Equipas de compliance não estão a conseguir acompanhar a evolução da IA

Um relatório apresentado pela Zango AI em outubro mostra que a inteligência artificial está a transformar a forma como as instituições financeiras criam e personalizam conteúdos de marketing, mas os modelos de compliance concebidos para supervisionar esses conteúdos não estão a evoluir ao mesmo ritmo.

O documento reuniu 11 líderes de topo do setor financeiro português, da banca, dos seguros e da gestão de ativos, bem como das áreas do direito, da academia e da supervisão, incluindo Miguel Maya, CEO do Millennium bcp, e Rogério Campos Henriques, CEO da Fidelidade, para analisar a forma como a IA está a transformar a comunicação com os clientes, o compliance e a confiança.

Jornal PT50 – Em que matérias é que o compliance não está a conseguir acompanhar a evolução da IA?

Ritesh Singhania – Um estudo realizado com investigadores independentes da Universidade de Oxford revelou uma divisão crescente entre a primeira linha de defesa (as equipas de negócio responsáveis pelos produtos, clientes e operações do dia a dia) e a segunda linha, composta pelas funções de compliance e de gestão de risco. As equipas de negócio estão a adotar a IA a um ritmo acelerado, especialmente nos casos em que os dados são estruturados e os benefícios comerciais são fáceis de demonstrar. As funções de compliance e de gestão de risco partem de uma base muito mais baixa.

Existem algumas boas razões para isso: o trabalho de compliance é frequentemente complexo e exige muito discernimento, envolvendo a interpretação de regulamentos e a avaliação de riscos. Também é mais difícil justificar o investimento. Grande parte do valor da função de compliance advém de impedir que as coisas corram mal, sendo difícil quantificar o retorno de um investimento quando o sucesso significa que algo não acontece.

Mas isto está a criar uma lacuna crescente na supervisão: as equipas de compliance são cada vez mais chamadas a supervisionar sistemas de IA que evoluem mais rapidamente do que as suas próprias capacidades. As abordagens tradicionais de garantia de fiabilidade, baseadas no teste dos sistemas antes da sua implementação e na respetiva revisão periódica, são pouco adequadas a sistemas de IA cujo comportamento pode variar e evoluir.

Felizmente, a IA também oferece uma solução. Os agentes podem agora ajudar a interpretar novos regulamentos, identificar obrigações e cruzá-las com as políticas e os mecanismos de controlo de uma instituição, reduzindo drasticamente o trabalho manual.

Isto também irá alterar o papel dos profissionais de compliance e estamos a assistir ao surgimento daquilo a que chamamos engenheiro de compliance: alguém que combina conhecimentos especializados em matéria regulamentar com a capacidade de conceber e supervisionar processos de compliance impulsionados pela IA, decidindo o que os agentes podem fazer, em que situações é necessário o discernimento humano e de que forma o seu trabalho é monitorizado.

Ritesh Singhania, CEO da Zango IA/Foto: Zango IA

PT50 – Quais são as questões fundamentais que o compliance humano não deve delegar em agentes de IA?

R.S. – A responsabilização não pode ser delegada. Um gestor pode atribuir uma tarefa a um agente de IA, mas a responsabilidade continua a recair sobre esse gestor. Se um agente identificar uma nova obrigação regulamentar que seja apenas parcialmente abrangida por um mecanismo de controlo existente, pode assinalar essa lacuna e recomendar uma linha de ação. Mas a decisão de saber se o banco pode aceitar esse risco durante três meses cabe a uma pessoa, que deve estar preparada para a justificar.

A interpretação regulamentar é outra área em que o discernimento humano continua a ser essencial. Tomemos como exemplo o controlo de conformidade em matéria de marketing: um agente de IA pode analisar um anúncio financeiro, identificar potenciais violações e explicar as suas conclusões com referências à regulamentação aplicável ou às políticas internas do banco. No entanto, grande parte da regulamentação financeira baseia-se em princípios, exigindo um juízo sobre o que é justo, claro ou potencialmente enganoso. O recente «Guia Prático sobre Publicidade» do Banco de Portugal ilustra bem esta situação. Alguns requisitos podem ser verificados automaticamente, enquanto outros são mais subjetivos. A IA pode fornecer a análise e as provas de suporte, mas deve ser uma pessoa a tomar a decisão final de aprovação.

É fundamental que a supervisão humana seja proporcional ao caso de utilização. Na monitorização de transações, por exemplo, simplesmente não é viável ter uma pessoa a aprovar todas as decisões automatizadas. Em vez disso, a supervisão pode envolver a monitorização contínua do desempenho, a realização de testes e a revisão humana dos casos de maior risco. O controlo de conformidade em marketing é diferente, pois permite que uma pessoa reveja e aprove os conteúdos antes da sua publicação. O essencial é conceder autonomia aos agentes sempre que tal se justifique em função dos riscos e das provas da sua fiabilidade, garantindo simultaneamente que a supervisão humana continue a ser efetiva, em vez de se limitar a uma aprovação meramente formal.

PT50 – Quais são os novos desafios da supervisão contínua?

R.S. – Os sistemas de IA são muito mais difíceis de supervisionar através das abordagens tradicionais de garantia de fiabilidade. Historicamente, as instituições podiam testar um sistema antes da sua implementação e verificar periodicamente se continuava a funcionar conforme previsto. No entanto, com a IA generativa e agentiva, o comportamento é menos previsível e pode alterar-se ao longo do tempo.

Um modelo pode produzir resultados diferentes a partir da mesma entrada, e o seu fornecedor pode atualizar a tecnologia subjacente sem que o próprio banco altere o que quer que seja. Um sistema que passou nos testes em janeiro pode comportar-se de forma diferente em junho. Isto exige uma transição para uma garantia de fiabilidade contínua, em que as instituições monitorizam o comportamento real dos sistemas, em vez de se basearem apenas em revisões periódicas.

O mesmo se aplica ao que os clientes veem. Uma comunicação publicitária aprovada na primavera pode, posteriormente, ser editada ou deixar de estar em conformidade na sequência de novas orientações regulamentares. As orientações do Banco de Portugal em matéria de publicidade ilustram por que razão as instituições precisam de monitorizar os conteúdos em circulação e de os voltar a verificar sempre que as regras mudam.

As autoridades de supervisão enfrentam o mesmo desafio, mas numa escala maior: ninguém consegue, de forma realista, analisar milhares de versões personalizadas de uma campanha de marketing através de uma amostragem dos processos realizada apenas uma vez por ano. Os reguladores irão necessitar cada vez mais de ferramentas próprias de IA para identificar riscos emergentes e avaliar os mecanismos de supervisão das instituições.

Isto também altera aquilo que as autoridades de supervisão precisam de avaliar. Já não basta ter políticas e estruturas de governação adequadas no papel. As autoridades de supervisão precisam de provas de que os mecanismos de controlo estão a funcionar na prática: de que forma as instituições monitorizam o desempenho da IA, detetam comportamentos inesperados, encaminham os problemas para os níveis de decisão adequados e intervêm quando algo corre mal. Cada vez mais, o foco irá deslocar-se para a avaliação da eficácia dos mecanismos de garantia de fiabilidade contínua das instituições, em vez de se tentar verificar de forma independente todas as decisões tomadas por um sistema de IA.

PT50 – Qual é o estado de evolução das instituições financeiras portuguesas face às restantes instituições europeias?

R.S. – Com base no nosso trabalho com instituições financeiras em todo o país e na Europa, diria que os principais bancos portugueses estão, sem dúvida, à altura do desafio. Temos observado uma ambição significativa em matéria de IA, nomeadamente nas áreas de compliance e gestão de risco, comparável à que se verifica em mercados como o Reino Unido e Espanha.

Em toda a Europa, a adoção está agora generalizada. A Autoridade Bancária Europeia informou, no ano passado, que 92% dos bancos da UE já estavam a implementar soluções de IA. Mas há uma enorme diferença entre utilizar a IA para tarefas pontuais e transformar fundamentalmente a forma como uma instituição funciona. É aí que penso que se situará a próxima fase da concorrência.

No entanto, existe um desafio mais vasto para Portugal. Os dados do Eurostat mostram que apenas 11,5% das empresas portuguesas utilizavam IA em 2025, contra 20,3% em Espanha e 20% na UE, apesar de os portugueses utilizarem a IA generativa mais do que a média da UE. Estes números excluem os serviços financeiros, mas sugerem que a adoção da IA no ecossistema empresarial mais alargado está menos desenvolvida. Isso é importante para os bancos, que dependem de redes de fornecedores, distribuidores e parceiros comerciais.

Uma vantagem de Portugal é a relação relativamente próxima entre as suas instituições financeiras e as entidades reguladoras. Quando reunimos representantes do Banco de Portugal, da CMVM, da ASF e do setor, surgiu uma oportunidade para uma discussão prática sobre a governação da IA e os desafios que as instituições enfrentam.

Em última análise, seria cauteloso ao comparar Portugal com outros mercados europeus. A questão mais importante é saber se as suas instituições conseguem traduzir as suas ambições em implementações de IA que produzam resultados mensuráveis, apoiadas por uma governação eficaz.