Inteligência artificial em compliance e supervisão

Ler a edição em PDF (5 páginas)

Monitoramento de transações e crimes financeiros

O compliance é um dos campos mais promissores e mais delicados para a inteligência artificial. Os sistemas tradicionais de monitoramento de transações geram grande número de alertas, a maioria dos quais se revela infundada após revisão manual. Modelos de aprendizado de máquina conseguem classificar os alertas segundo a probabilidade de serem genuínos, detectar padrões entre contas e analisar informações não estruturadas, como notícias da imprensa. A MAS constatou que os bancos usam com frequência esses modelos em sistemas de combate à lavagem de dinheiro e na detecção de fraudes. O perigo regulatório é simétrico. Um modelo que suprime alertas genuínos expõe o banco a violações das regras de combate à lavagem de dinheiro examinadas na Parte H. Um modelo incapaz de explicar seu resultado é difícil de defender perante um supervisor ou um tribunal. A MAS inclui o risco regulatório entre os principais riscos da inteligência artificial e dá como exemplo o desempenho insatisfatório de um modelo usado para apoiar os esforços de combate à lavagem de dinheiro.¹

Os dados de que esses modelos dependem também mudaram. Desde 1º de abril de 2024, seis grandes bancos comerciais podem compartilhar informações sobre clientes que apresentam múltiplos sinais de alerta por meio da COSMIC, uma plataforma digital que a MAS lançou com eles com base no Financial Services and Markets (Amendment) Act 2023. Seu foco inicial é o uso abusivo de pessoas jurídicas, o uso abusivo do financiamento ao comércio exterior e o financiamento da proliferação.² Uma plataforma desse tipo é uma fonte de sinais estruturados que os modelos analíticos podem explorar. Seu marco jurídico e sua importância para o combate à lavagem de dinheiro são discutidos na Parte H.

Modelos de terceiros e concentração

A maioria das instituições adquire seus modelos generativos de um pequeno número de fornecedores globais. A MAS identificou três riscos daí decorrentes: vieses desconhecidos provenientes dos dados de pré-treinamento, preocupações com a proteção de dados e o risco de concentração, quando muitas instituições dependem dos mesmos modelos subjacentes. Os bancos responderam com testes compensatórios, planos de contingência e contratos revistos que preveem garantias de desempenho, proteção de dados, direitos de auditoria e notificação quando um fornecedor introduz inteligência artificial em um serviço já existente.³

As diretrizes (Guidelines) definitivas fixam o princípio. Uma instituição pode não ter como obrigar um fornecedor terceiro a adotar práticas robustas de gestão de riscos. Ainda assim, ela continua responsável pela forma como a IA de terceiros é usada dentro de sua organização e pelo possível impacto sobre clientes e outras partes interessadas.⁴ As regras sobre terceirização e gestão de riscos tecnológicos, examinadas no Capítulo E.I, aplicam-se paralelamente.

Incidentes, monitoramento e contingência

As Guidelines definem incidentes de IA como incidentes que envolvem falha, mau funcionamento ou desempenho insatisfatório do sistema ou modelo subjacente. A MAS decidiu não criar um regime de comunicação específico para eles. As instituições devem continuar a comunicar incidentes segundo as exigências já existentes sobre risco tecnológico e continuidade de negócios, qualquer que seja a causa originária. Planos de contingência são exigidos para casos de uso de alta materialidade de risco. Modelos que se atualizam automaticamente, como os sistemas de aprendizado por reforço, exigem um monitoramento mais rigoroso, porque seu comportamento pode evoluir durante a operação sem intervenção humana.⁵

No caso de sistemas agênticos, o monitoramento deve abranger os fluxos de informação e os caminhos de decisão ao longo dos fluxos de trabalho, incluindo os processos de raciocínio, as ações executadas e as ferramentas utilizadas. Esse monitoramento permite que a instituição reconstrua ações individuais em cadeias de agentes e localize a origem de uma falha. A MAS sugeriu também que a amplitude do acesso a ferramentas e sistemas pode servir como dimensão adicional da materialidade de risco, porque agentes com permissões amplas podem agravar o risco de comprometimento de dados.⁶

O uso de dados pelo próprio supervisor

A MAS aplica a análise de dados ao seu próprio trabalho desde que criou o cargo de Chief Data Officer, ocupado por David Hardoon quando os FEAT Principles foram publicados. Os supervisores utilizam ferramentas analíticas para processar informes regulatórios, triar comunicações de operações suspeitas e detectar padrões de abuso de mercado.⁷ A relação de supervisão em si não muda com essas ferramentas. Elas ajudam o supervisor a selecionar as instituições e as transações que merecem atenção, enquanto a avaliação continua sendo um juízo humano exercido nos termos das leis descritas no Capítulo E.I.

Notas

1. MAS, Information Paper, dezembro de 2024, par. 2.1: modelos de ML baseados em árvores de decisão são “commonly used in anti-money laundering (AML) systems to detect suspicious transactions, and in fraud detection systems” – MAS, Information Paper, dezembro de 2024, par. 2.2: “Regulatory risks, e.g., poor performance of AI used to support AML efforts could lead to non-compliance with regulations.” ↩
2. MAS, “COSMIC” (mas.gov.sg, acesso em novembro de 2026): lançada em 1º de abril de 2024; participantes DBS, OCBC, UOB, SCB, Citibank e HSBC; base legal no Financial Services and Markets (Amendment) Act 2023 e nas Financial Services and Markets (Information Sharing Scheme for Prescribed Financial Institutions) Regulations 2024; três áreas de risco. ↩
3. MAS, Information Paper, dezembro de 2024, par. 7.2.1: os riscos da IA de terceiros incluem “unknown biases from pre-training data, data protection concerns, as well as concentration risks due to increased interdependencies” – MAS, Information Paper, dezembro de 2024, par. 7.2.2(a)–(d): testes compensatórios, planejamento de contingência, acordos jurídicos com cláusulas sobre “performance guarantees, data protection, the right to audit, and notification when AI is introduced” e ações de conscientização. ↩
4. MAS, Response to Feedback, 7 de outubro de 2026, par. 9.3–9.4: a instituição financeira “remains accountable for how third-party AI is used within its organisation”; “the onus is on the FI to ensure that risks arising from its use of third-party AI are appropriately managed”. ↩
5. MAS, Response to Feedback, 7 de outubro de 2026, par. 10.69: definição de “AI incidents”; “MAS does not intend to introduce AI-specific incident reporting requirements at this juncture” – MAS, Response to Feedback, 7 de outubro de 2026, par. 10.67 e 10.70. ↩
6. MAS, Response to Feedback, 7 de outubro de 2026, par. 12.8 – MAS, Response to Feedback, 7 de outubro de 2026, par. 7.7: uma instituição financeira pode considerar “the extent of access to tools and systems granted as an additional dimension for AI risk materiality assessments of agentic AI”. ↩
7. Sobre o uso, pela MAS, da análise de dados e do aprendizado de máquina na supervisão e na análise de comunicações de operações suspeitas, ver os relatórios anuais da MAS a partir de 2018/19 e os discursos de dirigentes da MAS sobre tecnologia de supervisão. ↩

Apenas para informação geral. Este artigo não constitui assessoria jurídica ou tributária, não substitui a análise do caso concreto e não estabelece relação entre advogado e cliente. Reflete a situação jurídica em outubro 2026.