O futuro do underwriting de crédito sob a regulação de IA: implicações para a UE e além

No entanto, essa abordagem está à beira de uma regulação mais rígida, já que a primeira Lei de Inteligência Artificial (IA) da UE está prestes a entrar em vigor. Com novas regras no horizonte, duas perguntas cruciais surgem para os credores:

1. Como as atividades de underwriting de crédito serão classificadas pela Lei de IA proposta?
2. Que novas regras os credores precisam conhecer quando a lei entrar em vigor?

Maximilian Eber, CPTO da Taktile, e Philipp Hacker, professor de Direito e Tecnologia na Universidade Europeia Viadrina Frankfurt e consultor de políticas sobre a Lei de IA (em nível da UE), uniram forças para responder a essas perguntas.

Neste artigo, eles resumem a Lei de IA proposta e analisam a fundo as possíveis implicações das novas regulações para os credores, inclusive para aqueles que não usam IA no sentido técnico estrito.

Principais conclusões

• A Lei de IA se aplica a um amplo conjunto de tecnologias, incluindo não só machine learning avançado, mas também software complexo e processos de tomada de decisão
• A Lei de IA classifica o underwriting de crédito como uma atividade de “alto risco”, sujeita a regulação adicional
• Para algumas das novas regras de IA, a conformidade já existente com as regulações e diretrizes bancárias será suficiente; para outras, porém, o compliance bancário não bastará
• Daqui para a frente, para manter o compliance com a Lei de IA, será fundamental que os credores tenham uma infraestrutura de underwriting sólida e transparente, especialmente para a tomada de decisão automatizada

O que é a Lei de Inteligência Artificial (IA)?

A Lei de IA é a legislação de referência da UE para regular o desenvolvimento e a implantação de sistemas de IA em diversos setores da sociedade, de aplicações empresariais como credit scoring e seguros até a administração pública e a aplicação da lei.

Seu objetivo é regular os riscos específicos da IA, como opacidade, discriminação, comportamento imprevisível ou falta de qualidade preditiva, submetendo os desenvolvedores e usuários desses modelos a várias obrigações legais específicas.

A lei formaliza e amplia boas práticas já comuns no setor, trazendo regras específicas de monitoramento, transparência, documentação, supervisão humana e governança de dados.

Atualmente existem três versões diferentes da Lei de IA:

• Em abril de 2021, a primeira versão foi proposta pela Comissão Europeia
• Em dezembro de 2022, o Conselho da UE, que representa os Estados-Membros, emitiu seu parecer, a chamada Orientação Geral
• Em junho de 2023, o Parlamento Europeu adotou sua posição

Neste momento, essas três instituições negociam a portas fechadas em um processo chamado trílogo. A versão final da Lei de IA deve sair por volta do fim deste ano, e a maior parte de suas regras passará a valer a partir de meados de 2026.

No entanto, por causa de seu alcance amplo e de suas obrigações extensas, as empresas que usam IA ou qualquer modelo de decisão complexo devem se preparar para o compliance com a Lei de IA muito antes.

Como você verá mais adiante, a Lei de IA deve se aplicar a desenvolvedores e usuários de praticamente qualquer processo complexo de tomada de decisão, independentemente de usarem redes neurais, IA generativa ou qualquer outra tecnologia avançada de machine learning.

O olhar da Lei de IA sobre o underwriting de crédito como caso de uso de alto risco

A Lei de IA define quatro categorias de risco para modelos de IA, com base nos casos de uso em que o sistema é implantado:

1. Usos proibidos
2. Usos de alto risco
3. Usos de risco limitado
4. Usos não regulados

O risco proibido abrange casos de uso como o “scoring social” ou a identificação biométrica remota em espaços públicos (com exceções limitadas). No entanto, a maior parte da Lei de IA trata de casos de uso de alto risco, que vão de aplicações de IA em contextos de migração ou justiça criminal a casos de uso econômicos em medicina, seguro-desemprego e credit scoring.

Quaisquer outros sistemas de IA que ainda interajam com pessoas são considerados de risco limitado; a principal obrigação nesse caso é avisar a contraparte humana de que ela está lidando com um sistema de IA.

O credit scoring é um dos principais casos de uso econômicos apontados como de alto risco no marco da Lei de IA.

No entanto, preveem-se duas exceções, nas quais o credit scoring não seria considerado de alto risco. A proposta original da Comissão e a versão do Conselho isentariam as PMEs que usam o modelo de credit scoring para o próprio negócio. Já o Parlamento Europeu não quer poupar as PMEs; pretende, em vez disso, isentar os sistemas usados para detecção de fraude financeira. Por isso, é fundamental acompanhar de perto a versão final da Lei de IA para saber quais isenções, se houver, foram adicionadas ao credit scoring.

Quando a Lei de IA se aplica ao credit scoring?

É importante notar que a Lei de IA só se aplica se o modelo de credit scoring se enquadrar na definição de IA.

A definição ampla de IA da Lei de IA inclui não só o machine learning avançado, como o deep learning para IA generativa, mas também os modelos estatísticos, tal como costumam ser usados em credit scoring. Sistemas de decisão automatizada, compostos por scores externos, modelos estatísticos internos, heurísticas e regras, também provavelmente se qualificam como IA segundo a definição da Lei de IA.

Retomando o exemplo da introdução, imagine de novo que, para chegar a uma decisão de crédito, um banco usa um score de crédito externo, o enriquece com algumas métricas próprias e aplica modelagem estatística, heurísticas ou regras. Isso equivale a usar IA nos termos da Lei de IA? Muito provavelmente, sim.

A definição de IA ainda não foi finalizada, e há divergências consideráveis sobre seu significado. No entanto, a proposta da Comissão e a versão do Conselho incluem atualmente “técnicas estatísticas de aprendizado e inferência […] e métodos de busca e otimização”.

Curiosamente, o Parlamento Europeu quer abranger “abordagens baseadas em conhecimento, estimação bayesiana ou árvores de decisão” além dos processos clássicos de machine learning. Se for esse o caso, a Lei de IA poderia ser entendida como a “Lei da Tomada de Decisão Complexa”.

Também é importante observar que ter sede fora da UE não livra as empresas da Lei de IA. Como o GDPR, a lei se aplicará sempre que serviços “baseados em IA” forem oferecidos ou modelos forem usados em relação a qualquer cliente da UE. Basta até que o resultado do sistema seja usado na UE para que a Lei de IA se aplique.

Como a Lei de IA afetará o underwriting de crédito no futuro?

Embora a Lei de IA remeta com frequência às regulações bancárias existentes em vários pontos, são propostos diversos artigos e obrigações adicionais.

A seguir, uma visão geral das principais disposições da Lei de IA que os credores fintech e as instituições financeiras devem conhecer.

Principais disposições da Lei de IA que afetam o underwriting de crédito

Você encontra mais detalhes sobre essas disposições aqui (veja mais informações).

Governança de dados: uma disposição crítica para o underwriting de crédito

Os provedores de sistemas de IA precisarão implementar um regime de governança de dados que garanta dados de treinamento de alta qualidade, não discriminatórios e representativos.

Para os credores, isso significa que os dados precisam estar limpos e ser representativos dos segmentos de clientes. E eles precisam ser capazes de certificar que seus dados estão alinhados a esses novos padrões, tudo isso além das regulações bancárias existentes.

Além disso, os credores terão de adotar procedimentos abrangentes de documentação e registro. Os modelos precisam ser suficientemente transparentes e operados com supervisão humana. E, principalmente, devem cumprir padrões exigentes de desempenho, robustez e cibersegurança.

Essas obrigações são independentes da regulação bancária existente e se somam a ela. Embora o Parlamento Europeu tenha incluído na Lei de IA algum texto que busca reforçar a dependência da regulação setorial existente, como a legislação bancária, não está claro em que medida essas referências chegarão à versão final da Lei de IA.

Oportunidades para os credores sob a regulação de IA

Quando a Lei de IA entrar em vigor, os credores terão alguma segurança jurídica sobre como operar com sistemas que usam IA.

Eles também terão a oportunidade de construir níveis maiores de confiança com seus clientes.

Para as instituições de crédito reguladas, um procedimento de avaliação de conformidade da Lei de IA será integrado ao processo de revisão e avaliação supervisora previsto na legislação bancária. Além disso, os credores podem solicitar por conta própria uma certificação que confirma a seus clientes que operam com a segurança e a competência “em conformidade com a Lei de IA” no armazenamento e uso de dados.

O que esperar daqui para a frente

A Lei de IA será finalizada nos próximos meses, provavelmente até o fim de 2023. Um dos pontos cruciais que os negociadores ainda precisam acordar é o período de transição entre a publicação da Lei de IA no Jornal Oficial da UE e sua aplicação ao setor.

Preparar-se agora garantirá um compliance bem-sucedido no futuro

Para o credit scoring, a Lei de IA provavelmente entrará em vigor dois anos após sua publicação, por volta de meados de 2026.

No entanto, os sistemas de modelagem, compliance e gestão precisam ser atualizados desde já para garantir a implementação, no prazo, de funcionalidades em conformidade com a Lei de IA. Seja qual for a versão final, ter uma infraestrutura robusta e ágil para tomar decisões de crédito automatizadas, especialmente em governança de dados, será mais importante do que nunca.

Ser ágil facilita a adaptação a regulações em mudança

A Comissão Europeia também receberá o mandato de atualizar a Lei de IA regularmente e sempre que julgar oportuno. Isso deve se aplicar principalmente à lista de casos de uso de alto risco, que pode ser ampliada. É importante notar que as PMEs (definidas como empresas com menos de 250 funcionários e com faturamento inferior a € 50 milhões ou balanço patrimonial inferior a € 43 milhões) podem ser isentas de algumas obrigações de alto risco, dependendo do resultado das negociações do trílogo.

Para a UE, a Lei de IA continuará sendo um interesse central dos legisladores, e é de esperar atualizações rápidas caso surjam novos desenvolvimentos no front tecnológico ou de políticas públicas.

Um campo importante a observar é a padronização. Muitos dos termos bastante vagos da Lei de IA, como a representatividade e a ausência de erros mencionadas na governança de dados, serão definidos com mais precisão em padrões que organismos de normalização estão desenvolvendo agora.

Esses padrões devem oferecer uma certa margem de segurança às empresas que usam IA ou tomam decisões complexas, caso consigam traduzi-los em seus modelos e procedimentos de credit scoring. Portanto, qualquer processo de underwriting de crédito preparado para o futuro deve acompanhar de perto a evolução da Lei de IA da UE e seus esforços de padronização.

Perguntas frequentes (FAQs)