Scores de risco sem explicação: o que o regulador está sinalizando e como sua instituição precisa se preparar

Durante anos, os sistemas de prevenção à lavagem de dinheiro, fraude e gestão de riscos evoluíram em torno de um mesmo objetivo: identificar eventos suspeitos com cada vez mais rapidez.

Modelos estatísticos, machine learning e motores de decisão passaram a produzir milhares de classificações por dia, atribuindo scores de risco a clientes, operações e empresas. Mas uma pergunta começa a pesar tanto quanto a capacidade de detectar o risco:

Quem consegue explicar como aquele score foi produzido?

A resposta deixou de ser apenas uma questão técnica. Está se tornando uma questão de governança, auditoria e conformidade regulatória.

O problema não é o score. É a incapacidade de defendê-lo

Em muitos sistemas atuais, o resultado chega antes da explicação. Um cliente recebe uma classificação de alto risco. Uma transação é bloqueada. Uma diligência é aberta.

Mas, quando Auditoria, Compliance, o regulador ou o próprio cliente perguntam “por quê?”, a resposta muitas vezes se resume a um número produzido por um modelo cuja lógica ninguém na sala consegue reconstruir.

Esse é o verdadeiro risco do score caixa-preta: não o uso de Inteligência Artificial ou de modelos avançados, mas a dificuldade de demonstrar os dados, critérios, relações e evidências que sustentaram a decisão.

O que BACEN, COAF, SUSEP e LGPD já exigem, na prática

Nenhum desses reguladores determina que toda instituição utilize modelos classificados tecnicamente como “explicáveis”. A regulamentação, porém, já estabelece algo mais amplo: processos de risco precisam ser documentados, monitorados, avaliados e passíveis de verificação.

No sistema financeiro, a Circular BCB nº 3.978/2020 exige que as instituições adotem uma Abordagem Baseada em Risco e realizem uma Avaliação Interna de Risco documentada, aprovada pelo diretor responsável e revisada periodicamente. A norma também exige procedimentos de monitoramento, seleção e análise de operações, além da avaliação da efetividade dos controles adotados.

Isso não significa que o Banco Central exija acesso ao código-fonte de cada modelo. Significa, porém, que uma instituição precisa conseguir demonstrar por que determinada situação foi classificada como mais arriscada, quais informações foram consideradas e quais procedimentos resultaram naquela decisão.

No âmbito do COAF, a lógica é semelhante. As instituições obrigadas precisam analisar as operações, registrar de forma fundamentada as decisões de comunicar ou não uma situação suspeita e conservar os elementos que sustentaram essa análise. Uma comunicação não deveria ser apenas a reprodução de um alerta: precisa trazer contexto suficiente para que a suspeita possa ser compreendida.

No mercado segurador, a Circular SUSEP nº 612/2020 também estabelece obrigações relacionadas à política de prevenção à lavagem de dinheiro, à avaliação interna de risco, ao monitoramento, à análise de operações e à manutenção de controles e registros.

Mesmo sem uma circular dedicada exclusivamente à explicabilidade de modelos de Inteligência Artificial, as seguradoras já precisam demonstrar que seus processos de identificação e tratamento de riscos possuem critérios, governança e evidências verificáveis.

A LGPD acrescenta outra camada a essa discussão. Seu artigo 20 assegura ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses.

A lei também prevê, mediante solicitação, o fornecimento de informações claras e adequadas sobre os critérios e procedimentos utilizados, respeitados os segredos comercial e industrial. Dependendo de como forem realizadas, decisões automatizadas de subscrição, precificação, concessão de crédito ou restrição de serviços podem estar sujeitas a essas regras.

O alcance exato desse direito ainda está em processo de regulamentação pela ANPD. Mas a direção já é clara: quanto maior o impacto de uma decisão automatizada sobre uma pessoa, maior será a necessidade de governança, documentação e capacidade de prestação de contas.

Em comum, essas diferentes frentes apontam para a mesma conclusão: não basta identificar o risco. É preciso demonstrar como ele foi identificado e como a decisão foi tomada.

A nova fronteira não é apenas a precisão. É a auditabilidade

Por muito tempo, o mercado avaliou soluções de risco principalmente por indicadores como precisão, sensibilidade e redução de falsos positivos. Esses indicadores continuam relevantes, mas já não bastam sozinhos.

O que passa a fazer diferença é a capacidade de produzir uma narrativa de risco baseada em evidências: não apenas informar que um cliente apresenta risco elevado, mas mostrar quais fatos, documentos, comportamentos, relações ou conexões sustentam essa conclusão.

Uma instituição pode ter um modelo estatisticamente preciso e, ainda assim, enfrentar um problema de governança se não conseguir reconstruir:

• quais dados estavam disponíveis no momento da decisão;

• quais fatores elevaram ou reduziram o risco;

• quais relações entre pessoas, empresas e operações foram consideradas;

• quais regras e modelos foram acionados;

• quem validou a decisão;

• e quais evidências foram preservadas para uma futura auditoria.

Descubra como a NeoLabsAI pode te auxiliar

Nome *

E-mail *

Mensagem *

Enviar

O caso que mostra por que o risco mudou de forma

A Operação Fluxo Oculto, conduzida pela Receita Federal e pelo Ministério Público de São Paulo, revelou a atuação de seis fintechs que teriam movimentado mais de R$ 26 bilhões entre 2022 e 2025.

As investigações apontaram a utilização de estruturas como contas-bolsão, empresas de fachada e diferentes camadas de movimentação financeira.

Mais do que o valor envolvido, o caso evidencia uma transformação estrutural: os crimes financeiros mais sofisticados já não acontecem apenas em eventos isolados. Eles se organizam em redes, conectando pessoas, empresas, contas, intermediários e comportamentos ao longo do tempo.

Ferramentas baseadas somente em regras e alertas pontuais enxergam fragmentos dessa realidade. Reconstruir a rede inteira — e, posteriormente, demonstrar como ela foi reconstruída — exige uma arquitetura analítica diferente.

A pergunta que toda instituição deveria fazer amanhã

Se o Banco Central, o COAF, a SUSEP, a ANPD ou a própria Auditoria pedissem hoje para entender exatamente por que uma decisão específica de risco foi tomada — para aquele cliente, naquela data e com aqueles dados —, sua instituição conseguiria reconstruir a resposta em minutos? Ou seriam necessárias semanas de trabalho conjunto entre tecnologia, Compliance, Auditoria e Jurídico?

Se a resposta depende apenas de um score, o maior risco pode não estar no cliente analisado. Pode estar no próprio processo de decisão.

Foi esse problema que orientou o desenho da NeoLabsAI: um sistema multiagente em que diferentes agentes especialistas investigam dimensões específicas do risco e registram as evidências utilizadas durante a análise.

Em vez de entregar apenas um número, o sistema busca apresentar ao decisor humano os fatos, conexões e sinais que sustentam a conclusão, preservando a rastreabilidade necessária para auditorias, revisões e interações com os órgãos de supervisão.

Em ambientes regulados, confiança não nasce de um score. Nasce da capacidade de defender, com evidências, a decisão que esse score ajudou a produzir.