e próxima revisão. As respostas negativas ou incompletas ajudam a priorizar o trabalho, mas não determinam por si só a conformidade jurídica nem o nível global de risco. O importante é que as decisões de controle sejam rastreáveis, proporcionais ao uso e revisáveis quando mudarem o modelo ou seu contexto.