Auditoria automatizada em Compliance e LGPD com BERT

A auditoria automatizada em Compliance e LGPD com BERT ganhou espaço porque promete ler volumes altos de contratos, políticas, e-mails e registros com menos esforço manual. Em equipes pressionadas por prazos, o apelo é claro: reduzir filas, localizar cláusulas sensíveis e priorizar achados em minutos.

Mas a mesma arquitetura que identifica padrões também pode amplificar erros quando o contexto jurídico é ambíguo. Em Compliance, isso importa ainda mais, porque uma falsa negativa pode esconder uma infração e uma falsa positiva pode gerar bloqueio indevido, retrabalho e desgaste regulatório.

Por que BERT entrou na auditoria de Compliance

BERT se destaca em tarefas de classificação textual, extração de entidades e detecção de similaridade semântica. Em auditorias, isso ajuda a mapear cláusulas de retenção, bases legais, menções a dados sensíveis e inconsistências entre políticas internas e documentos operacionais.

Na prática, um time pode usar BERT para ranquear 10 mil documentos e destacar os 200 com maior probabilidade de conter risco. Esse recorte economiza horas de leitura e melhora a cobertura da revisão. Um estudo da Google sobre BERT mostrou ganhos consistentes em NLP, o que explica sua adoção em fluxos corporativos.

Exemplo de uso

Uma empresa pode treinar ou ajustar um modelo para detectar cláusulas de compartilhamento internacional de dados. O sistema aponta trechos com termos como transferência, operador, controlador e retenção, e envia apenas os casos críticos para o jurídico.

Onde estão os limites éticos da auditoria automatizada

O primeiro limite é a opacidade. Modelos baseados em Transformer não explicam, de forma nativa, por que classificaram um trecho como risco alto. Em auditoria, isso é delicado, porque cada achado precisa ser justificável para o DPO, para o jurídico e, em certos casos, para a ANPD.

O segundo limite é o viés de dados. Se o conjunto de treinamento vier só de contratos de uma área, o sistema pode errar em documentos de RH, compras ou marketing. O problema piora em português jurídico, onde a ambiguidade é alta e pequenas variações mudam o sentido.

Auditoria automatizada sem governança vira só velocidade para errar mais depressa.

Dado concreto

Em 2024, a CNJ voltou a reforçar diretrizes sobre uso responsável de IA no setor público, com foco em supervisão humana e transparência. Esse tipo de orientação dialoga diretamente com auditoria automatizada, que não pode operar sem trilha de decisão e validação humana.

LGPD exige base legal, minimização e rastreabilidade

A LGPD não proíbe IA, mas exige disciplina. O tratamento precisa ter base legal, finalidade definida, necessidade comprovada e retenção compatível. Em auditoria automatizada, isso significa coletar só o necessário, limitar acesso e registrar cada etapa do processamento.

Se o pipeline usa documentos com dados pessoais, a empresa precisa saber onde os arquivos ficam, por quanto tempo são guardados e quem pode acessá-los. A ANPD já publicou guias e materiais sobre agentes de tratamento, incidentes e boas práticas, reforçando a necessidade de governança no ciclo de vida do dado.

Exemplo prático

Uma auditoria em contratos pode exigir anonimização parcial de CPF, e-mail e telefone antes do fine-tuning. Sem isso, o modelo pode memorizar trechos sensíveis e expor informação em logs, prompts ou relatórios internos.

Falhas técnicas que geram risco regulatório

O BERT pode errar por drift, vocabulário específico ou mudança de contexto. Uma cláusula antes segura pode se tornar problemática após atualização normativa, e o modelo continuará classificando com base em padrões antigos. Isso é comum quando o sistema não passa por revalidação periódica.

Outro problema é a taxa de erro assimétrica. Se o modelo acerta 95% no geral, mas falha justamente nos 5% de casos sensíveis, o risco regulatório continua alto. Em Compliance, a métrica relevante não é só acurácia; é recall de risco crítico, precisão por classe e taxa de falso negativo.

Técnica recomendada

Combine BERT com regras determinísticas, validação por amostragem e revisão em dupla para casos críticos. Em cenários mais complexos, use RAG para consultar políticas atualizadas e evitar decisões baseadas em documentos desatualizados.

Em Compliance, o modelo pode sugerir; a responsabilidade continua sendo humana.

Governança: o que precisa existir antes de escalar

Antes de escalar a auditoria automatizada, a empresa precisa de um framework mínimo: política de uso, matriz de responsabilidade, logs imutáveis, critérios de escalonamento e revisão humana obrigatória para achados de alto risco. Sem isso, a automação vira um atalho operacional sem lastro jurídico.

Também vale definir model cards, datasheets e testes de robustez. Esses artefatos documentam origem dos dados, limitações, métricas e cenários em que o modelo não deve ser usado. Em auditoria, documentação vale tanto quanto performance.

Caso real de mercado

Setores regulados, como bancos e saúde, já adotam pipelines de revisão semiautomática para triagem documental. A prática mais segura é simples: o modelo sugere, o analista valida e o registro final fica auditável. Isso reduz erro operacional sem transferir responsabilidade para a máquina.

Checklist editorial para uma implementação segura

Uma implementação madura começa com escopo claro. O modelo deve atuar em tarefas de baixa ou média criticidade, como triagem, classificação e priorização. Decisões finais, bloqueios e sanções precisam permanecer sob controle humano.

Depois, entram os testes: validação com documentos reais, avaliação por perfil de dado, revisão de vieses e simulação de incidentes. Um bom parâmetro é medir desempenho por categoria, e não só no agregado. Se o sistema cai em contratos de terceiros ou textos longos, isso precisa aparecer no relatório.

Dados que ajudam na decisão

Auditorias internas costumam trabalhar com centenas ou milhares de documentos por ciclo. Quando o volume passa de 5 mil itens, a automação de triagem deixa de ser luxo e vira necessidade operacional. Ainda assim, a regra segue a mesma: eficiência sem governança produz risco acumulado.

Sobre o autor

pettrus

Editor IAIRON — Inteligência Artificial aplicada ao mercado brasileiro.