Bancos obrigados a mudar a forma como utilizam a IA no relacionamento com os clientes

Desde o dia 2 de agosto que entraram em vigor as novas obrigações de transparência previstas no artigo 50.º do IA Act, o Regulamento Europeu da Inteligência Artificial (UE) 2024/1689, que, de forma abrangente, disciplina a utilização da IA na União Europeia (UE). Estas novas regras vão obrigar as instituições financeiras a repensar a forma como utilizam a IA no relacionamento com os seus clientes.

Assim, em cumprimento do estabelecido no n.º 1 do artigo 50.º do IA Act, que regula a utilização dos chamados ‘chatbots’, os sistemas têm de ser desenvolvidos de forma a que as pessoas expostas sejam informadas de que estão a interagir com um sistema de IA — a menos que isso seja óbvio para uma pessoa razoavelmente informada, atenta e prudente, tendo em conta as circunstâncias e o contexto de utilização.

No caso, por exemplo, de aconselhamento financeiro ou de serviço de apoio ao cliente, o ‘chatbot’ tem de se identificar como IA logo no início da conversa (ou de forma suficientemente óbvia), a menos que o contexto torne isso evidente por si só.

No caso da marcação de conteúdos gerados ou manipulados por IA (que constam do n.º 2 do artigo 50.º), os bancos têm de garantir aos clientes que os resultados (outputs) desses sistemas são marcados num formato legível por máquina, e detetáveis como tendo sido gerados ou manipulados artificialmente. As soluções técnicas devem ser eficazes, interoperáveis, robustas e fiáveis, tendo em conta as especificidades e limitações de cada tipo de conteúdo, os custos de implementação e o estado da técnica.

• Regulador britânico traça o retrato de como a inteligência artificial poderá transformar os serviços financeiros de retalho até 2030

Esta obrigação não se aplica quando o sistema de IA desempenha apenas uma função de assistente de edição (por exemplo, correção gramatical) ou quando não altera substancialmente os dados de entrada nem o seu significado; há também uma exceção para sistemas autorizados por lei para detetar e prevenir infrações penais, como é o caso do fenómeno do branqueamento de capitais e do financiamento do terrorismo.

O n.º 3 do artigo 50.º tem que ver com os sistemas de reconhecimento de emoções e categorização biométrica. As instituições financeiras têm de informar as pessoas singulares expostas ao sistema sobre o seu funcionamento, e tratar os dados pessoais em conformidade com outra legislação aplicável — nomeadamente o Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679), que estabelece as regras para a recolha, utilização, armazenamento e partilha de dados pessoais na União Europeia.

Por exemplo, um call center que use IA para avaliar o nível de stress ou de insatisfação de um cliente durante uma chamada tem de informar essa pessoa de que está a ser sujeita a esse tipo de análise.

Por último, o n.º 4 regula a rotulagem de conteúdo “deepfake” e de texto informativo gerado por IA. Neste particular, as instituições financeiras são obrigadas a revelar que o conteúdo foi gerado ou manipulado artificialmente — devendo essa divulgação ser feita, o mais tardar, no momento da primeira interação ou exposição, de forma clara e visível.

Também aqui se exceptuam os usos que forem realizados no sentido de deteção, prevenção, investigação ou repressão de infrações penais, quando o conteúdo gerado passa por um processo de revisão editorial humana ou é objeto de controlo editorial, e uma pessoa singular ou coletiva assume a responsabilidade editorial pela publicação.

O Banco Central Europeu (BCE) já anunciou que vai incorporar a utilização e os riscos associados à IA na análise que realiza às instituições no âmbito dos seus processos anuais de revisão e avaliação de supervisão (SREP), numa altura em que o setor financeiro está a apostar fortemente na adoção de ferramentas de IA para maximizar as suas vantagens, nomeadamente melhorar a concessão de financiamento e o atendimento ao cliente, detetar fraudes ou, simplesmente, otimizar os resultados através de ganhos de eficiência decorrentes da automatização de processos.

A aplicação do Regulamento Europeu sobre Inteligência Artificial (AI Act), aprovado em 2024 e que terá uma aplicação progressiva até 2028, veio acelerar a incorporação daqueles riscos na SREP que se realizará em 2026.