O compliance com IA deve checar regras, não reler a regulação. Abu Dhabi pôs esse desenho em produção

Pergunte a um modelo de linguagem se um embarque está em conformidade com uma regulação de importação e ele vai ler a regulação, os documentos do embarque e a sua pergunta, e produzir uma resposta. Pergunte de novo amanhã, com os mesmos documentos, e ele vai ler tudo outra vez. Cada resposta é uma interpretação nova da lei, feita por um modelo, no momento da requisição, sem registro de qual leitura da regra ele aplicou.

É assim que a maioria dos assistentes de compliance funciona hoje, e é o desenho errado para trabalho regulado.

O que Abu Dhabi fez diferente

Em 2 de novembro, o governo de Abu Dhabi e a OpenAI lançaram o que chamam de iniciativa Machine-Readable Government (governo legível por máquina), nativa de IA, liderada e governada pelo Department of Government Enablement do emirado. Ela cobre um conjunto definido de políticas e regulações de governo e as transforma em um formato que sistemas de IA conseguem aplicar a avaliações rotineiras de compliance, como licenças e certificados.

O primeiro piloto está em produção na Abu Dhabi Agriculture and Food Safety Authority, com foco em importações de alimentos. Duas decisões de desenho se destacam no anúncio: cada avaliação é rastreável até a regra que a governa, e os servidores públicos mantêm a supervisão e a responsabilidade pelas decisões finais. A inferência roda em GPUs em data centers nos Emirados Árabes Unidos.

Nenhum resultado de acurácia, velocidade ou custo foi publicado, e a alegação dos patrocinadores de que essa é a primeira iniciativa do mundo é deles. O que é útil é a arquitetura, porque ela inverte a usual.

A interpretação vai para a frente, e acontece uma vez

Em um desenho legível por máquina, o trabalho difícil de interpretação continua existindo, mas mais cedo, feito por pessoas, e só uma vez por versão da regra. Advogados e reguladores decidem o que uma cláusula significa em termos operacionais, codificam isso, revisam a codificação e publicam com uma versão. A IA então faz um trabalho mais estreito: mapear o caso para as regras aplicáveis, checar a evidência contra elas e citar qual regra, em qual versão, foi aplicada.

1. Texto da regra
2. Regra codificada, versionada e revisada
3. Avaliação da IA citando regra e versão
4. O servidor público decide e responde por isso
5. Registro do caso, da regra, da evidência e da decisão

• Pessoas, uma vez por versão da regra: Texto da regra · Regra codificada, versionada e revisada
• Cada caso: Avaliação da IA citando regra e versão · O servidor público decide e responde por isso · Registro do caso, da regra, da evidência e da decisão

É o mesmo movimento que vários fornecedores estão fazendo em dados enterprise. O novo Ontology Manager do SAP Business Data Cloud, anunciado em 29 de outubro, constrói visões de domínio de um knowledge graph que conecta entidades de negócio, relacionamentos e regras, para que os agentes trabalhem contra um contexto definido em vez de documentos brutos. A arquitetura Deep Trust, da Oracle leva regras de negócio para dentro do banco de dados como asserções que nenhuma query gerada consegue contornar. O padrão é consistente: manter o modelo longe da parte que define o que é permitido.

Por que isso importa mais do que parece

Já defendemos que a prova em IA regulada tem de vir de fora do modelo. Uma regra versionada é exatamente isso: um artefato que o modelo não escreveu, contra o qual a saída dele pode ser checada. E responde à pergunta que um inspetor vai fazer primeiro. “Por que o sistema aprovou isto?” ganha uma resposta limpa, por exemplo: regra 4.2 na sua versão de março, itens de evidência um a três, decidido por este servidor.

É também o desdobramento lógico de tratar as skills de agente como procedimentos sob controle documental. Uma skill diz ao agente como fazer uma tarefa; uma regra codificada diz o que a organização decidiu que uma regulação exige. As duas são procedimentos, as duas precisam de um responsável, de uma revisão e de uma versão.

Nossa visão, e é uma visão, não um fato: em dois anos, empresas reguladas serão cobradas a mostrar a base de regras por trás de uma decisão de compliance assistida por IA, não o prompt.

O que não desaparece

Codificar uma regra não elimina a ambiguidade; registra uma interpretação e a torna consistente. Isso só é um benefício se a interpretação for revisada e puder ser contestada. Três coisas precisam de desenho desde o começo.

Exceções e recursos. Casos reais caem entre regras. O sistema precisa de um caminho que os mande para uma pessoa com o motivo, e esses casos devem alimentar a próxima versão da base de regras.

Controle de mudança. Quando a regulação muda, toda regra codificada derivada dela precisa de revisão, e as decisões passadas têm de continuar ligadas à versão que usaram.

Responsável definido. Alguém no jurídico ou no compliance responde por cada regra, do mesmo jeito que alguém responde por cada definição de negócio que um agente lê. Sem um responsável, a base de regras vira outro prompt sem revisão, só que mais longo.

Para o time de qualidade de uma farmacêutica que trabalha contra RDCs da Anvisa, a área de compliance de um banco que aplica resoluções do Banco Central e do CMN, ou um despachante aduaneiro liberando cargas na alfândega, o primeiro passo não é escolher um modelo. É escolher uma avaliação estreita e de alto volume, escrever as regras dela em um formato que a máquina consiga aplicar, e fazer as pessoas que respondem pela regulação assinar a codificação.