O mais recente relatório de supervisão comportamental do Banco de Portugal diz muito pouco sobre inteligência artificial. Não se detém em modelos, algoritmos ou automação, nem diz aos bancos que devem preocupar-se com a IA. O seu foco está na governação, na forma como as instituições estruturam as suas decisões, controlam a sua atuação e monitorizam os resultados que produzem. É precisamente esse foco que torna o relatório relevante para o debate sobre a IA.
O relatório descreve um mercado bancário de retalho globalmente maduro, mas sujeito a uma pressão crescente resultante dos canais digitais, de ecossistemas fragmentados, da evolução dos riscos de conduta e de esquemas de fraude cada vez mais sofisticados. Ao longo do documento, o regulador associa estas pressões à mesma necessidade subjacente: uma governação interna, controlo e monitorização mais robustos. À medida que os bancos introduzem IA nestes processos, a questão passa a ser saber se a sua governação consegue acompanhar as decisões que a tecnologia ajuda agora a tomar.
Grande parte da conversa sobre IA nos serviços financeiros gira em torno de questões como: que casos de utilização são seguros, qual a precisão dos resultados ou como prevenir alucinações. Estas preocupações são legítimas, mas situam-se à superfície de um problema institucional mais profundo. Quando um sistema automatizado influencia uma decisão, a instituição tem de conseguir explicar o que aconteceu, demonstrar qual o princípio aplicado e provar quem analisou o resultado e com base em que evidência. A IA torna este tipo de responsabilização mais exigente, não menos.
Esta responsabilização individual está bem estabelecida. Os membros dos órgãos de administração dos bancos estão sujeitos à avaliação de idoneidade e adequação do Banco de Portugal e continuam pessoalmente responsáveis pela solidez dos seus sistemas de governação, conduta e controlo. A dificuldade é que esta responsabilidade foi concebida para sistemas que uma pessoa podia inspecionar e compreender. À medida que os sistemas que estão agora a entrar na banca se tornam mais complexos e probabilísticos, esse tipo de análise direta torna-se mais difícil. A responsabilidade legal permanece inalterada, mas a supervisão torna-se mais desafiante, porque a IA generativa e os sistemas autónomos de IA simplesmente não funcionam da mesma forma que os sistemas tradicionais.
As instituições estão mesmo a recorrer à IA para verificar o trabalho de outros sistemas de IA, a uma profundidade e velocidade que os revisores humanos não conseguem acompanhar através da análise individual de cada modelo. Por isso, a supervisão independente já não pode significar a inspeção direta de todos os modelos. Tem de significar a governação dos critérios e das condições em que essa validação automatizada é realizada - e a manutenção da capacidade de julgamento necessária para escalar situações quando algo falha.
É esta a mudança que o relatório antecipa. A sua ênfase numa supervisão preventiva, estrutural e baseada no risco reflete uma expectativa clara de que as instituições identifiquem as causas dos riscos, as monitorizem continuamente e previnam resultados negativos antes que estes cheguem aos clientes. No entanto, em muitas instituições, a regulamentação continua num sistema, as políticas noutro e os controlos num terceiro, enquanto a fundamentação por detrás de cada decisão permanece dispersa por emails, folhas de cálculo e pela experiência individual dos profissionais. Este modelo era viável enquanto o compliance era lento e manual. Mas quando agentes de IA e fluxos de trabalho automatizados passam a operar sobre estes processos à escala, as lacunas entre sistemas transformam-se em riscos de governação, à medida que a atividade acelera mais rapidamente do que a capacidade da instituição para a rastrear e justificar.
Responder a este desafio exigirá que as instituições criem ligações mais fortes entre obrigações regulatórias, políticas internas, controlos e processos de governação. A IA pode ajudar as organizações a mapear, monitorizar e avaliar estas relações a uma escala difícil de alcançar manualmente, mas a responsabilização tem de permanecer firmemente nas mãos da instituição e dos seus decisores.
É isto que significa, na prática, uma supervisão preventiva e responsável. Implementar IA é hoje a parte mais simples. O que distingue uma instituição da outra é a sua capacidade para assumir e sustentar as decisões que a IA ajuda a produzir.
