leadership

LEADERSHIP

negociacao-2

NEGOCIACAO

gestao-3

GESTAO

consultoria-2

CONSULTORIA

falandobem

FALANDOBEM

financasessenciais

FINANCASESSENCIAIS

Seja Premium e tenha acesso ao nosso arsenal de cursos

Administradores PREMIUM

Por Manoel Jordão
A Circular 3978/20 do Banco Central é uma das principais referências para o mercado financeiro no Brasil, pois dispõe sobre a política, os procedimentos e os controles internos a serem adotados pelas instituições autorizadas a funcionar (ex.: bancos, financeiras, cooperativas de crédito, DTVMs, CCTVMs, SCDs, IPs). Deste modo, visa à prevenção da utilização do sistema financeiro para a prática dos crimes de “lavagem” ou ocultação de bens, direitos e valores, de que trata a Lei nº 9.613, de 3 de março de 1998, e de financiamento do terrorismo, previsto na Lei nº 13.260, de 16 de março de 2016; simplificadamente, PLD FT.
Ela entrou em vigor há dois anos, em 1/10/2020, com pequeno atraso ao inicialmente previsto devido à pandemia. Dentre as diversas medidas preconizadas por essa norma, cabe destacar a Avaliação Interna de Risco (AIR), descrita no capítulo IV da circular, adotada em linha com recomendações internacionais de melhores práticas, introduzindo no arcabouço regulamentar local a abordagem baseada no risco (ABR). Conforme o nome sugere, a AIR é uma autoavaliação que as instituições devem produzir, formalizar e manter atualizada em relação aos perfis de risco de seus clientes, operações, produtos e serviços. 
Importante mencionar que o risco aqui referido é o risco de LD FT inerente a cada situação (cliente, operação, canal, produto, serviço e assim por diante), antes de serem considerados os controles internos e outros mitigadores. Um dos principais benefícios da AIR é direcionar ações dos gestores, ao propiciar subsídios para que concentrem esforços nas situações percebidas como de risco mais elevado, priorizando investimentos em sistemas de controle e alocação das equipes, por exemplo.
Como funciona a Avaliação Interna de Risco?
Segundo essa Circular, a AIR deve ser revisada a cada dois anos, no máximo, se os perfis de risco estiverem inalterados em relação ao diagnóstico anterior. Assim, muitas instituições irão providenciar as atualizações de suas AIRs nos próximos meses em função do prazo de vigência da norma. Além desse efeito do calendário, diversas instituições de pagamento (IPs) envidarão esforços para se adequar e atender ao arcabouço regulatório, inclusive produzindo suas AIRs iniciais. Isso por força da regulamentação do Banco Central (Res. BCB 80/21), que levará muitas IPs a buscarem autorização daquela autarquia para continuarem a exercer suas atividades, independente da movimentação financeira (volumetria).
Atuando de forma harmônica com as AIRs, cabe mencionar duas outras disposições da Circular 3978/20: o relatório de efetividade (capítulo XI) e os mecanismos de acompanhamento e de controle (capítulo X). Esse conjunto possibilita aos supervisores e aos administradores da instituição uma visão abrangente dos esforços e resultados alcançados, por sumarizar os diversos aspectos envolvidos num programa de PLD FT. Nesse sentido, chama a atenção o número de comunicações de situações e operações suspeitas enviadas ao COAF pelas IPs e arranjos de pagamento (APs). 
Segundo o relatório de atividades do COAF 2021, enquanto os bancos enviaram cerca de 441 mil comunicações, as IPs e APs enviaram 12 mil (menos de 3%), num forte contraste com a formidável expansão em número de clientes e participação de mercado que conquistaram. Comparativamente às comunicações enviadas em 2020, não houve evolução significativa, de modo que bancos enviaram 249 mil, enquanto as IPs e APs, 4 mil (menos de 2%).
A adoção plena das disposições da Circular 3978/20 pelas IPs autorizadas pelo Banco Central, incluindo AIRs, mecanismos de acompanhamento e de controle, e os relatórios com as avaliações de efetividade, irá trazer elementos para que se conheça mais a fundo esse descompasso. De forma simplificada, ou as IPs não estão verificando adequadamente as operações e situações a serem comunicadas ao COAF, ou os clientes, produtos, serviços e operações nelas cursadas são muito menos propícios a usos indevidos para fins de LD FT do que aqueles oferecidos pelos bancos comerciais e múltiplos.
Como ponto de atenção para os recém-chegados ao universo de entidade regulada, a supervisão tem atuado junto ao mercado, solicitando os documentos citados acima (AIR, relatório de efetividade) nos trabalhos de avaliação presencial e remota. Assim, o cumprimento integral e cuidadoso das disposições regulamentares pode evitar reprimendas e retrabalhos.
*Manoel Jordão é Consultor Associado na Riskfence. Com mais de 35 anos de experiência no mercado financeiro, o executivo é especialista em controles internos, compliance, PLD FT, gestão de riscos, certificado em fintechs e meios de pagamento.

Prevenção à lavagem de dinheiro e ao financiamento do terrorismo nas Instituições de Pagamento

Entenda como funciona a Circular 3978/20, do Banco Central, que visa à PLD FT no segmento das IPs

Prevenção à lavagem de dinheiro e ao financiamento do terrorismo nas Instituições de Pagamento | Administradores

https://cdn.administradores.com.br/app/uploads/2022/10/07191754/images2Fposts2FyTQsD1sYD8zmbLO7OPlt-d1jtfavwkjs4c-scaled.jpeg

Home

Artigos

Informação e Educação para líderes e suas equipes. Notícias, artigos, cursos, palestrantes, mentorias e treinamentos personalizados para profissionais e empresas

Administradores

https://cdn.administradores.com.br/app/uploads/2023/06/06200454/Logo-administradores.png

Administradores | Conhecimento para Resultados

Agosto de 2026 marca os 50 anos da morte do ex-presidente Juscelino Kubitschek. É momento, portanto, de o país reverenciar a memória desse que foi um dos maiores – senão o maior – estadista da história do Brasil.Mais de seis décadas após ter concluído o mandato na Presidência da República (1956-1961) seu legado permanece intacto, graças à seriedade, coragem, competência e visão estratégica com as quais transformou o país.JK assumiu em um período politicamente conturbado, porém não se afastou de seu ideal de promover o desenvolvimento econômico e social em ritmo acelerado, priorizando a eliminação dos gargalos da economia. Para tanto, debruçou-se sobre metas que deveriam ser definidas e implementadas em estreita harmonia entre si, de que modo que os investimentos em determinados setores pudessem se refletir positivamente na dinâmica de outros.&nbsp;A chave do sucesso da gestão JK foi o Plano Nacional de Desenvolvimento, ou Plano de Metas, conjunto de objetivos a serem atingidos nos cinco anos de seu mandato, ao qual se acresceu a construção da nova capital federal, Brasília, pensada como vetor de desenvolvimento do Centro-Oeste e também, através da lei 3.173 de 06.06.1957, criou a Zona Franca de Manaus buscando o desenvolvimento da Amazonia e mostrando sua preocupação estratégica com a interiorização do desenvolvimento. &nbsp;Como espinha dorsal do plano, alocou os recursos financeiros em três áreas prioritárias – energia, transporte e infraestrutura – e assim criou as condições para a transformação do país.&nbsp;Nos cinco anos do governo JK, o Brasil viu seu PIB crescer, em média, mais de 8% ao ano (o mesmo desempenho admirado da China de hoje) e cerca de 52% acima da média mundial à época (hoje estamos 36% abaixo da média mundial, ladeira abaixo). Nesse período, a produção industrial nacional cresceu 80%, alavancando a transformação estrutural da economia. Brasília, mais que o centro do poder, impulsionou o Centro-Oeste, região mais expressiva do agronegócio que hoje responde por 26% do PIB nacional, 49% do total das exportações brasileiras e 119% do saldo da balança comercial brasileira. Tudo semeado no Governo JK e sendo colhido até hoje.Juscelino não foi um político de promessas, mas um gestor de realizações. Das 31 metas de seu Plano, mais de 80% foram cumpridas integralmente. O slogan “Cinco décadas em cinco anos” não foi mera retórica.Depois do governo Juscelino, o Brasil passou pela ditadura militar de mais de duas décadas, se redemocratizou, enfrentou períodos de irrefreada inflação, teve dois presidentes da República afastados do cargo por impeachment, instituiu a reeleição para cargos do Executivo, superou desafios, mas os governantes das últimas décadas não assimilaram as lições deixadas por JK.As desigualdades regionais se acentuaram. O país cresce menos do que a taxa média mundial e sua renda per capita ocupa a 74ª posição do planeta. Os indicadores sociais mostram uma triste realidade. O IDH (Índice de Desenvolvimento Humano) caiu da 73ª posição em 2002 para o atual 84º lugar e no coeficiente Gini, que mede a distribuição de renda, o Brasil é o sétimo pior país, estagnado há décadas entre as 10 nações mais mal avaliadas. Na Educação, estamos entre a 67ª e 74ª posição em Matemática, segundo o PISA, em ranking de 81 países. Ocupamos apenas a 30ª posição no IRBES (Índice de Retorno de Bem-Estar à Sociedade), com altíssima carga tributária e péssima retribuição em serviços públicos essenciais.Campeão o Brasil é apenas na vergonhosa estatística de homicídios intencionais, registrando 33 mil mortes por ano. Além disso, levantamento da Transparência Internacional mostra que há 106 países com setor público mais honesto que o brasileiro. Em 2002, eram apenas 45, o que evidencia a degradação ética e de honestidade em nosso país. A corrupção se instalou de vez e, com ela, o equivalente entre 2,5% a 4% do PIB escorre pelo ralo todos os anos (FGV-IBRE).Certamente, não é esse o país que JK imaginou. Tampouco é a nação que os brasileiros merecem. Juscelino fez a sua parte. Falta seguirem seu exemplo.&nbsp;*Samuel Hanan é engenheiro com especialização nas áreas de macroeconomia, administração de empresas e finanças, empresário, e foi vice-governador do Amazonas (1999-2002). Autor dos livros “Brasil, um país à deriva”, “Caminhos para um país sem rumo” e “Amazônia Brasileira, preservar para viver, responsabilidade mundial”. Site:&nbsp;https://samuelhanan.com.br&nbsp;

JK, o exemplo que a morte não sepultou

A responsabilidade civil da inteligência artificial já deixou de ser uma questão futurista. Sistemas algorítmicos participam de decisões de crédito, seleção de pessoas, publicidade, atendimento, segurança, diagnóstico, gestão de riscos e produção de conteúdo. Quando uma decisão automatizada causa dano, a pergunta jurídica não é apenas quem programou a máquina, mas quem criou, disponibilizou, contratou, supervisionou ou decidiu confiar nela.O problema ganhou dimensão empresarial porque a IA distribui a capacidade de decisão por uma cadeia econômica complexa. Desenvolvedor, fornecedor, integrador, administrador e usuário corporativo podem participar de momentos distintos do mesmo processo causal. A dificuldade jurídica está em transformar essa cadeia tecnológica em uma cadeia inteligível de deveres, riscos e responsabilidades.A tese central deste artigo é que a IA não elimina a responsabilidade humana: ela desloca a responsabilidade para a arquitetura de decisão que permite que a máquina produza efeitos juridicamente relevantes.O fundamento jurídico da responsabilidade por inteligência artificialO Direito brasileiro já dispõe de instrumentos importantes para enfrentar danos relacionados à IA, mesmo antes de um marco legal específico. O Código Civil estabelece, nos arts. 186 e 927, a responsabilidade decorrente do ato ilícito e admite responsabilidade independentemente de culpa quando a atividade, por sua natureza, implicar risco para direitos de terceiros.Isso impede uma conclusão simplista: a ausência de uma lei específica sobre inteligência artificial não significa ausência de responsabilidade.Ao contrário, a questão passa a ser de enquadramento. Dependendo da relação jurídica, podem incidir simultaneamente ou alternativamente regras de responsabilidade civil geral, responsabilidade objetiva pelo risco da atividade, Código de Defesa do Consumidor, proteção de dados pessoais, normas trabalhistas, regulação setorial e deveres contratuais.A LGPD acrescenta uma dimensão particularmente relevante. O art. 20 assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, inclusive em matéria de perfil pessoal, profissional, de consumo e de crédito.Portanto, uma empresa que utiliza IA não administra apenas tecnologia. Administra decisões juridicamente relevantes produzidas ou influenciadas por tecnologia.A verdadeira questão: quem controla o risco?A tese tradicional poderia sustentar que a responsabilidade deve acompanhar aquele que criou o algoritmo. A lógica é intuitiva: quem desenvolve a tecnologia conhece sua arquitetura, seus limites e seus possíveis defeitos.Mas essa solução se torna insuficiente quando o sistema é incorporado a uma operação empresarial completamente diferente daquela para a qual foi originalmente desenvolvido.Um modelo pode ser tecnicamente adequado e, ainda assim, tornar-se perigoso em determinado contexto de utilização. Um sistema concebido para auxiliar decisões pode ser transformado, pela organização, em mecanismo praticamente automático de decisão. Um administrador pode ignorar alertas, alterar parâmetros, alimentar o sistema com dados inadequados ou simplesmente atribuir autoridade excessiva ao algoritmo.Surge, então, a antítese: responsabilizar sempre o desenvolvedor poderia criar uma espécie de irresponsabilidade organizacional do usuário.A solução juridicamente mais consistente exige reconstruir a cadeia causal.O desenvolvedor responde por defeitos relacionados ao desenvolvimento, segurança, informações fornecidas e deveres que lhe sejam juridicamente atribuíveis. O fornecedor ou integrador pode responder por falhas próprias de integração, informação ou segurança. A empresa usuária responde pelos riscos decorrentes da forma como implementa, supervisiona e utiliza a tecnologia. O administrador, por sua vez, pode responder conforme seus próprios deveres legais, contratuais e de gestão, especialmente quando decisões pessoais de governança tenham contribuído para o dano.Não existe, portanto, uma responsabilidade civil abstratamente "da IA". Existe responsabilidade dos agentes humanos e empresariais que estruturam o ambiente no qual a IA produz efeitos.Da responsabilidade pelo código à responsabilidade pela arquitetura de decisãoEssa mudança é decisiva para a Administração.Uma organização tradicionalmente controla processos por meio de pessoas, hierarquias, manuais e controles internos. Com IA, parte da decisão passa a ser incorporada ao sistema tecnológico.O algoritmo pode selecionar candidatos, estabelecer prioridades, identificar suspeitas de fraude, recomendar concessão de crédito, determinar preços ou produzir avaliações de desempenho.A decisão deixa de estar localizada exclusivamente em um indivíduo.Ela passa a existir em uma arquitetura composta por:- dados utilizados para treinamento ou operação;- modelo algorítmico;- parâmetros definidos;- software e integrações;- finalidade empresarial;- supervisão humana;- regras internas;- decisões gerenciais;- ambiente regulatório;- mecanismos de monitoramento.É essa arquitetura que deve se tornar objeto de governança.A União Europeia oferece uma demonstração particularmente expressiva dessa transformação. O AI Act estabelece obrigações específicas para fornecedores e responsáveis pela implantação de sistemas de IA de alto risco, incluindo gestão de riscos, documentação, registros, monitoramento e supervisão humana. Para os responsáveis pela implantação, exige medidas técnicas e organizacionais adequadas e atribuição de supervisão a pessoas com competência, treinamento e autoridade necessários.O modelo europeu é relevante não porque deva ser simplesmente importado pelo Brasil, mas porque revela uma mudança conceitual: governança tecnológica começa a ser tratada como componente da responsabilidade jurídica.O administrador diante da decisão algorítmicaO administrador não se transforma em programador porque utiliza inteligência artificial. Tampouco deve ser responsabilizado automaticamente por qualquer erro produzido por uma ferramenta tecnológica.Entretanto, a delegação tecnológica não equivale à transferência integral da responsabilidade decisória.Se um conselho de administração aprova a utilização de determinado sistema em atividade sensível, se a diretoria determina que suas recomendações serão seguidas automaticamente ou se gestores deixam de implementar mecanismos razoáveis de supervisão, existe uma dimensão organizacional que não pode ser escondida atrás da expressão "foi o algoritmo".Essa conclusão possui forte consequência econômica.A empresa que utiliza IA sem conhecer seus limites pode reduzir custos no curto prazo e aumentar sua exposição jurídica no longo prazo. O ganho de eficiência tecnológica pode ser destruído por indenizações, sanções regulatórias, perda reputacional, litígios, interrupção operacional e deterioração da confiança.A economia da IA, portanto, contém uma equação frequentemente negligenciada: automatizar uma decisão também significa automatizar parte do risco associado a essa decisão.O problema da caixa-preta e a prova do danoUm dos maiores desafios da responsabilidade civil algorítmica está na prova.Em uma decisão humana, o autor do ato pode ser identificado e questionado sobre suas razões. Em sistemas complexos, a cadeia causal pode envolver modelos estatísticos, dados de treinamento, fornecedores externos, componentes de terceiros e parâmetros cuja interação não é intuitivamente compreensível.A própria Comissão Europeia identificou, em sua proposta de Diretiva sobre responsabilidade civil da IA, dificuldades relacionadas à complexidade, autonomia e opacidade dos sistemas, especialmente para vítimas que precisam demonstrar culpa e causalidade. A proposta buscava adaptar as regras probatórias diante dessas características. Ela, contudo, foi posteriormente retirada em 6 de outubro de 2025, de modo que não deve ser tratada como legislação vigente da União Europeia.A experiência europeia continua relevante como laboratório regulatório, mas a cautela é essencial: proposta legislativa não é direito positivo.No Brasil, a questão probatória deverá continuar sendo enfrentada a partir dos instrumentos processuais e materiais disponíveis, sem presumir automaticamente que todo resultado adverso de um algoritmo constitui defeito ou ato ilícito.O novo Marco da Inteligência Artificial brasileiroO debate legislativo brasileiro já avançou significativamente.O PL 2.338/2023 foi aprovado pelo Senado e remetido à Câmara dos Deputados em março de 2025. O texto aprovado contempla, entre outros temas, classificação de riscos, governança, avaliação de impacto, supervisão e responsabilidade civil.O texto legislativo é especialmente importante para as empresas porque procura distribuir deveres entre diferentes participantes do ciclo de vida da IA, aproximando responsabilidade, governança e gestão de riscos.Isso revela uma tendência jurídica importante: a responsabilidade tende a ser menos compreendida como reação posterior ao dano e mais como mecanismo de prevenção estruturada do risco tecnológico.Essa mudança também altera a função do departamento jurídico.O jurídico que apenas examina contratos depois da contratação da ferramenta de IA chega tarde ao problema. A análise deveria começar antes da aquisição ou desenvolvimento do sistema, identificando finalidade, risco, dados utilizados, fornecedores, possibilidade de auditoria, mecanismos de supervisão, incidentes previsíveis e distribuição contratual de responsabilidades.Governança de IA como instrumento de prevençãoPara empresas, uma política racional de governança de inteligência artificial deveria considerar, no mínimo:- identificação dos sistemas utilizados e de suas finalidades;- classificação dos riscos jurídicos e operacionais;- definição clara de responsabilidades internas;- avaliação da qualidade e pertinência dos dados;- supervisão humana proporcional ao risco;- registro de decisões e incidentes relevantes;- auditoria e monitoramento periódico;- mecanismos de revisão e contestação;- controle de fornecedores e terceiros;- cláusulas contratuais sobre responsabilidade, segurança e transparência;- treinamento dos profissionais responsáveis pela operação.A experiência europeia reforça essa direção ao exigir, para sistemas de alto risco, mecanismos de gestão de riscos, documentação, registros, monitoramento pós-mercado e estrutura de responsabilidades da administração.Não se trata de burocratizar a inovação.Trata-se de reconhecer que controle interno é também infraestrutura jurídica da inovação.Um caso hipotético: quando o algoritmo recomenda e o gestor decideImagine uma empresa que utiliza IA para classificar candidatos a determinado cargo. O sistema atribui pontuações e recomenda quais candidatos devem avançar.Depois de algum tempo, identifica-se que determinados grupos recebem sistematicamente avaliações inferiores.A empresa poderia afirmar que o problema pertence exclusivamente ao desenvolvedor.Mas essa resposta seria insuficiente.É necessário investigar quem escolheu o sistema, quem definiu sua finalidade, quais dados foram utilizados, quais testes foram realizados, quais parâmetros foram adotados, quem monitorava resultados, quais alertas existiam e quem decidiu transformar a recomendação algorítmica em critério efetivo de seleção.O ponto jurídico central não está apenas no erro matemático.Está na decisão organizacional de confiar naquele erro possível.A responsabilidade civil como mecanismo de governançaAqui emerge uma distinção que considero fundamental: responsabilidade pela ferramenta e responsabilidade pelo contexto de utilização.O fornecedor pode controlar a arquitetura técnica. A empresa controla o ambiente organizacional. O administrador controla determinadas decisões estratégicas. O usuário pode controlar a inserção de informações e a finalidade concreta.Quanto maior for o poder de controle sobre o risco, maior tende a ser a relevância jurídica desse controle para a análise da responsabilidade, sempre respeitados o regime legal aplicável, a causalidade, o dano e os demais pressupostos da responsabilidade civil.Essa lógica também evita dois extremos perigosos.O primeiro é responsabilizar automaticamente o desenvolvedor por qualquer resultado negativo.O segundo é permitir que empresas utilizem sistemas opacos e atribuam ao algoritmo a função de verdadeiro escudo jurídico.Nenhum dos dois modelos é satisfatório.Como bem aponta Northon Salomão de Oliveira, "a responsabilidade algorítmica começa onde a organização decide transformar uma possibilidade tecnológica em uma decisão com efeitos sobre pessoas".O impacto econômico para empresas e gestoresA questão não é meramente jurídica.Uma governança inadequada de IA pode produzir quatro categorias de custo.Custo jurídico: indenizações, litígios, sanções e despesas de defesa.Custo operacional: interrupção de sistemas, correção de modelos, substituição de fornecedores e reconstrução de processos.Custo reputacional: perda de confiança de consumidores, empregados, investidores e parceiros.Custo estratégico: necessidade de abandonar ou redesenhar uma tecnologia que havia sido incorporada à estrutura decisória da organização.Por isso, o cálculo empresarial correto não deve perguntar apenas quanto custa implementar controles de IA.Deve perguntar quanto custa não saber por que uma decisão automatizada foi tomada quando alguém exigir explicações.A responsabilidade como arquitetura de confiançaA grande transformação provocada pela inteligência artificial no Direito Privado não consiste simplesmente em criar uma nova modalidade de dano.O que muda é a estrutura da causalidade.A decisão pode ser produzida por uma cadeia na qual nenhum indivíduo isoladamente controla todo o processo. O Direito, então, precisa abandonar a expectativa de encontrar sempre um único autor visível do dano e passar a examinar a arquitetura de responsabilidades existente entre desenvolvimento, fornecimento, integração, implantação, supervisão e utilização.O debate brasileiro sobre o PL 2.338/2023 demonstra precisamente essa tentativa de construir um regime que combine inovação, proteção de direitos, segurança e responsabilidade.A Administração precisa acompanhar essa transformação antes que os tribunais sejam obrigados a fazê-lo caso a caso.Conclusão: quem decide por meio da IA continua decidindoA inteligência artificial pode executar uma decisão, sugerir uma decisão ou até produzir autonomamente determinado resultado. Mas a organização que escolhe incorporá-la aos seus processos continua responsável por estruturar o ambiente no qual aquela decisão produzirá consequências.O novo paradigma da responsabilidade civil da IA, portanto, não deve procurar uma máquina culpada. Deve identificar quem criou, controlou, distribuiu, aceitou ou deixou de controlar o risco juridicamente relevante.Para empresas, administradores e desenvolvedores, a consequência é objetiva: inteligência artificial deve deixar de ser tratada exclusivamente como ativo tecnológico e passar a ser administrada também como ativo jurídico e fonte potencial de risco institucional.A organização preparada para a economia algorítmica não será necessariamente aquela que utilizar mais IA. Será aquela capaz de demonstrar, quando questionada, quem decidiu utilizá-la, para qual finalidade, sob quais controles, com quais limites e mediante qual estrutura de responsabilidade.Esse é o ponto em que tecnologia deixa de ser apenas eficiência e passa a ser governança.

Responsabilidade Civil da Inteligência Artificial: empresas, desenvolvedores e administradores diante do novo risco algorítmico

A inteligência artificial deixou de ser apenas uma ferramenta de produtividade e passou a participar de decisões que afetam crédito, contratação, atendimento, segurança, marketing, recursos humanos e relacionamento com consumidores. Por isso, compliance digital já não pode ser reduzido à existência de políticas internas ou à revisão jurídica de contratos tecnológicos. O problema central é outro: como transformar sistemas algorítmicos, dados e automação em instrumentos de eficiência sem converter velocidade tecnológica em risco jurídico institucional.Para empresas e gestores, a questão é especialmente relevante porque uma decisão produzida por inteligência artificial continua sendo uma decisão organizacional. A utilização de um fornecedor externo, de um modelo generativo ou de uma plataforma automatizada não transfere automaticamente para a tecnologia a responsabilidade decorrente de seus efeitos.Compliance digital como arquitetura de decisãoA LGPD estabelece que o tratamento de dados pessoais deve proteger direitos fundamentais de liberdade, privacidade e livre desenvolvimento da personalidade. A lei também incorpora princípios como segurança, prevenção, transparência e responsabilização e prestação de contas.Esse desenho jurídico altera a própria concepção de compliance. Não basta perguntar se determinada ferramenta de IA é lícita. É necessário investigar como ela é utilizada, com quais dados, para qual finalidade, sob quais parâmetros, com que grau de autonomia e submetida a quais mecanismos de supervisão.A questão é particularmente sensível nas decisões automatizadas. A ANPD reconhece que a inteligência artificial pode produzir problemas relacionados ao uso de dados para finalidades diferentes das originalmente previstas, falta de transparência e vieses discriminatórios. A autoridade também vem desenvolvendo iniciativas regulatórias específicas sobre IA e proteção de dados.O art. 20 da LGPD atribui ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, além de informações sobre critérios e procedimentos utilizados, observados os segredos comercial e industrial.Assim, a governança algorítmica começa onde termina a ilusão de que tecnologia é juridicamente neutra.O verdadeiro risco não está apenas no algoritmoExiste uma tentação empresarial compreensível: imaginar que contratar uma solução tecnológica sofisticada significa terceirizar também o risco.Não significa.Uma organização pode contratar uma plataforma de recrutamento baseada em IA, por exemplo, mas continuará precisando compreender quais dados são utilizados, quais critérios influenciam os resultados, quais grupos podem ser prejudicados e como uma decisão contestável será revista.O mesmo vale para sistemas empregados em análise de crédito, prevenção a fraudes, monitoramento de empregados, publicidade comportamental ou classificação de consumidores.A ANPD recomenda a elaboração de Relatório de Impacto à Proteção de Dados Pessoais, entre outras situações, quando o tratamento envolver larga escala, dados pessoais sensíveis ou decisões exclusivamente automatizadas capazes de afetar significativamente direitos e interesses. A própria autoridade ressalta que esses critérios não são exaustivos e que o controlador deve avaliar concretamente os riscos e as medidas de prevenção e segurança adequadas.Isso produz uma consequência administrativa importante: compliance digital não deve ser acionado somente depois do desenvolvimento ou da aquisição da tecnologia. Ele precisa participar da decisão desde sua concepção.A tese e a antítese: inovação contra controle?A tese empresarial tradicional sustenta que controles excessivos podem reduzir inovação, aumentar custos e retardar decisões. Em mercados digitais, a velocidade pode representar vantagem competitiva. Exigir validação jurídica para cada utilização de IA poderia transformar o compliance em um departamento de veto.A antítese responde que a ausência de controles não produz verdadeira agilidade. Apenas desloca o custo da decisão para o futuro, quando o problema poderá aparecer sob a forma de sanção, litígio, incidente de segurança, discriminação, violação contratual, dano reputacional ou perda de confiança.A experiência regulatória internacional reforça essa segunda preocupação. O Regulamento Europeu de Inteligência Artificial (AI Act) estrutura determinadas obrigações a partir de uma lógica baseada em risco e prevê, para sistemas de alto risco, um processo contínuo de gestão, identificação, documentação e mitigação de riscos ao longo do ciclo de vida.O NIST, por sua vez, desenvolveu o AI Risk Management Framework com funções de governança, mapeamento, mensuração e gerenciamento de riscos, incluindo riscos associados a dados, componentes de terceiros, impactos sobre pessoas e supervisão humana.A síntese, portanto, não está em escolher entre inovação e controle. Está em controlar aquilo que precisa ser controlado para permitir que a inovação possa escalar com segurança.Como bem aponta Northon Salomão de Oliveira, “a verdadeira blindagem jurídica da inteligência artificial não consiste em impedir a máquina de decidir, mas em impedir que a organização deixe de responder pelo modo como decidiu utilizá-la.”Gestão de riscos: da ferramenta ao ciclo de vidaUma política madura de compliance digital deveria acompanhar pelo menos cinco dimensões do sistema de IA:- Finalidade: qual problema empresarial justifica a utilização da tecnologia?- Dados: quais informações alimentam o sistema e qual é a base jurídica para seu tratamento?- Decisão: a IA recomenda, classifica, influencia ou efetivamente determina o resultado?- Supervisão: quem pode revisar, interromper ou corrigir uma decisão automatizada?- Evidência: quais registros permitem reconstruir posteriormente o processo decisório?Essas perguntas possuem consequências práticas.Um sistema utilizado para gerar textos internos apresenta determinado nível de risco. Um sistema que seleciona candidatos a emprego, estabelece limites de crédito ou influencia decisões que afetam direitos individuais apresenta outro.O erro estratégico consiste em tratar ambos como simples "ferramentas de IA".O compliance deve trabalhar com proporcionalidade ao risco, e não com fascínio pela tecnologia.Governança, responsabilidade e fornecedoresA contratação de uma empresa de tecnologia também merece tratamento jurídico mais sofisticado.Cláusulas contratuais genéricas de confidencialidade e proteção de dados podem ser insuficientes quando o fornecedor utiliza modelos de inteligência artificial cujo funcionamento depende de múltiplos componentes, bases de dados, subcontratados e atualizações contínuas.A organização deve avaliar, conforme o caso:- finalidade e escopo do tratamento;- responsabilidades entre controlador e operador;- segurança da informação;- utilização de subcontratados;- transferência internacional de dados;- retenção e eliminação de informações;- propriedade intelectual;- auditoria e documentação;- comunicação de incidentes;- mecanismos de revisão;- continuidade operacional;- critérios para suspensão da ferramenta.Esse cuidado também possui dimensão anticorrupção e de integridade. A Lei nº 12.846/2013 estabelece responsabilidade administrativa e civil de pessoas jurídicas pela prática de atos contra a Administração Pública nacional ou estrangeira.Se algoritmos forem utilizados em processos de contratação pública, relacionamento com agentes públicos, análise de fornecedores ou controles internos, a governança tecnológica passa a integrar a própria arquitetura de integridade corporativa.Psicologia organizacional e o risco da autoridade algorítmicaHá ainda um risco menos evidente: o psicológico.Pessoas tendem a atribuir autoridade excessiva a sistemas apresentados como objetivos, matemáticos ou baseados em grandes volumes de dados. O gestor pode aceitar uma recomendação algorítmica não porque tenha demonstrado sua correção, mas porque a aparência de precisão reduz sua sensação subjetiva de responsabilidade.Esse fenômeno transforma a IA em uma espécie de atalho cognitivo institucional.O problema jurídico aparece quando a organização passa a tratar a saída do sistema como justificativa suficiente para sua própria decisão.A inteligência artificial pode auxiliar a decisão. Ela não elimina a necessidade de governança humana quando o ordenamento jurídico, a natureza da atividade ou o risco envolvido exigirem responsabilidade institucional.A ANPD, inclusive, vem tratando transparência algorítmica e revisão de decisões automatizadas como questões centrais de sua agenda regulatória, enquanto seu sandbox de IA busca produzir evidências sobre transparência, explicabilidade e proteção de dados.O que a organização deve fazerUma política de compliance digital funcional pode ser estruturada em etapas:1. Inventariar os sistemas de IA utilizados internamente e por fornecedores.2. Classificar cada aplicação segundo finalidade, autonomia e potencial de impacto.3. Mapear dados, fluxos, fornecedores e transferências envolvidas.4. Avaliar riscos jurídicos, tecnológicos, econômicos, reputacionais e de direitos fundamentais.5. Documentar critérios, responsáveis e mecanismos de supervisão.6. Testar segurança, desempenho, vieses e resultados inadequados quando aplicável.7. Estabelecer revisão humana proporcional ao risco da decisão.8. Monitorar continuamente o sistema, inclusive depois de sua implementação.9. Criar mecanismos de contestação e correção para decisões potencialmente lesivas.10. Reavaliar periodicamente a ferramenta diante de alterações regulatórias, tecnológicas e organizacionais.Esse modelo aproxima o departamento jurídico da Administração Estratégica. O advogado deixa de aparecer apenas no momento da crise e passa a participar da engenharia institucional do risco.A blindagem jurídica que realmente importaA expressão "blindagem jurídica" pode ser enganosa se significar a tentativa de eliminar toda possibilidade de responsabilidade. Nenhuma organização consegue eliminar integralmente o risco tecnológico.Blindagem juridicamente inteligente significa outra coisa: capacidade institucional de demonstrar que o risco foi identificado, avaliado, tratado, monitorado e submetido a responsáveis definidos.Isso muda inclusive a relação entre compliance e prova.Quando ocorre um incidente, a organização não precisará apenas afirmar que possuía uma política de IA. Será muito mais relevante demonstrar quais decisões foram tomadas antes da implementação, quais avaliações foram realizadas, quais controles existiam, quem possuía autoridade e como os problemas detectados foram tratados.A responsabilização e a prestação de contas deixam, portanto, de ser conceitos abstratos. Transformam-se em arquitetura documental e decisória.A nova função estratégica do complianceO compliance digital amadurece quando deixa de funcionar como mecanismo posterior de correção e passa a atuar como sistema de inteligência institucional.Sua função não é simplesmente perguntar "podemos utilizar esta tecnologia?".A pergunta estratégica é mais sofisticada:em quais condições podemos utilizá-la, com quais controles, para produzir qual benefício e assumindo quais riscos?Essa mudança é decisiva para empresas que pretendem incorporar inteligência artificial em escala. A organização que automatiza processos sem governança pode obter eficiência imediata e acumular passivos invisíveis. A organização que incorpora avaliação de riscos, supervisão, documentação e mecanismos de revisão transforma o compliance em infraestrutura de crescimento sustentável.A síntese dialética é, portanto, clara. A inovação exige liberdade operacional; a responsabilidade jurídica exige limites. A solução não está na supremacia de uma sobre a outra, mas na criação de uma governança capaz de converter risco tecnológico em variável administrável.A inteligência artificial pode acelerar decisões. O compliance digital deve assegurar que a velocidade da decisão jamais seja superior à capacidade da organização de compreender, justificar e responder por seus efeitos.

Prevenção à lavagem de dinheiro e ao financiamento do terrorismo nas Instituições de Pagamento

Manoel Jordão

Do ensino médio a R$ 1,2 bilhão: a construção da FlyBy | Café com ADM #510

Do ensino médio a R$ 1,2 bilhão: a construção da FlyBy | Café com ADM #510

Sobre o autor

Manoel Jordão

Seja Premium e tenha acesso ao nosso arsenal de cursos

Mais artigos deNegócios e Gestão

JK, o exemplo que a morte não sepultou

Responsabilidade Civil da Inteligência Artificial: empresas, desenvolvedores e administradores diante do novo risco algorítmico

Compliance Digital: Inteligência Artificial, Gestão de Riscos e Blindagem Jurídica das Organizações