IA, Conformidade 8 minutos de leitura
A IA sob o olhar da ACPR: Cumprindo os padrões de explicabilidade e governança na prevenção da lavagem de dinheiro e na detecção de fraudes
Se você administra um programa de combate à lavagem de dinheiro ou à fraude que atua no mercado francês, provavelmente sabe que a Autorité de contrôle prudentiel et de résolution (ACPR) é um dos órgãos reguladores mais exigentes da Europa. O que mudou nos últimos anos é o nível de documentação que eles esperam.
O critério costumava ser: você tem controles e pode mostrar como eles funcionam?
Hoje em dia, o que cada vez mais se espera é: você consegue demonstrar como seus modelos funcionam, por que tomaram cada decisão e quem foi o responsável pelo resultado?
Essa mudança é importante porque muitas plataformas de combate à lavagem de dinheiro e à fraude foram criadas principalmente para gerar alertas. Este artigo explica o que a ACPR realmente espera da IA na detecção de crimes financeiros e como é, na prática, um programa em conformidade com as exigências da ACPR.
A ACPR: de onde surgiu e por que seu mandato abrange mais do que se imagina
A ACPR foi criada em 2010 por meio da Portaria nº 2010-76, que unificou quatro órgãos predecessores: a Comissão Bancária, a ACAM, a CEA e a CECEI. A portaria foi ratificada pela Lei de Regulamentação Bancária e Financeira da França no final daquele ano. Tratou-se, em todos os sentidos, de uma reforma pós-2008: o objetivo era consolidar a supervisão fragmentada sob uma única autoridade com recursos para realmente realizar o trabalho.
Em julho de 2013, a agência assumiu competências de resolução e passou a se chamar ACPR, em vez de ACP. Essa mudança é mais do que uma simples alteração de nome. Significa que o mesmo órgão que supervisiona seus controles de combate à lavagem de dinheiro é também o responsável pela resolução da sua instituição em caso de falência.
A ACPR é composta por pessoal e conta com o apoio do Banque de France, o que lhe confere um peso institucional real. Seu duplo mandato é a estabilidade sistêmica e a proteção do consumidor, e seu alcance vai além do que as pessoas geralmente imaginam: bancos, seguradoras, instituições de pagamento, instituições de moeda eletrônica e, por extensão, os agentes e parceiros com os quais essas entidades licenciadas trabalham.
O que a ACPR realmente espera da IA no setor financeiro daqui para frente
A ACPR divulgou seu documento de discussão sobre a governança da IA no setor financeiro em 2020. Ele se concentrou em três áreas: AML/CFT, pontuação de crédito e proteção ao consumidor. Cinco anos depois, esse documento continua sendo uma das articulações mais concretas do que um regulador francês deseja ver quando a IA está tomando decisões dentro de uma instituição financeira.
O quadro baseia-se em quatro critérios de desempenho:
- Gestão de dados: linhagem, qualidade e governança das entradas.
- Explicabilidade: a capacidade de explicar o que o modelo fez, para o público certo, com o nível adequado de detalhes.
- Desempenho: precisão, robustez e medição contínua.
- Estabilidade: como o sistema se comporta ao longo do tempo, em condições de desvio e diante de mudanças.
Um aspecto que muitas equipes subestimam é a camada de explicabilidade. O ACPR articula um modelo em camadas de transparência: observação, justificativa, aproximação, replicação. O nível necessário depende do público (validador interno, supervisor, cliente afetado) e do risco da decisão.
Essa é a parte que muitas vezes passa despercebida nas apresentações dos fornecedores. O ACPR não está exigindo total transparência em todos os modelos, mas sim uma governança proporcional ao risco, com a capacidade de solicitar explicações mais detalhadas quando a situação assim o exigir.
Na prática, as instituições se beneficiam ao saber antecipadamente qual o nível de explicabilidade que cada sistema de IA em sua pilha é capaz de oferecer e se esse nível corresponde à decisão que o sistema está influenciando.
O que está em sintonia: a AMLD6, a Lei da IA da UE, a AMLA e a DORA
Quatro linhas regulatórias estão agora chegando à mesma mesa.
Uma instituição supervisionada pela ACPR que utilize IA em seu programa de combate à lavagem de dinheiro em 2027 precisará cumprir, simultaneamente, os critérios de governança da ACPR, as obrigações da AMLD6, os deveres dos provedores/implementadores previstos na Lei de IA e os requisitos de supervisão de fornecedores da DORA, tudo isso por meio de um ambiente de controle coerente. Vale a pena prestar atenção ao efeito cumulativo dessa situação.
- AMLD6 (Diretiva 2024/1640) deve ser transposta para a legislação francesa em 10 de julho de 2027. Ela reforça a coordenação entre as autoridades de supervisão nacionais e as UIFs, harmoniza as principais obrigações em matéria de combate à lavagem de dinheiro e prepara o terreno para a nova Autoridade da UE de Combate à Lavagem de Dinheiro (AMLA), que supervisionará diretamente as instituições transfronteiriças de maior risco e supervisionará as autoridades nacionais de supervisão no restante.
- A Lei da IA da UE classifica os sistemas de pontuação de crédito como de alto risco e aplica uma isenção matizada aos sistemas de combate à lavagem de dinheiro e de detecção de fraudes. A isenção é real, mas mais restrita do que parece. Como a EBA destacou, uma vez que o resultado de um modelo de combate à lavagem de dinheiro (AML) conduz a uma decisão posterior, como o encerramento de conta ou a recusa de serviço, o impacto funcional começa a parecer próximo do alto risco. A responsabilidade do implementador está incorporada: as instituições não podem transferir totalmente a responsabilidade pela conformidade para seus fornecedores. As multas podem chegar a 3% do faturamento global.
- A DORA inclui a resiliência operacional, a gestão de riscos de TIC e a supervisão de fornecedores terceirizados no âmbito da supervisão. A ACPR é responsável pela aplicação da DORA às entidades francesas. Isso significa que seu conjunto de fornecedores de serviços de combate à lavagem de dinheiro agora faz parte do seu programa de resiliência operacional, e não mais uma questão de aquisição separada.
Por que as abordagens tradicionais podem impedir o avanço das instituições financeiras
Já vi muitas estruturas de combate à lavagem de dinheiro e à fraude. As que enfrentam mais dificuldades com o novo peso regulatório tendem a compartilhar algumas características.
Monitoramento baseado em regras projetado para um volume de alertas diferente. Quando os registros STR estão 20% acima do ritmo do ano passado e seu sistema de monitoramento de transações ainda está configurado com limites estáticos definidos há três anos, duas coisas podem acontecer. O volume de alertas dispara e a relação sinal-ruído desmorona.
As taxas de falsos positivos podem ultrapassar os 95%, e o custo operacional é significativo. O risco de conformidade, menos óbvio, mas mais perigoso, é a fadiga de alertas: quando os analistas não conseguem acompanhar o ritmo, casos reais são encerrados sem a devida análise.
Modelos de caixa preta sem rastros de auditoria. Algumas instituições passaram a utilizar a detecção baseada em aprendizado de máquina, mas não conseguem explicar por que um determinado alerta foi acionado. No âmbito da estrutura da ACPR, isso pode ser considerado uma falha de governança, e não uma curiosidade técnica. Se não for possível apresentar uma justificativa ou uma explicabilidade, mesmo que aproximada, quando um supervisor solicitar, o próprio modelo pode se tornar um risco.
Processos manuais que falham quando submetidos a análise. Quando um órgão regulador questiona como uma decisão foi tomada há dezoito meses, espera-se que a resposta seja reproduzível. Muitos programas não conseguem reconstruir a lógica da decisão, o histórico de versões ou as evidências da supervisão humana de um período tão distante. As informações existem em algum lugar, mas estão espalhadas por planilhas, notas de gerenciamento de casos e na memória dos analistas.
Pilhas de soluções de fornecedores fragmentadas, sem um registro de auditoria unificado. Muitas instituições não adquiriram suas soluções de combate à lavagem de dinheiro e à fraude como um único sistema. Elas as montaram a partir de soluções pontuais nas áreas de triagem, monitoramento, gestão de casos e pontuação de risco do cliente. Cada fornecedor tem seu próprio registro de auditoria, seu próprio formato de exportação e sua própria política de retenção de dados. Reunir tudo isso em um relato coerente para um órgão regulador pode se tornar um projeto que leva vários meses.
Como funciona, na prática, um programa de combate à lavagem de dinheiro e à fraude em conformidade com a ACPR
Relacionar os quatro critérios da ACPR com a capacidade operacional é um exercício útil. Isso deixa claro o que deve ser construído e o que deve ser desativado.
A gestão de dados significa a orquestração integrada de dados. O sistema precisa coletar, normalizar e controlar as versões dos dados com os quais trabalha, e precisa fazer isso de uma forma que possa ser apresentada a um supervisor.
A explicabilidade se traduz em rastreabilidade no nível da decisão. Cada alerta, cada pontuação e cada escalonamento devem gerar um artefato que explique o que o modelo identificou, quais características foram relevantes e o que o resultado do modelo significou.
O desempenho implica em medição e avaliação contínuas. Isso inclui backtesting, configurações de “campeão/desafiador”, monitoramento de desvios e testes de viés, quando pertinentes. O desempenho pode ser considerado uma obrigação contínua, e os supervisores esperam cada vez mais ver o rastro de evidências.
A estabilidade se traduz em controle de versões e de alterações. Cada modelo, cada regra, cada alteração de limite é rastreada, datada, atribuída e reversível. Quando um supervisor perguntar o que o sistema estava fazendo em uma data específica há dezoito meses, a resposta deve levar minutos, não semanas.
Desse ponto de vista, destacam-se alguns aspectos de projeto operacional:
- O monitoramento em tempo real e o monitoramento em lote precisam coexistir. O monitoramento em tempo real é essencial para as decisões em que a rapidez é fundamental (autorização de pagamentos, abertura de contas). Já o monitoramento em lote é indicado para os padrões de comportamento que só se revelam ao longo de períodos de dias ou semanas. Os programas modernos executam ambos, com base nos mesmos dados subjacentes e na mesma biblioteca de regras, de modo que você não precisa lidar com duas realidades paralelas.
- A abordagem “human-in-the-loop” se beneficia de um projeto deliberado. Os agentes de IA podem lidar de forma autônoma com um grande volume de alertas de baixo risco. O que importa é que a lógica de escalonamento para os analistas humanos seja explícita, que a revisão humana seja genuína — e não apenas um formalismo — e que toda a cadeia seja auditável. As expectativas de governança da ACPR tendem a ser atendidas por meio da demonstração de uma supervisão efetiva.
- O projeto da trilha de auditoria deve ser feito na fase inicial, e não na fase final. A tentação é adicionar o registro de auditoria apenas no final. A arquitetura correta trata cada decisão, desde o alerta inicial até o envio final do SAR, como um evento rastreável a partir do momento em que é gerado.
- As equipes de conformidade se beneficiam ao ter o controle sobre a lógica de detecção. Quando cada alteração nas regras exige a abertura de um ticket de engenharia, o programa pode ter dificuldade em acompanhar o ritmo das ameaças ou das mudanças regulatórias. As instituições que estão se destacando são aquelas em que as equipes de combate à lavagem de dinheiro e à fraude podem criar, testar e implementar a lógica de detecção diretamente, dentro dos limites de governança.
A conformidade como uma verdadeira vantagem competitiva em 2026 e nos anos seguintes
As instituições mais bem posicionadas para se destacarem na França nos próximos anos são aquelas que conseguirem comprovar que seus programas de combate à lavagem de dinheiro e à fraude são bem gerenciados, transparentes e operacionalmente resilientes. Elas tendem a conquistar parcerias, pois as entidades licenciadas provavelmente escolherão parceiros que possam defender perante um órgão regulador. Elas podem se expandir mais rapidamente, pois os obstáculos regulatórios podem se tornar uma vantagem competitiva para as empresas que já realizaram esse trabalho. E podem evitar os danos financeiros e à reputação que o Comitê de Sanções agora pode infligir em grande escala.
A convergência do quadro regulatório atual da ACPR com a AMLD6, a Lei da UE sobre IA, a AMLA e a DORA está se tornando a nova referência. O nível de exigência está aumentando de forma a recompensar as instituições que incorporaram governança, explicabilidade e supervisão humana em seus programas de IA desde o início.
