A Governação da IA se está a tornar uma responsabilidade central da gestão bancária

A IA passou da fase de experimentação para a estratégia bancária

A inteligência artificial tornou-se uma questão estratégica generalizada para os bancos, em vez de um experimento tecnológico especializado. As instituições estão a utilizar a IA na deteção de fraude, no atendimento ao cliente, no marketing, na análise de risco, na cibersegurança e na produtividade interna. A oportunidade é substancial porque a atividade bancária é inerentemente intensiva em informação, mas as consequências de uma implementação deficiente também podem ser significativas. Uma recomendação de marketing fraca pode desperdiçar orçamento; um modelo de crédito ou de fraude pouco fiável pode afetar os clientes, causar perdas financeiras ou expor o banco a riscos regulatórios e reputacionais.

É por isso que os supervisores bancários tratam cada vez mais a governação da IA como parte da responsabilidade de gestão ordinária. A questão relevante não é se um banco tem um documento de estratégia de IA, mas se consegue explicar onde a IA é utilizada, quem é responsável por cada sistema, em que dados se baseia, como é monitorizado o desempenho e como é mantida a supervisão humana.

Propriedade, finalidade e governação de dados

O primeiro requisito de governação é uma responsabilidade clara. As equipas de tecnologia podem construir ou configurar um sistema, mas a função de negócio que o utiliza deve compreender e assumir a responsabilidade pelo processo. As funções de risco, conformidade, jurídica e de segurança da informação podem apresentar desafios e controlos, mas a responsabilidade não deve ficar tão dispersa que ninguém consiga explicar quem é responsável pelo resultado.

O segundo requisito é uma finalidade definida. Um modelo concebido para priorizar alertas de fraude tem um perfil de risco diferente de um sistema que influencia as condições de crédito ou fornece aconselhamento aos clientes. Os bancos devem documentar o que o sistema se destina a fazer, que decisões pode influenciar e o que não lhe é explicitamente permitido fazer. Isto ajuda a alinhar a validação, os controlos e a monitorização com o impacto potencial de uma falha.

A governação de dados é igualmente importante. O desempenho da IA depende da qualidade, relevância e legalidade da informação utilizada. Os bancos precisam de compreender a linhagem dos dados, os enviesamentos, o acesso e a segurança. Um modelo tecnicamente sofisticado não pode compensar dados de má qualidade, e um modelo treinado com base em padrões históricos pode reproduzir resultados indesejados se esses padrões não forem examinados de forma crítica.

Explicabilidade, monitorização e supervisão humana

Nem todos os sistemas de IA têm de ser interpretáveis ao mesmo nível, mas os bancos precisam de transparência suficiente para gerir decisões importantes. Quando um modelo afeta os clientes ou o risco material, a gestão deve ser capaz de explicar os fatores que influenciam o resultado e o processo pelo qual a decisão é revista. Quanto mais consequente for a utilização, mais forte será o requisito de validação e documentação.

A monitorização também deve ser contínua. O desempenho do modelo pode mudar à medida que o comportamento dos clientes, as condições económicas e os padrões de fraude evoluem. Uma abordagem que funcionou bem durante um período pode degradar-se posteriormente. Os bancos devem, por isso, estabelecer indicadores de desempenho, limiares de escalonamento e revisões periódicas, em vez de considerar a validação inicial suficiente para toda a vida do sistema.

A supervisão humana deve ser proporcional ao caso de utilização. Uma ferramenta de IA generativa que resume documentos internos pode justificar um controlo mais leve do que um modelo utilizado na avaliação de crédito. O objetivo não é manter a aprovação manual em todo o lado, mas garantir que as consequências de um erro automatizado sejam compreendidas e que os seres humanos mantenham uma autoridade significativa onde for necessário.

Risco de terceiros e de concentração

Muitos bancos utilizarão plataformas externas de IA em vez de desenvolverem todos os modelos internamente. Isto cria dependência dos fornecedores de serviços na nuvem, dos fornecedores de modelos e de outros fornecedores de tecnologia. O risco de terceiros passa, portanto, a fazer parte da governação da IA. As instituições precisam de compreender onde os dados são processados, como os modelos são atualizados, o que acontece se um serviço ficar indisponível e se o banco pode mudar de fornecedor sem perturbações inaceitáveis.

O risco de concentração merece especial atenção. Se muitos bancos dependerem da mesma infraestrutura subjacente ou do mesmo fornecedor de modelos, uma única falha pode afetar várias instituições simultaneamente. O DORA e o trabalho de supervisão mais amplo sobre a resiliência operacional reforçam a importância de mapear estas dependências e garantir que a subcontratação não resulte na subcontratação da responsabilidade.

A IA paralela cria uma forma diferente de exposição a terceiros. Os colaboradores podem utilizar sistemas públicos porque são convenientes, mesmo quando essas ferramentas não foram aprovadas. A proibição generalizada muitas vezes falha se os colaboradores perceberem benefícios óbvios de produtividade, pelo que as instituições precisam de políticas práticas e alternativas aprovadas. A formação é, portanto, parte do quadro de governação.

Responsabilidades do conselho e da gestão

A IA não deve ser tratada como um assunto puramente técnico a nível do conselho. Afeta a estratégia, a conduta, a resiliência operacional, a governação de dados e a reputação. Os administradores não precisam de se tornar especialistas em aprendizagem automática, mas devem ser capazes de fazer perguntas fundamentadas. Que valor de negócio é esperado? O que pode correr mal? Como são afetados os clientes? Quem valida o sistema? Qual é o plano de contingência se o fornecedor ou o modelo falhar? Estas são questões de governação, não de programação.

Um quadro maduro também deve distinguir os níveis de risco. As ferramentas de produtividade interna de baixo impacto podem seguir um processo de aprovação simplificado, enquanto os sistemas voltados para os clientes ou que influenciam decisões exigem uma revisão mais rigorosa. Esta proporcionalidade evita que a governação se torne tão onerosa que desencoraje a experimentação útil de baixo risco.

Conclusão

A governação da IA deve ser integrada nos quadros bancários existentes de risco de modelos, governação de dados, subcontratação, segurança da informação e risco operacional. Criar um universo de governação completamente separado pode introduzir lacunas e duplicação. A eBSI Banking Academy considera a literacia em IA como parte da competência profissional moderna porque os colaboradores bancários trabalham cada vez mais ao lado de sistemas inteligentes, independentemente de desenvolverem ou não esses sistemas.

As instituições que obtiverem valor sustentável da IA serão aquelas que desenvolverem tecnologia, governação e competências em conjunto. Inteligência sem governação não é uma estratégia bancária; é uma fonte de risco não gerida.

Um modelo de governação prático deve incluir todo o ciclo de vida do sistema

A governação deve ir além da aprovação no início de um projeto de IA. Os bancos precisam de processos para a gestão de alterações, validação periódica, escalonamento de incidentes e eventual descontinuação. Um modelo pode permanecer tecnicamente funcional enquanto se torna inadequado porque o comportamento dos clientes muda, os dados subjacentes se deterioram ou uma abordagem superior fica disponível. A governação do ciclo de vida garante que os sistemas não são mantidos em produção simplesmente porque um dia funcionaram bem.

Um registo de IA pode fornecer uma base útil. Deve identificar o responsável de negócio, a finalidade, os dados envolvidos, o fornecedor, o impacto nos clientes, a classificação de risco e a frequência de revisão para cada sistema significativo. Isto cria visibilidade para a gestão e ajuda a ligar a governação da IA aos quadros existentes de risco de modelos, subcontratação e resiliência operacional. O registo não é valioso porque cria outro inventário; é valioso porque dá à instituição uma forma consistente de compreender onde a IA está a influenciar as decisões de negócio e onde a atenção da supervisão pode ser necessária.