Lista de verificação de conformidade com IA para líderes de experiência do cliente (CX) em setores regulamentados

Um avaliador não pergunta se a sua IA é segura. Ele pede que você mostre o que foi dito ao cliente, por quê e de qual fonte essa informação veio. Se você não conseguir, a política afixada na parede não vai adiantar nada.

Uma lista de verificação de conformidade de IA para líderes de experiência do cliente (CX) é um conjunto de requisitos que uma implantação de IA voltada para o cliente deve cumprir antes de poder ser justificada perante um órgão regulador, abrangendo rastreabilidade, governança, tratamento de dados, supervisão humana e validação contínua.

Essa lista de verificação faz a diferença entre uma implantação que resiste a uma análise e outra que só resiste a uma demonstração.

Pontos principais

• Uma lista de verificação de conformidade de IA abrange as evidências que um órgão regulador ou auditor realmente solicitará: o que a IA disse, por que disse isso, de qual fonte veio a informação e quem poderia anular essa decisão.
• “Seguro” e “auditável” são padrões diferentes. “Seguro” significa que a IA não causará danos. “Auditável” significa que é possível comprovar a um órgão regulador o que aconteceu e por quê.
• A maioria das falhas de conformidade é de natureza arquitetônica. Uma “caixa preta” com um registro de auditoria anexado ainda não consegue mostrar o caminho da decisão por trás de qualquer resposta específica.
• Quando cada resposta pode ser rastreada até uma fonte controlada, a precisão e a auditabilidade provêm da mesma fonte, combinando uma precisão de +98% com um registro completo da conversa.
• Veja como é um fluxo de decisão de IA auditável em produção. Agende uma demonstração.

O que é uma lista de verificação de conformidade com IA?

Uma lista de verificação de conformidade de IA é um conjunto estruturado de requisitos que um sistema de IA voltado para o cliente deve cumprir antes de poder ser implantado e defendido em um ambiente regulamentado.

Abrange rastreabilidade, governança, tratamento de dados, supervisão humana e validação contínua.

Não se trata de uma lista de verificação de preparação para a IA, que aborda a preparação organizacional: qualidade dos dados, gestão de mudanças e métricas de sucesso.

A prontidão se refere à sua preparação para a implantação. A conformidade se refere à sua capacidade de defender o que foi implantado.

Por que “seguro” não é o padrão aplicado pelos órgãos reguladores

Os termos “seguro” e “auditável” são usados como se tivessem o mesmo significado. Mas não têm.

“Segura” significa que a IA não causará danos. Essa é uma intenção do projeto.

“Auditável” significa que você pode comprovar a um órgão regulador o que foi dito e por quê. Trata-se de um padrão probatório, aquele aplicado em uma auditoria.

Um aviso de transparência informando aos clientes que estão se comunicando com uma IA é uma boa prática. Isso não constitui prova. Somente o caminho da decisão explica por que uma resposta específica foi dada, e é para isso que serve a governança do tipo “caixa de vidro ”.

O panorama regulatório pelo qual os líderes de CX são agora responsáveis

Os líderes de CX agora são responsáveis por estruturas que antes eram de competência exclusiva dos departamentos jurídico e de risco. É preciso ter consciência prática, e não apenas uma função de conformidade.

A Lei da IA da UE estabelece obrigações para as IA de maior risco e voltadas para o cliente, incluindo transparência e supervisão. O Artigo 30 do GDPR trata dos registros de tratamento e da localização dos dados para operações na UE.

No setor de serviços financeiros, as expectativas do CFPB, do OCC e do FDIC abrangem as comunicações com os clientes passíveis de auditoria e a consistência nas divulgações, em conformidade com as orientações do CFPB sobre decisões baseadas em IA. A SR 11-7 estabelece as expectativas relativas à documentação do risco de modelo.

Para empresas de SaaS B2B que atendem clientes sujeitos a regulamentação, os Critérios de Serviços de Confiança do SOC 2, especialmente a Integridade do Processamento e a Confidencialidade, são os aspectos mais importantes. Trata-se de uma explicação contextual, e não de orientação jurídica.

Lista de verificação de conformidade com IA: 10 requisitos

Dez requisitos tornam justificável a implantação de uma IA voltada para o cliente. Cada um deles gera evidências, não apenas intenções.

1. Cada resposta pode ser rastreada até uma fonte específica e regulamentada.
2. O conteúdo é versionado, de modo que você pode mostrar o que a IA sabia naquele momento.
3. O caminho de decisão para qualquer resposta específica pode ser reconstruído quando solicitado.
4. As restrições são aplicadas na camada de arquitetura, e não por meio de instruções de prompt.
5. O encaminhamento para um atendente é uma decisão planejada, registrada e passível de revisão.
6. As alterações na camada de conhecimento são controladas, aprovadas e registradas.
7. Os dados do cliente, os dados de recuperação e o contexto do modelo estão claramente separados.
8. As opções de residência de dados e de implantação se adaptam ao âmbito regulatório em que você atua.
9. Um ser humano pode revisar, anular e corrigir qualquer resultado gerado pela IA, sendo que a anulação fica registrada.
10. A precisão é validada continuamente após o lançamento, e não certificada uma única vez no momento da entrada em operação.

Os quatro grupos a seguir apresentam mais detalhes sobre eles.

Requisitos 1 a 3: Rastreabilidade e proveniência

As intenções vinculadas à fonte são o cerne do sistema. O conteúdo é pré-processado e gerenciado por meio da Engenharia do Conhecimento, de modo que cada resposta remete à fonte de onde provém, com um histórico completo da conversa.

O controle de versão de conteúdo responde à pergunta que os avaliadores realmente fazem. Não é o que a IA diz agora, mas o que ela disse naquela época e por quê.

A reconstrução do caminho de decisão mostra a intenção que foi correspondida e a fonte que respondeu, confirmando que nada foi gerado em tempo de execução.

Isso é a Inteligência Programada, impulsionada pela arquitetura dual-LLM da Encore, e é por isso que a precisão de +98% e a prevenção de alucinações são integradas de fábrica, e não adicionadas posteriormente.

Requisitos 4 a 6: Governança e controle

As barreiras de proteção devem ser arquitetônicas. Uma camada de aplicação de políticas restringe o que o sistema pode dizer, em vez de ser uma instrução de prompt que um modelo pode ou não seguir.

A escalação deve ser uma decisão regulamentada, registrada e passível de revisão, com transferência de informações em contexto completo, para que o cliente não precise se repetir. É aí que entra a assistência ao vivo por um agente.

As alterações no conhecimento devem passar por um processo de aprovação e auditoria, de modo que o registro indique quem alterou o quê, quando e por ordem de quem.

É nesse ponto que os programas da camada de políticas geralmente falham. A política existe, mas o sistema não consegue aplicá-la nem comprová-la.

Requisitos 7 a 8: Tratamento e localização dos dados

Os dados do cliente, os dados de recuperação e o contexto do modelo devem ser claramente separados. Essa separação permite determinar com precisão para onde um determinado dado foi enviado.

A implantação no local e na VPC, com configuração de residência por região, é importante para organizações que operam dentro de limites rígidos.

Isso está relacionado ao Artigo 30 do GDPR, que trata dos registros de tratamento de dados para operações de viagens e hospitalidade na UE, e às questões relacionadas à residência que geralmente são levantadas em primeiro lugar pelo CISO.

Requisitos 9 a 10: Supervisão humana e validação contínua

A supervisão humana é um requisito de conformidade, não um recurso de emergência. Uma pessoa deve ser capaz de revisar, anular e corrigir qualquer resultado, e a própria anulação deve ser registrada como evidência.

A autonomia em etapas é o caminho regulado. A função “Ler” observa e define parâmetros de referência sem agir. A função “Recomendar” apresenta sugestões para aprovação humana. A função “Agir” executa dentro de limites regulados, com registros de auditoria ao longo de todo o processo.

A validação contínua encerra esse processo. A precisão não é certificada uma única vez na entrada em operação, pois o conhecimento evolui e as questões mudam.

Testes de regressão, avaliação de precisão e integração com governança e conformidade mantêm o sistema atualizado. A camada de manutenção autônoma do Encore analisa padrões de escalonamento para preencher lacunas de conteúdo.

Por que a conformidade falha na camada de arquitetura, e não na camada de políticas

As organizações elaboram a política de transparência, realizam a análise jurídica e criam o registro de auditoria. Em seguida, durante uma inspeção, descobrem que o sistema não consegue explicar por que determinada resposta específica foi gerada.

Um registro de auditoria indica que ocorreu uma resposta. Ele não reconstrói o raciocínio. Isso é o único que satisfaz um examinador.

A inversão que prioriza o conhecimento é a solução. Quando o conhecimento estruturado e controlado vem em primeiro lugar e o modelo está a serviço dele, a precisão e a auditabilidade têm a mesma origem.

A conformidade passa a ser uma característica da arquitetura, e não uma camada adicionada posteriormente.

É também por isso que é difícil garantir a conformidade a posteriori. Uma abordagem de projeto que prioriza os modelos precisa reconstruir a explicabilidade após o fato, e a explicabilidade a posteriori é exatamente o que não se sustenta.

Se sua implantação atual não consegue reconstruir um único caminho de decisão, essa é a lacuna. Veja como é um processo auditável.

Aplicação da lista de verificação por setor

Serviços financeiros. Priorize a rastreabilidade e o controle de versões. Respostas rastreáveis até as intenções de origem regulamentadas são defensáveis em auditorias do CFPB, do OCC e do FDIC.

A consistência na divulgação se mantém no chat, nas chamadas de voz e na pesquisa, pois os três são alimentados pelo mesmo conjunto de conhecimentos regulamentados.

A documentação do modelo é gerada sem a necessidade de instrumentação personalizada. 

O BBVA transformou seu atendimento ao cliente com a IA da Inbenta, reduzindo em 84% o número de casos encaminhados para níveis superiores de atendimento.

Setor de viagens e hotelaria. Priorize o tratamento e a residência dos dados. Os registros de tratamento previstos no Artigo 30 do GDPR, a configuração da residência por região e os registros de interação auditáveis são processados em mais de 90 idiomas e em grandes volumes.

A GOL Airlines atende a mais de 10 milhões de consultas por ano em um mercado naturalmente multilíngue, e o Travel Club mantém registros auditáveis em todos os canais.

Jogos de azar e jogos online, além de SaaS B2B com clientes sujeitos a regulamentação. Priorizar a auditabilidade herdada.

Um fornecedor de SaaS que atua em setores regulamentados assume os requisitos de auditoria de seus clientes, e as intenções vinculadas à fonte atendem a essa exigência.

Os critérios de integridade e confidencialidade do SOC 2 correspondem aos controles arquitetônicos. A explicabilidade em ambiente multilocatário significa que cada cliente visualiza apenas seus próprios dados.

Como o Encore atende aos requisitos da lista de verificação

O Inbenta Encore foi desenvolvido para setores regulamentados como uma plataforma unificada de IA com agentes; portanto, a lista de verificação se refere à arquitetura, e não a complementos.

• Rastreabilidade e controle de versões. Cada resposta deriva de uma intenção de origem regulamentada e com controle de versões, com um histórico completo de auditoria sobre como foi produzida. A defensabilidade regulatória é incorporada de forma integrada, e não implementada posteriormente.
• Barreiras de proteção arquitetônicas. Uma camada de aplicação de políticas restringe o que o sistema pode expressar, de modo que o controle e a evidência são uma única coisa.
• Isolamento de dados. Os dados dos clientes, os dados de recuperação e o contexto do modelo permanecem separados, com opções de localização no local, na VPC e por região.
• Escalação controlada. A assistência ao vivo por um agente faz com que a transferência seja feita com todo o contexto, registrada e passível de revisão, de modo que a supervisão humana seja comprovada, e não presumida.
• Validação contínua. As estruturas de teste de IA abrangem testes de regressão, avaliação de precisão e integração com governança e conformidade, e uma camada de manutenção autônoma corrige lacunas de conteúdo após o lançamento.
• Cobertura de canais. O Kit de Ferramentas de Experiência do Cliente (CX) com tecnologia de IA utiliza as mesmas respostas padronizadas em chat, voz e pesquisa, garantindo assim a consistência nas informações fornecidas em todos os canais.
• Precisão baseada no conhecimento. A Inteligência Programada, impulsionada pela arquitetura de LLM duplo da Encore, atinge mais de 98% de precisão em mais de 90 idiomas e mais de 850 integrações corporativas, com uma implantação mais de 75% mais rápida.

Nada disso, por si só, garante que uma organização esteja em conformidade. Isso fornece a arquitetura e as evidências necessárias para defender o que você implementa.

O Inbenta Encore é uma plataforma unificada de IA com agentes e recebeu o prêmio TSIA Star Award na categoria “Inovador do Ano em Sucesso Digital do Cliente”.

É mais fácil integrar a conformidade desde o início do que adicioná-la posteriormente. Veja o fluxo de decisões auditável em produção.

Perguntas frequentes

O que deve constar em uma lista de verificação de conformidade de IA para a experiência do cliente?

Deve abranger as evidências solicitadas por um órgão regulador: rastreabilidade até uma fonte controlada, controle de versões do conteúdo, reconstrução do caminho de decisão, limites arquitetônicos, registros de escalonamento, alterações controladas no conhecimento, separação e residência de dados, registro de intervenções manuais e validação contínua. Cada item deve gerar evidências.

Qual é a diferença entre IA segura e IA auditável?

“Seguro” significa que a IA não causará danos, o que é uma meta de projeto. “Auditável” significa que é possível comprovar a um órgão regulador o que foi dito e por quê, o que constitui um padrão probatório. Um sistema pode ser seguro e, mesmo assim, ser reprovado em uma auditoria se não for capaz de reconstruir o caminho decisório por trás de uma resposta.

A Lei da IA da UE se aplica à IA utilizada no atendimento ao cliente?

Sim, dependendo de como o sistema é utilizado e de sua classificação de risco. A IA voltada para o cliente implica obrigações de transparência e supervisão humana, e os usos de maior risco acarretam mais obrigações. Este é um contexto geral, não uma orientação jurídica; sua equipe de conformidade deve mapear sua implantação de acordo com as obrigações relevantes.

Como provar a um órgão regulador o que uma IA disse e por quê?

Com um caminho de decisão, não apenas um registro de auditoria. Você mostra a intenção que correspondeu, a fonte versionada que respondeu, se uma pessoa revisou ou alterou a resposta e o que o cliente recebeu. Isso é possível quando as respostas são recuperadas de um conhecimento regulamentado e vinculado à fonte, em vez de serem geradas em tempo de execução.

Quem é responsável pela conformidade com IA em um contact center: a equipe de experiência do cliente (CX) ou a equipe de conformidade?

Ambos, e é por isso que esta lista de verificação foi elaborada para ser compartilhada. A equipe de CX é responsável pela implantação; as equipes de risco e conformidade são responsáveis pela norma à qual ela deve se submeter. Os requisitos aqui apresentados constituem o ponto de encontro, de modo que a arquitetura produza as evidências necessárias para a conformidade.

É possível adaptar uma implantação de IA já existente para que esteja em conformidade?

Em parte, mas é difícil quando o sistema adota a abordagem “modelos em primeiro lugar”, pois a explicabilidade precisa ser reconstruída a posteriori, e as explicações pós-fato raramente se sustentam. Uma arquitetura que prioriza o conhecimento torna a conformidade uma propriedade do projeto, sendo mais fácil incorporá-la desde o início do que adicioná-la posteriormente.