Agentes de IA para o Compliance de Consultores de Investimento: O Que Delegar Antes de 2028
O que faz realmente um agente de IA de compliance, que tarefas lhe entregar, que decisões têm de ficar com uma pessoa identificada e como avaliar e governar um agente numa RIA.
Resposta curta
Um agente de IA para o compliance de consultores de investimento é software que leva uma tarefa de compliance por vários passos de forma autónoma: recolhe documentos, extrai os factos, verifica-os face às suas regras e redige um resumo do caso com cada fonte citada. O que não deve fazer é decidir. As alterações à classificação de risco, as correspondências de sanções verdadeiras, a aceitação de um investidor de risco elevado e a submissão de uma SAR ficam com uma pessoa identificada. Usados desta forma, os agentes dão a uma equipa de compliance de duas pessoas a capacidade de cumprir a regra de 2028 sem contratar um departamento.
Pontos-chave
- Um agente não é um chatbot nem um motor de regras. Executa trabalho em vários passos e entrega a uma pessoa um caso preparado.
- A divisão útil tem três vias: o software executa, o agente redige e uma pessoa avalia, ou uma pessoa decide.
- Os reguladores aceitam a automatização, mas esperam que as decisões pertençam a pessoas. O AMLR da UE torna-o explícito a partir de 10 de julho de 2027.
- Avalie os agentes pela prova, não por demonstrações: fontes citadas, regras com versões controladas, um trilho de auditoria completo e um controlo de qualidade que possa verificar por amostragem.
- Os consultores são o sítio certo para começar, porque as suas equipas de compliance são pequenas e as obrigações chegam numa data fixa.
O Que É um Agente de IA no Compliance, e em Que Difere da Automatização?
As equipas de compliance usam automatização há anos. Um motor de regras rastreia um nome face a uma lista e devolve um alerta. Uma ferramenta de fluxo de trabalho envia um lembrete quando falta um documento. Cada uma faz um passo, da mesma forma, sempre.
Um agente encadeia passos e lida com a variação entre eles. Se lhe pedirem para preparar um dossiê de onboarding para um novo LP que é uma LLC do Delaware, pode pedir os documentos constitutivos, ler o operating agreement quando chega, extrair os sócios e as respetivas percentagens, reparar que um dos sócios é ele próprio uma sociedade das Ilhas Caimão, pedir o registo de sócios dessa sociedade, rastrear cada pessoa que encontra e produzir um resumo que diz o que encontrou e de onde veio cada facto. Uma pessoa faria a mesma sequência. O agente fá-lo em minutos, a qualquer hora, para cada investidor.
A diferença em relação a um chatbot genérico é igualmente importante. Um chatbot responde a uma pergunta a partir do que tiver absorvido. Um agente de compliance trabalha a partir dos seus documentos, das suas regras e das suas fontes de dados, e deve mostrar o seu trabalho. Se não conseguir apontar a página do operating agreement que sustenta uma participação de 30 por cento, esse número não deve estar no dossiê.
Porque Precisam os Consultores de Investimento de Agentes Mais do Que os Bancos?
Os bancos construíram as suas funções AML ao longo de décadas, com dezenas ou centenas de analistas. A maioria dos consultores de investimento registados e dos consultores com reporte isento tem um responsável de compliance que também cobre o Advisers Act, as regras de marketing, o código de ética e as inspeções da SEC, muitas vezes com um analista ou nenhum.
A partir de 1 de janeiro de 2028, os consultores abrangidos têm de manter um programa AML/CFT escrito e baseado no risco, com diligência contínua sobre clientes, comunicação de operações suspeitas, conservação de registos, partilha de informação ao abrigo da Secção 314 e testes independentes. É uma obrigação de tipo bancário a cair sobre uma equipa dimensionada para outra coisa. Contratar analistas é a resposta óbvia e, para a maioria das empresas, a errada: o trabalho de onboarding chega em picos à volta dos closings, e os analistas custam o mesmo nos meses calmos.
Os agentes acompanham esse padrão. Absorvem o volume num closing do fundo e o fluxo constante de novo rastreio e de atualizações entre closings, enquanto o responsável de compliance fica com as decisões que exigem juízo.
O Que Pode um Agente de IA Fazer Hoje pelo Compliance de um Consultor?
Figura 1. Que tarefas de compliance de um consultor entregar ao software, quais entregar a um agente para redigir e quais manter com uma pessoa identificada.
A coluna da esquerda é madura e de baixo risco. A insistência por documentos, a verificação de identidade, o rastreio de listas e a montagem do dossiê são suficientemente determinísticos para que o software os execute com verificações por amostragem.
A coluna do meio é onde os agentes justificam o seu lugar. Cada tarefa envolve ler material não estruturado e produzir um rascunho que uma pessoa revê:
- Triagem de alertas. Para cada alerta de rastreio, o agente compara a data de nascimento, a nacionalidade e outros identificadores, e redige uma nota de decisão: provável falso positivo, porque a pessoa listada é 30 anos mais velha e russa, enquanto o investidor é cidadão norte-americano.
- Organigramas de titularidade. O agente lê os documentos constitutivos e os registos e constrói o organigrama até às pessoas singulares, com cada percentagem ligada à sua fonte.
- Memorandos de EDD. O agente reúne a prova da origem do património, sinaliza lacunas e redige a estrutura do memorando que a sua metodologia exige. Veja o nosso guia de EDD para investidores de fundos privados.
- Narrativas de SAR. A partir do dossiê do caso, o agente redige o quem, o quê, quando, onde e porquê. A decisão de comunicar continua a ser humana. Veja o guia de submissão de SAR para RIA.
- Pacotes de revisão periódica. O agente reúne o que mudou desde a última revisão e pede ao investidor apenas o que falta.
Onde Deve uma Pessoa Continuar a Intervir?
Figura 2. O agente prepara o caso em quatro passos. Uma pessoa revê e decide. O trilho de auditoria é escrito à medida que o trabalho acontece, e as alterações alimentam um manual de regras com versões controladas.
A linha está traçada na lei, na Europa, e nas expectativas, em todo o lado.
O artigo 76.º, n.º 5, do Regulamento Anti-Branqueamento da UE, o Regulamento (UE) 2024/1624, que se aplica a partir de 10 de julho de 2027, permite que as entidades confiem em processos automatizados e em IA apenas se as decisões de iniciar, recusar ou manter uma relação, ou de alterar o nível de diligência, estiverem sujeitas a uma intervenção humana significativa. As regras dos EUA não têm texto equivalente, mas o Framework for OFAC Compliance Commitments da OFAC espera que a tecnologia seja selecionada e calibrada ao perfil de risco da empresa e testada, o que pressupõe que uma pessoa é dona das configurações. As regras de SAR da FinCEN fazem da decisão de comunicar uma decisão da instituição, e um consultor não pode dizer a um inspetor que foi um modelo a decidir.
Mantenha cinco decisões humanas: alterações à classificação de risco, decisão sobre correspondências verdadeiras, aceitação de investidores de risco elevado, submissão de SAR e aprovação do programa e das suas políticas. Tudo o resto pode ser preparado por software, desde que uma pessoa consiga ver o que ele fez. O nosso artigo sobre IA explicável no KYC explica porque «foi o algoritmo que disse» não serve como resposta.
Como Deve Avaliar um Agente de Compliance com IA?
Uma demonstração parece sempre boa. Peça antes provas.
| Pergunta | Como é uma boa resposta |
|---|---|
| Cada facto extraído cita a sua fonte? | Clicar em qualquer campo e ver o documento e a página de onde veio |
| As regras e os modelos têm versões controladas? | Cada dossiê regista que conjunto de regras e que versão do modelo o produziram |
| O que acontece quando o agente tem dúvidas? | Sinaliza a lacuna e encaminha-a para uma pessoa; não a preenche com um palpite |
| Consegue verificar o trabalho por amostragem? | Uma vista de controlo de qualidade que permite extrair um conjunto aleatório de dossiês e pontuá-los |
| Quem vê os dados dos investidores? | Termos claros de tratamento de dados, nenhum treino com os seus dados sem consentimento, relatório SOC 2 Type II |
| Consegue exportar o dossiê? | Um registo completo, com data e hora, que pode entregar a um inspetor sem o fornecedor presente |
| Que dados de rastreio estão por trás? | Um fornecedor de listas identificado e reputado, e uma frequência de atualização declarada |
Como Governar um Agente Depois de Entrar em Produção?
Trate o agente como qualquer outro controlo do programa. As orientações das autoridades bancárias sobre risco de modelo são uma referência sensata, embora não vinculem os consultores: saiba para que serve a ferramenta, valide-a antes de confiar nela e monitorize-a depois.
- Inventário. Registe cada tarefa do agente, o seu responsável e as decisões que alimenta.
- Validação. Antes da entrada em produção, execute o agente sobre um conjunto de dossiês que a sua equipa já concluiu e compare os resultados.
- Amostragem de controlo de qualidade. Todos os meses, pontue uma amostra aleatória de dossiês preparados pelo agente. Acompanhe a taxa de defeitos.
- Controlo de alterações. As alterações às regras são escritas, aprovadas e com versões controladas. Nada de ajustes silenciosos para reduzir o volume de alertas.
- Testes independentes. Inclua o agente no teste independente anual que a regra de 2028 exige.
Como Medir o Valor de um Agente de Compliance?
Use a sua própria base de referência, não a de um fornecedor. Um exemplo ilustrativo: o closing de um fundo com 120 LP, em que o tempo de analista é em média de três horas por investidor entre insistências, verificações, rastreio e montagem do dossiê, consome 360 horas. Se um agente preparar o dossiê e o revisor precisar de quarenta minutos por investidor para verificar e decidir, o closing precisa de cerca de 80 horas de trabalho humano. Os seus números serão diferentes. Meça o tempo até KYC concluído, a completude à primeira, a taxa de defeitos no controlo de qualidade e as horas de revisor por dossiê, antes e depois, e guarde a comparação no dossiê do programa. É também uma boa prova de um programa com recursos proporcionais ao seu risco.
Quais São os Erros Mais Comuns?
- Deixar o agente aprovar. Mesmo a aprovação automática de baixo risco deve ser uma regra escrita que uma pessoa aprovou, não uma margem de discricionariedade do modelo.
- Revisão de carimbo. Se os revisores aceitam 100 por cento dos rascunhos, não estão a rever. Acompanhe as taxas de alterações.
- Sem citação de fontes. Um facto extraído sem fonte não pode ser defendido.
- Ajustar para reduzir o volume. Subir os limiares de correspondência para cortar alertas é uma decisão de risco. Documente-a como tal.
- Agentes sobre dados dispersos. Um agente não consegue corrigir registos de investidores espalhados pelo email, pelo portal do administrador e por uma pasta partilhada. Escolha primeiro um único sistema de registo.
Onde Entra a Verifica
O agente de compliance da Verifica executa os passos de recolha, verificação, mapeamento da titularidade e rastreio para cada investidor e redige o caso para o seu revisor, com cada facto ligado ao respetivo documento de origem e cada ação com data e hora. Os dados de rastreio vêm da LSEG Risk Intelligence. As decisões, as alterações e as aprovações ficam registadas em nome de um utilizador identificado, pelo que o dossiê que um inspetor lê mostra tanto o que o agente preparou como o que a sua equipa decidiu. A Verifica é software, não uma sociedade de advogados: as suas regras, os seus limiares e a aprovação ficam com a sua equipa.
Perguntas Frequentes
Os agentes de IA podem ser usados no compliance AML de consultores de investimento?
Sim. Nada na Regra AML para Consultores de Investimento proíbe a automatização. O que importa é que o programa seja baseado no risco, que uma pessoa designada seja responsável e que as decisões e os seus motivos fiquem documentados.
Pode um agente de IA decidir se uma SAR deve ser submetida?
Não deve. Um agente pode montar o caso e redigir a narrativa, mas a decisão de submeter pertence ao responsável AML do consultor ou ao revisor designado, e a fundamentação deve ser deles.
Um agente de compliance com IA é diferente de uma API de KYC?
Sim. Uma API de KYC realiza uma verificação, como a verificação de identidade, e devolve um resultado aos seus sistemas. Um agente executa uma sequência de passos sobre documentos e fontes de dados e entrega a uma pessoa um caso preparado.
O que diz o AMLR da UE sobre a IA no onboarding?
O artigo 76.º, n.º 5, permite confiar em processos automatizados e em sistemas de IA se as decisões de iniciar, recusar ou manter uma relação, ou de alterar o nível de diligência, estiverem sujeitas a uma intervenção humana significativa. Aplica-se a partir de 10 de julho de 2027.
Como devemos testar um agente de IA antes de confiar nele?
Execute-o sobre um conjunto de dossiês concluídos e compare o resultado com o da sua equipa; depois, verifique mensalmente por amostragem o trabalho em produção e acompanhe a taxa de defeitos. Inclua-o no teste independente anual.
Fontes
- FinCEN, AML/CFT Program and SAR Filing Requirements for Registered Investment Advisers and Exempt Reporting Advisers, final rule, 89 Fed. Reg. 72156 (4 de setembro de 2024), e adiamento para 1 de janeiro de 2028.
- Regulation (EU) 2024/1624 (Anti-Money Laundering Regulation), artigo 76.º, n.º 5.
- OFAC, A Framework for OFAC Compliance Commitments (maio de 2019).
- Board of Governors of the Federal Reserve System e OCC, Supervisory Guidance on Model Risk Management (SR 11-7).
- Departamento do Tesouro dos EUA, 2024 Investment Adviser Risk Assessment.
Rodolfo Santos é advogado especializado em compliance imobiliário, com mais de 10 anos de experiência em transações transfronteiriças, e cofundador da Verifica, uma plataforma de conformidade assente em IA para profissionais do imobiliário. Fechou mais de 150 transações imobiliárias num valor superior a 50 milhões de euros.
