Os prestadores de serviços financeiros conhecem a gestão de risco como ofício. Já existem quadros para risco de crédito, risco operacional, risco de modelo e compliance. É exatamente por isso que a governança de IA aqui é diferente do que em setores que partem de uma folha em branco: a questão não é se existe uma estrutura de risco, mas se a IA já foi incorporada nela ou cresceu à parte. Modelos de scoring de crédito, detecção de fraude ou segmentação de clientes muitas vezes existem há mais tempo do que a etiqueta 'IA' que lhes foi aplicada. A questão de governança não é, portanto: construímos algo novo, mas: a supervisão existente ainda se aplica ao que atualmente está em funcionamento.
A relação entre o que é conhecido por uma comissão de risco de modelo ou pelo departamento de compliance e o que realmente está em uso varia muito de instituição para instituição. Numa, quase tudo já passou por um processo de validação; noutra, além dos modelos aprovados, também funcionam ferramentas que colaboradores ou equipas individuais começaram a usar por conta própria, sem que ninguém as tenha submetido a avaliação. Qual relação se aplica a uma organização específica não pode ser indicada sem ter analisado a situação.
Uma instituição com um quadro de risco de modelo maduro por vezes assume que a IA já está coberta por ele. A gestão de risco de modelo foi construída sobre modelos estatísticos com input e output fixos. Um modelo de linguagem que resume perguntas de clientes, uma ferramenta que gera texto preliminar para uma carta de aconselhamento, ou um sistema que pesquisa contratos, nem sempre se encaixa nessa definição e acaba escapando pela malha existente. A questão de governança não é, portanto, apenas quais modelos existem, mas também quais ferramentas são reconhecidas como IA e quais não são.
Além disso, o papel da IA no processo é determinante. Uma ferramenta que apoia um consultor na elaboração de um parecer é diferente de uma ferramenta que gera o próprio parecer ou influencia uma decisão de aceitação. A mesma tecnologia pode ser um instrumento de apoio numa aplicação e, noutra, um elo que afeta diretamente uma decisão em relação a um cliente. A classificação por papel e nível de risco é, portanto, necessária antes que uma instituição possa afirmar qual nível de supervisão se adequa a qual aplicação.
A lista de TI de aplicações aprovadas não corresponde ao que é realmente usado. Os colaboradores dos serviços financeiros trabalham com dossiês de clientes, dados de transações e informações confidenciais de aconselhamento, e é precisamente esse grupo que não está imune a colar um texto numa janela de chat gratuita para obter mais rapidamente um resumo ou uma resposta preliminar. Como esse risco se manifesta concretamente e o que pode ser feito a respeito está descrito em a abordagem contra dados empresariais numa janela de chat gratuita.
A razão pela qual esse uso permanece invisível raramente é má vontade. É mais frequentemente consequência de falta de clareza sobre o que é e não é permitido, combinada com pressão de tempo. Quem quiser saber o que realmente está sendo usado deve perguntar diretamente, e isso só funciona se os colaboradores não tiverem medo de uma sanção pela resposta. Uma abordagem que leva isso em conta está explicada na página sobre como mapear ferramentas que ninguém aprovou.
O que também distingue os serviços financeiros é o hábito de prestar contas. Um gestor de risco ou General Counsel neste setor está habituado a poder mostrar a um supervisor ou ao conselho fiscal como um risco foi avaliado e quais medidas dele resultam. Para a IA, isso significa que um inventário não pode estar separado do quadro de risco existente; deve encaixar-se nele, com a mesma classificação em categorias de risco e as mesmas linhas de reporte já aplicadas a outras categorias de risco. Um conjunto de governança colocado ao lado do quadro existente, em vez de integrado nele, gera trabalho adicional na próxima ronda de auditoria em vez de segurança.
O conteúdo das regras aplicáveis à IA muda e é mantido atualizado noutro lugar. Esta página descreve o mecanismo: inventariar o que está em funcionamento, classificar por papel e risco, e integrar o resultado nas estruturas de governança existentes, de modo que uma instituição tenha, perante uma pergunta do supervisor ou da administração, uma resposta que se alinhe com a forma como o risco já é gerido.
A tensão entre a supervisão existente e o novo uso de IA não é exclusiva dos serviços financeiros. Padrões semelhantes podem ser observados na forma como a governança em torno da IA é estruturada no setor energético, na maneira como a construção civil lida com aplicações de IA no local de trabalho e no processo de design, e em como o setor imobiliário vê a IA na avaliação e gestão. O que difere não é o mecanismo, mas o lugar onde o risco aterra: num banco ou seguradora, isso é frequentemente uma decisão que afeta diretamente um cliente.
Um inventário do uso de IA e a respetiva classificação de risco mostram o que está em funcionamento e sob qual supervisão deveria estar. Não mostram o que esse uso significa para a divisão do próprio trabalho: qual parte de uma tarefa, como elaborar um relatório de aconselhamento, analisar um dossiê ou resumir uma conversa com um cliente, é elegível para ser assumida pela IA e qual parte permanece com um colaborador. Essa questão está fora do alcance de uma análise de governança e é respondida pela análise de trabalho da FTE TO AI, que calcula, por tarefa, qual parte do trabalho pode ser transferida para a IA.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.