Artigo 12.º: Conservação de registos na IA fintech — EU AI Act
Como a conservação de registos do artigo 12.º do EU AI Act se aplica à IA da fintech — registo de decisões de crédito, exames de supervisão e conservação CRD IV.
O artigo 12.º do EU AI Act exige que os sistemas de IA de risco elevado registem automaticamente os eventos relevantes para a identificação de riscos e a garantia da rastreabilidade. A IA da fintech — classificada como de risco elevado ao abrigo do anexo III, secção 5(b) quando utilizada para avaliação da solvabilidade, notação de crédito ou avaliação de riscos em seguros de vida e de saúde — deve produzir registos de decisão ao nível da transação capazes de resistir ao exame de supervisão do BCE, apoiar a geração de avisos de recusa e satisfazer obrigações regulamentares de conservação plurianuais.
O registo da IA financeira é excecionalmente exigente porque cada decisão de crédito, sinalização de fraude ou alerta de branqueamento de capitais deve ser reconstituível para efeitos de exame regulamentar. O BCE e as autoridades de supervisão nacionais (BaFin, ACPR, FCA) solicitam regularmente o acesso aos registos de decisão da IA durante inspeções no local. A sua infraestrutura de registo deve produzir registos estruturados e pesquisáveis que incluam a versão do modelo, os valores das características de entrada e os fatores específicos que determinaram cada decisão. Esta página explica o que deve ser registado, os requisitos de conservação e as violações ao nível do código que o Scanara deteta.
O que deve ser registado para os sistemas de IA da fintech?
Resultados das decisões de crédito
Cada decisão de crédito — aprovação, recusa, atribuição de nível de preço — deve ser registada com marca temporal, versão do modelo, o resultado da decisão e a referência do requerente. Em caso de recusa de empréstimos, os registos devem incluir os fatores específicos que contribuíram para a decisão desfavorável, a fim de fundamentar os avisos de recusa exigidos.
Valores das características de entrada
Registe os valores das características utilizados em cada decisão — não os dados pessoais em bruto, mas as características transformadas que o modelo consumiu. Quando um regulador perguntar por que motivo o crédito foi recusado a um requerente específico, deve ser capaz de mostrar o estado das entradas no momento da inferência, incluindo as características que tiveram maior influência no resultado.
Registos de alertas de fraude e branqueamento
Cada transação sinalizada por potencial fraude ou branqueamento de capitais deve gerar uma entrada de registo com a gravidade do alerta, as regras ou pontuações de modelo que o desencadearam e o desfecho (escalado, arquivado ou bloqueado). Os registos de alertas de branqueamento estão sujeitos a requisitos de conservação distintos ao abrigo das diretivas de combate ao branqueamento de capitais.
Versão do modelo e estado de calibração
Cada entrada de registo deve consignar a versão exata do modelo, a versão do pipeline de engenharia de características, a data de calibração e quaisquer parâmetros de limiar. As equipas de supervisão que examinam decisões de há meses devem poder determinar qual o modelo que produziu cada resultado e se o modelo se encontrava dentro dos seus parâmetros operacionais validados.
Decisões de revisão humana
Registe se um analista de crédito reviu a recomendação da IA e a decisão final tomada. Para as avaliações de adequação ao abrigo da MiFID II, registe a identidade do consultor e se este se afastou da recomendação da IA, incluindo a justificação indicada para qualquer derrogação.
Eventos de disponibilidade e de recurso do sistema
Registe os períodos em que o sistema de IA esteve operacional, degradado ou indisponível. Anote qualquer recurso ao processamento manual ou a sistemas baseados em regras, incluindo a duração e o número de decisões tomadas fora do pipeline de IA durante as interrupções.
Principais obrigações de conservação de registos para a fintech
O registo da IA nos serviços financeiros rege-se por alguns dos períodos de conservação mais longos de qualquer setor. O mínimo de 6 meses do AI Act é amplamente ultrapassado por requisitos setoriais que impõem uma conservação de 5 a 10 anos dos processos de decisão de crédito. A infraestrutura de registo deve ser concebida desde o primeiro dia para um armazenamento a longo prazo e pesquisável.
Conservação: a CRD IV prevalece
O artigo 74.º da CRD IV exige que as instituições conservem os registos de governação interna, incluindo a documentação das decisões de crédito, durante um mínimo de 5 anos. Para os processos de adequação da MiFID II, o período de conservação é igualmente de 5 anos. Os registos de branqueamento ao abrigo da AMLD5 devem ser conservados durante 5 anos após o termo da relação de negócio. Estes períodos excedem largamente o limiar de 6 meses do AI Act.
Preparação para o exame regulamentar
O BCE e as autoridades de supervisão nacionais realizam inspeções no local durante as quais solicitam o acesso aos registos de decisão da IA. Os registos devem estar num formato estruturado e pesquisável — os supervisores realizarão análises agregadas de padrões de decisão, e não a leitura de ficheiros de registo individuais. Preveja capacidades de exportação em massa e de consulta analítica.
Apoio aos avisos de recusa
Quando um sistema de IA recusa crédito, a instituição deve fornecer ao requerente as razões específicas. Os registos devem captar os principais fatores contributivos de cada recusa no momento da inferência — gerar essas razões retroativamente a partir dos pesos do modelo não é suficiente. Registe a explicação no momento da decisão.
Requisitos de registo da DORA
O Digital Operational Resilience Act (DORA) exige que as entidades financeiras mantenham um registo exaustivo dos eventos dos sistemas de TIC. Os sistemas de decisão por IA inserem-se no âmbito da DORA — os registos devem incluir indicadores de desempenho operacional, registos de incidentes e dados de disponibilidade do sistema, para além das pistas de auditoria ao nível da decisão.
Sobreposições regulamentares
A conservação de registos da IA financeira está sujeita à mais densa sobreposição regulamentar de qualquer setor. A conformidade com o artigo 12.º deve ser integrada nos quadros existentes de supervisão prudencial, proteção do consumidor e combate ao branqueamento de capitais.
Orientações da EBA sobre o AI Act
A Autoridade Bancária Europeia emitiu orientações sobre a utilização da IA nos serviços financeiros que abordam especificamente os requisitos de registo e auditabilidade. As orientações da EBA recomendam o registo ao nível da decisão com versionamento de modelos, captura das características de entrada e acompanhamento dos resultados — em estreita conformidade com os requisitos do artigo 12.º.
CRD IV artigo 74.º — Governação interna
A CRD IV exige que as instituições de crédito disponham de dispositivos de governação sólidos, incluindo pistas de auditoria internas exaustivas. Para as decisões de crédito baseadas em IA, isto significa que o registo deve satisfazer tanto os requisitos de rastreabilidade do AI Act como os requisitos de documentação de governação da CRD IV. Os supervisores esperam pistas de auditoria integradas que abranjam a gestão do risco de modelo e os resultados das decisões.
MiFID II artigo 25.º — Processos de adequação
A MiFID II exige que as empresas de investimento conservem os processos das avaliações de adequação durante 5 anos. Quando os sistemas de IA contribuem para as avaliações de adequação, o registo de decisão da IA deve estar ligado ao processo de adequação, incluindo a recomendação da IA, a decisão do consultor e qualquer justificação da derrogação.
PSD2 e AMLD5 — Monitorização das transações
As diretivas relativas aos serviços de pagamento e ao combate ao branqueamento de capitais exigem registos de monitorização das transações com períodos de conservação específicos. Os sistemas de IA que realizam deteção de fraude ou rastreio de branqueamento devem registar cada transação sinalizada, o desfecho do alerta e a decisão do investigador. A AMLD5 exige uma conservação de 5 anos após o termo da relação de negócio.
Violações comuns que o Scanara deteta
Registo com print() em vez de JSON estruturado
Código de notação de crédito que utiliza instruções print ou registo de texto não estruturado. O exame de supervisão exige consultas analíticas em massa sobre milhões de decisões — os registos não estruturados são inúteis para a inspeção regulamentar e violam os requisitos de rastreabilidade do artigo 12.º.
Versão do modelo ausente nos eventos de decisão
Pontos de acesso de decisão de crédito que registam o resultado sem consignar a versão do modelo, a data de calibração ou os parâmetros de limiar. Quando um supervisor analisa decisões de um determinado período, deve poder determinar qual o modelo que produziu cada decisão e se este operava dentro dos parâmetros validados.
Registos escritos em disco local sem conservação
Escrita dos registos de decisão de crédito em armazenamento de contentor efémero ou em disco local. A CRD IV exige uma conservação de 5 anos dos processos de decisão de crédito — os registos numa infraestrutura efémera não sobreviverão sequer a uma única rotação de infraestrutura, quanto mais a um período plurianual de exame de supervisão.
Sem fatores de recusa no momento da decisão
Registar as recusas de crédito sem captar os principais fatores contributivos no momento da inferência. Gerar as razões da recusa retroativamente a partir dos pesos de modelo armazenados não é fiável e pode não refletir os fatores efetivos que determinaram a decisão específica. Registe a explicação juntamente com a decisão.
Lista de verificação de conformidade com o artigo 12.º para a fintech
Registar cada decisão financeira orientada pela IA
Gere eventos de registo estruturados para cada decisão de crédito, alerta de fraude, sinalização de branqueamento e avaliação de adequação. Inclua a marca temporal, a versão do modelo, as características de entrada, o resultado e os fatores contributivos.
Permitir consultas analíticas de supervisão
Estruture os registos num formato que suporte consultas analíticas em massa. As equipas de supervisão solicitarão análises agregadas de padrões de decisão, repartições demográficas e indicadores de desempenho do modelo ao longo de diferentes períodos.
Configurar uma conservação mínima de 5 anos
Conserve os registos de decisão da IA durante o mais longo dos prazos entre o mínimo de 6 meses do AI Act e a regulamentação financeira aplicável (CRD IV: 5 anos, MiFID II: 5 anos, AMLD5: 5 anos após a relação). Utilize armazenamento escalonado com políticas de ciclo de vida adequadas.
Registar as decisões de analistas e consultores
Registe a identidade dos analistas de crédito ou consultores que reviram os resultados da IA. Anote se aceitaram, modificaram ou anularam a recomendação, incluindo a justificação de qualquer derrogação.
Integrar com o registo operacional de TIC
Assegure que os registos de decisão da IA estão integrados no seu quadro de registo operacional de TIC conforme à DORA. Inclua a disponibilidade do sistema, os indicadores de desempenho e os registos de incidentes, para além das pistas de auditoria ao nível da decisão.
Perguntas frequentes
Recursos relacionados
Artigo 12.º: Conservação de registos
Requisitos completos do artigo 12.º em todos os setores.
IA da fintech — Polo setorial
Guia completo de conformidade com o EU AI Act para sistemas de IA financeiros.
Artigo 9.º: Gestão de riscos para a fintech
Requisitos do sistema de gestão de riscos para a IA financeira.
Artigo 12.º: Conservação de registos para a HR Tech
Registo de decisões para sistemas de IA de emprego.
Como o Scanara ajuda
O Scanara automatiza a conformidade com o Regulamento de IA do código ao dossiê. Ligue os seus repos GitHub e obtenha relatórios de conformidade em minutos.