Artigo 10: Governança de dados na IA fintech — EU AI Act

Como a governança de dados do artigo 10 do EU AI Act se aplica à fintech — representatividade da pontuação de crédito, discriminação indireta e mutuários com pouco historial.

Publicado 2 de abril de 2026

O artigo 10 do EU AI Act estabelece requisitos de governança de dados que visam diretamente um dos riscos de conformidade mais persistentes da fintech: dados de treino enviesados na pontuação de crédito, na subscrição de seguros e na deteção de fraudes. Nos termos do Annex III, secção 5(b), os sistemas de IA que avaliam a solvabilidade ou estabelecem pontuações de crédito são classificados como de alto risco. Os seus dados de treino devem ser representativos dos mercados de crédito da UE, isentos de discriminação indireta e sujeitos a práticas de governança documentadas — requisitos que desafiam as práticas de dados da maioria dos fornecedores de IA financeira.

Esta página explica como a governança de dados do artigo 10 se aplica especificamente à IA da fintech — da pontuação de crédito ao combate ao branqueamento de capitais — incluindo os riscos de implementar modelos treinados com dados de fora da UE, a discriminação indireta através de características geográficas e comportamentais e que violações ao nível do código a Scanara deteta nos pipelines de dados financeiros.

A que sistemas de IA da fintech se aplica o artigo 10?

IA de pontuação de crédito e solvabilidade

Sistemas de IA que avaliam a solvabilidade ou geram pontuações de crédito de pessoas singulares. Os dados de treino devem refletir os comportamentos dos mercados de crédito da UE — os modelos treinados com dados de agências de crédito dos EUA incorporam comportamentos financeiros fundamentalmente diferentes (por exemplo, normas de utilização do crédito, expectativas quanto à duração do historial de crédito) que não se transferem para os contextos da UE.

IA de avaliação de riscos de seguros

IA que fixa o preço de apólices de seguro ou avalia sinistros. Os dados de treino não devem incorporar discriminação tarifária histórica. Os conjuntos de dados que refletem décadas de avaliação de risco podem codificar práticas tarifárias enviesadas que eram legais quando os dados foram recolhidos, mas que violam as normas atuais de combate à discriminação.

Sistemas de deteção de fraudes e de BCFT

IA que deteta transações fraudulentas ou atividades suspeitas. A governança dos dados de treino deve abordar o enviesamento de rótulos: os rótulos de fraude históricos podem sobre-representar determinados padrões de transação associados a grupos demográficos específicos, conduzindo a taxas desproporcionadas de falsos positivos.

Decisões de concessão de crédito automatizadas

Sistemas de IA que tomam ou recomendam decisões de aprovação de empréstimos. Devem abordar o problema do “historial de crédito reduzido”: os imigrantes recentes, os mutuários jovens e os trabalhadores da economia informal com historial de crédito limitado devem estar representados nos dados de treino, ou o modelo deve sinalizar dados insuficientes em vez de gerar uma pontuação baixa.

Principais obrigações de governança de dados para a fintech

O artigo 10 exige que os dados de treino sejam pertinentes, representativos e completos para a finalidade prevista. Para a fintech, isto significa que os conjuntos de dados de treino devem refletir os comportamentos financeiros e as condições do mercado de crédito das populações da UE onde o sistema será implementado — e não ser importados em bloco de outros sistemas financeiros.

Representatividade do mercado da UE

O artigo 10(4) exige que os dados tenham em conta o enquadramento geográfico, contextual e comportamental específico da implementação. Uma IA de pontuação de crédito treinada com dados dos EUA e implementada na UE enfrenta problemas fundamentais de representatividade: sistemas de informação de crédito diferentes (sem equivalente do FICO na maioria dos Estados da UE), produtos financeiros diferentes e ambientes regulamentares diferentes que regem o comportamento financeiro.

Discriminação indireta através de dados geográficos

O artigo 10(2)(f) exige a análise dos dados quanto a enviesamentos que afetem os direitos fundamentais. Na fintech, os códigos postais e os dados de bairro servem frequentemente de indicadores indiretos da origem étnica ou do estatuto socioeconómico. Uma pontuação de risco baseada no código postal que está correlacionada com a composição demográfica dos bairros constitui discriminação indireta tanto ao abrigo do AI Act como do direito antidiscriminação da UE.

Cobertura das populações com historial de crédito reduzido

Os dados de treino devem representar adequadamente os mutuários com historial de crédito reduzido: imigrantes recentes sem historial de crédito na UE, jovens que entram no mercado de crédito e trabalhadores da economia informal sem relações bancárias tradicionais. O artigo 10(3) exige que os dados sejam completos para a finalidade prevista — a exclusão destas populações cria lacunas sistemáticas de cobertura.

Governança de fontes de dados alternativas

A IA da fintech utiliza cada vez mais dados alternativos (atividade nas redes sociais, pagamentos de serviços, utilização do telemóvel). O artigo 10(2) exige uma governança documentada para todas as fontes de dados, incluindo a sua pertinência para a solvabilidade, o seu potencial de enviesamento e a sua base de consentimento. Os dados alternativos podem introduzir novos vetores de discriminação não presentes nos dados de crédito tradicionais.

Sobreposições regulamentares

A governança de dados da IA da fintech situa-se na interseção da regulamentação da IA, da regulamentação dos serviços financeiros e do direito de proteção dos consumidores. A conformidade com o artigo 10 deve ser coordenada com as expectativas de supervisão existentes das autoridades de regulamentação financeira.

Orientações da EBA sobre a IA nos serviços financeiros (Nov 2025)

A Autoridade Bancária Europeia emitiu orientações que abordam especificamente a governança de dados da IA nas decisões de crédito. Estas orientações exigem que as instituições avaliem a representatividade dos dados de treino, documentem a proveniência dos dados e validem o desempenho do modelo entre os segmentos de clientes. As expectativas da EBA alinham-se com o artigo 10, mas acrescentam pormenores setoriais sobre a governança dos modelos e o reporte de supervisão.

CRR/CRD — Normas de dados relativas aos requisitos de fundos próprios

O Regulamento sobre os Requisitos de Fundos Próprios (CRR) e a Diretiva sobre os Requisitos de Fundos Próprios (CRD) impõem requisitos de qualidade dos dados aos modelos internos utilizados no cálculo do risco de crédito. Os modelos de IA utilizados nas abordagens IRB devem cumprir os requisitos de dados do artigo 174 do CRR além das obrigações de governança do artigo 10 — criando requisitos de conformidade que se sobrepõem sem serem idênticos.

PSD2/PSD3 — Governança de dados de pagamento

A Diretiva dos Serviços de Pagamento rege o acesso aos dados das contas de pagamento e a sua utilização. Os sistemas de IA que utilizam dados de open banking para decisões de crédito devem cumprir os requisitos de consentimento e de limitação da finalidade da PSD2 além da governança de dados do artigo 10. A PSD3 (proposta) reforça os controlos de acesso aos dados e pode introduzir disposições adicionais específicas da IA.

Diretiva relativa ao crédito aos consumidores 2023/2225

A Diretiva revista relativa ao crédito aos consumidores (em vigor Nov 2026) aborda explicitamente a IA nas avaliações de solvabilidade. O artigo 18 exige que os sistemas automatizados não discriminem com base em características protegidas e que os consumidores recebam explicações significativas. Isto cria uma ligação direta entre os requisitos do artigo 10 relativos ao enviesamento dos dados de treino e as obrigações de proteção dos consumidores.

Violações comuns detetadas pela Scanara

Características geográficas indiretas em modelos de crédito

Código de engenharia de características que inclui códigos postais, identificadores de bairro ou dados de localização de imóveis nas características de pontuação de crédito sem avaliar a correlação com características protegidas. A Scanara deteta as características geográficas utilizadas na tomada de decisões de crédito sem a correspondente análise de equidade, sinalizando uma possível discriminação indireta ao abrigo do artigo 10(2)(f).

Dados de treino de fora da UE sem adaptação

Pipelines de dados que ingerem dados de agências de crédito de jurisdições de fora da UE sem uma avaliação documentada da transferibilidade geográfica. Os modelos treinados com dados do tipo FICO dos EUA e implementados para decisões de crédito na UE violam os requisitos do artigo 10(4) de ter em conta o enquadramento geográfico e comportamental específico da implementação.

Ausência de tratamento das populações com historial de crédito reduzido

Pipelines de pontuação que geram pontuações de crédito para todos os requerentes sem verificar a suficiência dos dados. Quando os dados de treino não representam os mutuários com historial de crédito reduzido, o modelo deveria sinalizar dados insuficientes em vez de extrapolar a partir de populações dissemelhantes. A Scanara deteta as funções de pontuação sem verificações de completude dos dados.

Lista de verificação de conformidade com o artigo 10 para a fintech

Art. 10(2)

Documentar as práticas de governança de dados

Registe todas as fontes de dados (agências de crédito, dados alternativos, historiais de transações), as metodologias de recolha, os procedimentos de limpeza de dados e as decisões de engenharia de características. Inclua uma avaliação da pertinência dos dados para as condições do mercado de crédito da UE.

Art. 10(3)

Validar a representatividade do mercado da UE

Verifique se os dados de treino refletem o perfil demográfico e financeiro dos mutuários da UE nos mercados-alvo. Documente a cobertura das populações com historial de crédito reduzido, a diversidade geográfica entre os Estados-Membros e a representação dos diferentes escalões de rendimento e tipos de emprego.

Art. 10(2)(f)

Avaliar o risco de discriminação indireta

Realize uma análise de correlação entre as características e os atributos protegidos. Avalie em particular as características geográficas, o tipo de emprego e os indicadores de comportamento digital quanto a efeitos indiretos. Documente as conclusões e as medidas de mitigação.

Art. 10(4)

Ter em conta o contexto de implementação

Documente como os dados de treino têm em conta o ambiente regulamentar financeiro específico, a infraestrutura de informação de crédito e os comportamentos financeiros dos consumidores de cada Estado-Membro da UE onde o sistema é implementado. A implementação transfronteiriça exige uma governança de dados multimercado.

Art. 10(6)

Utilizar dados de teste independentes

Valide a equidade do modelo com dados de teste independentes dos dados de treino. Utilize períodos temporais diferentes, mercados geográficos diferentes ou segmentos de clientes diferentes. Inclua nos resultados dos testes métricas de equidade desagregadas por atributos protegidos.

Perguntas frequentes

Como o Scanara ajuda

O Scanara automatiza a conformidade com o Regulamento de IA do código ao dossiê. Ligue os seus repos GitHub e obtenha relatórios de conformidade em minutos.