Explicabilidade de modelos de risco: IA auditável em 2026

Em 2026, explicar por que um modelo negou crédito deixou de ser cortesia ao cliente e passou a ser obrigação legal com multa. A partir de 2 de agosto de 2026, o EU AI Act torna a explicabilidade de sistemas de pontuação de crédito um requisito vinculante, com penalidades de até 35 milhões de euros ou 7% do faturamento global. No Brasil, o Art. 20 da LGPD já garante revisão de decisões automatizadas, e a Nota Técnica nº 12/2025 da ANPD sinaliza regulação específica. A tese deste artigo: explicabilidade só é defensável quando o dado de entrada é rastreável.

O que é explicabilidade de modelos de risco — definição

Unit21, 2026; LGPD Art. 20; ANPD NT 12/2025

Explicabilidade (XAI, do inglês explainable artificial intelligence) é a capacidade de um modelo estatístico ou de aprendizado de máquina de revelar, para cada decisão individual, quais variáveis a influenciaram e em que direção. Não se confunde com transparência de código-fonte. Um modelo pode ser tecnicamente aberto e ainda assim incompreensível; e pode ser proprietário e, mesmo assim, produzir uma explicação legível por humanos sobre por que negou um limite de crédito a uma empresa.

A distinção importa porque a régua regulatória não pede o algoritmo: pede a razão. A própria Migalhas resume que a obrigação da LGPD "não requer abertura do código-fonte, mas sim a tradução dos fatores determinantes" da decisão. O desafio operacional é justamente essa tradução: converter pesos de um modelo em frases que um diretor de crédito, um titular de dados ou um auditor da Autoridade Nacional de Proteção de Dados (ANPD) consigam contestar.

"Todo sistema assistido por IA deveria produzir uma cadeia de raciocínio que mostre quais dados o sistema considerou, quais fatores influenciaram o resultado e por que chegou àquela conclusão." — síntese dos requisitos de rastreabilidade e explicabilidade do EU AI Act para sistemas de alto risco (Unit21, 2026).

Por que 2026 é o ano de virada

Três relógios regulatórios convergem. O primeiro é europeu e tem data exata. Sistemas de pontuação de crédito estão classificados como alto risco no Anexo III do EU AI Act, e as obrigações para essa categoria passam a ser plenamente exigíveis em 2 de agosto de 2026 (fonte: Unit21, 2026, unit21.ai). A partir dessa data, explicabilidade, supervisão humana e auditabilidade deixam de ser boas práticas e viram requisito jurídico. Quem opera ou exporta para a União Europeia já está dentro do escopo.

O segundo relógio é o do risco de sanção. A não conformidade com as regras de alto risco do EU AI Act pode custar até 35 milhões de euros ou 7% do faturamento global anual, o que for maior (fonte: Unit21, 2026, unit21.ai). E a responsabilidade não se transfere ao fornecedor: a instituição que adquire um modelo opaco de terceiros responde como deployer pelo descumprimento. "Você não pode dizer ao regulador que o modelo do seu fornecedor é opaco e não há nada a fazer", resume a mesma análise.

O terceiro relógio é brasileiro. O Art. 20 da LGPD garante ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo a definição de perfil de crédito. A Nota Técnica nº 12/2025/CON1/CGN/ANPD indicou o caminho para regular o Art. 20 e sugere graduar o nível de explicabilidade exigido conforme o tipo de decisão (fonte: Lefosse, 2026, lefosse.com). O tema integra o Item 7 da Agenda Regulatória 2025-2026 da ANPD. Em paralelo, o PL 2338/2023, marco legal da IA, foi aprovado no Senado em dezembro de 2024 e segue em tramitação na Câmara em 2026, com votação adiada por falta de consenso (fonte: KLA Law, 2026, klalaw.com.br).

SHAP e feature importance: o motor técnico da explicação

Quando o modelo é linear, a explicação é trivial: o coeficiente de cada variável já é a explicação. O problema nasce com modelos não lineares de alto desempenho — gradient boosting, florestas aleatórias, redes neurais — que melhoram a acurácia preditiva ao custo da opacidade. É aí que entram as técnicas de interpretabilidade post-hoc, aplicadas após o treino para decompor o que o modelo aprendeu.

SHAP (SHapley Additive exPlanations) atribui a cada variável uma contribuição numérica para uma predição específica, com base nos valores de Shapley da teoria dos jogos. A propriedade que torna o SHAP relevante para regulação é a aditividade: a soma das contribuições de todas as variáveis reconstrói exatamente a diferença entre a predição e a média do modelo. Isso permite tanto explicações globais (quais variáveis mais pesam no portfólio) quanto locais (por que esta empresa específica foi negada).

A literatura de 2025 documenta que os valores de Shapley satisfazem critérios de acurácia local, tratamento de dados ausentes e consistência, incorporando interações entre variáveis de forma mais confiável que métodos alternativos (fonte: Journal of the Operational Research Society, 2025, tandfonline.com). Pesquisa de 2025 também mostra como o SHAP "constrói uma ponte entre o desempenho de modelos de ensemble e a aceitação regulatória sob Basileia III e o GDPR" (fonte: arXiv, 2025, arxiv.org).

Feature importance e seus limites

Feature importance (importância de variáveis) ranqueia, no nível do modelo inteiro, quais atributos mais contribuem para o poder preditivo. É útil para governança — responde "o modelo depende demais de qual variável?" — mas não explica decisões individuais. Para o cliente que teve crédito negado, a importância média global não diz nada; ele precisa da explicação local que o SHAP fornece.

Há uma armadilha técnica que diretores de risco precisam conhecer: o SHAP não é invariante ao portfólio. Estudo de 2025 no Journal of Risk Model Validation alerta que as explicações podem mudar mesmo quando as características do cliente permanecem iguais, porque dependem da distribuição da base de referência (fonte: Risk.net / Journal of Risk Model Validation, 2025, risk.net). Para o regulador, uma explicação que oscila sem que o caso mude é um problema de auditabilidade. Estudo correlato de 2025 sobre estabilidade do SHAP em modelos de default de cartão reforça a necessidade de monitorar essa estabilidade ao longo do tempo (fonte: MDPI Risks, vol. 13, 2025, mdpi.com).

O elo que ninguém vê: dado rastreável sustenta a explicação

Aqui está a tese central. Uma explicação SHAP é tão confiável quanto a procedência do dado que entrou no modelo. Se o sistema informa que o crédito foi negado porque "a empresa tem restrição em órgão de proteção ao crédito", essa frase só é defensável se for possível responder, sob auditoria: de qual fonte veio o registro de restrição? Em que data? Qual a base legal do tratamento? O dado ainda está vigente?

Sem essa cadeia de proveniência, a explicabilidade vira teatro. O modelo aponta uma variável, mas a instituição não consegue provar que o valor daquela variável era correto, atual e licitamente obtido. É o ponto cego que conecta XAI a qualidade de dado cadastral. A própria ConJur observa que, na ausência de regulação consolidada, muitas empresas adotam protocolos vagos em que a "revisão" do Art. 20 se reduz a reiterar a decisão do sistema, sem reconsideração real (fonte: ConJur, 2026, conjur.com.br).

A auditabilidade de um modelo de risco, portanto, se decompõe em três camadas que precisam estar todas íntegras:

1. Proveniência do dado de entrada — origem, data, base legal e vigência de cada atributo que alimenta o modelo (cadastro de pessoa jurídica, vínculos societários, restrições, faturamento presumido).
2. Rastreabilidade da transformação — como o dado bruto virou variável: normalização, agregação, derivação. Cada passo registrado e reproduzível.
3. Explicação da decisão — o SHAP ou método equivalente que atribui peso a cada variável na decisão específica, com supervisão humana documentada.

É a camada um que costuma faltar. Modelos elegantes são treinados sobre dados de procedência incerta, e a explicação produzida no fim da cadeia herda essa fragilidade. Para um diretor de risco PJ, isso significa que investir em XAI sem investir em rastreabilidade de dado cadastral é construir o telhado antes da fundação.

A explicação só protege a instituição se o dado que a sustenta puder ser reconstruído sob auditoria. XAI sem proveniência de dado é uma explicação que não se defende.

O que um diretor de risco deve operacionalizar em 2026

A transição de "modelo preciso" para "modelo auditável" exige decisões concretas, não declarações de intenção. Quatro frentes ordenam o trabalho:

• Inventário de modelos por nível de risco. Mapear quais modelos tomam decisões que afetam titulares — crédito, limite, recusa, precificação de risco — e classificá-los pela régua de alto risco. Esses entram primeiro na fila de explicabilidade.
• Explicação local por decisão, não só global. Garantir que cada negativa gere um registro individual dos fatores determinantes, em linguagem acessível, pronto para responder a um pedido de revisão do Art. 20.
• Linhagem de dados auditável. Conectar cada variável do modelo à sua fonte cadastral, com data e base legal. É o que transforma a explicação em prova.
• Supervisão humana documentada. O EU AI Act e a NT 12/2025 convergem: decisão de alto risco exige revisão humana efetiva, registrada, e não um carimbo automático sobre a saída do modelo.

O custo de não fazer não é só a multa europeia. No mercado brasileiro de dado PJ, a entidade que não consegue explicar e rastrear suas decisões automatizadas perde a condição de fornecedor confiável para instituições financeiras que, elas próprias, estão sob a régua da LGPD e dos princípios supervisionados pela ANPD.

Perguntas frequentes

Explicabilidade exige abrir o código-fonte do modelo?

Não. A obrigação, tanto sob a LGPD quanto sob o EU AI Act, é traduzir os fatores que determinaram a decisão em linguagem compreensível, não revelar o algoritmo. É possível ser proprietário e explicável ao mesmo tempo; e ser de código aberto e ainda assim incompreensível.

Qual a diferença entre SHAP e feature importance?

SHAP explica decisões individuais, atribuindo a contribuição de cada variável para uma predição específica — útil para responder por que um cliente foi negado. Feature importance opera no nível do modelo inteiro, ranqueando quais variáveis mais pesam globalmente — útil para governança, mas insuficiente para explicar um caso individual.

O que muda concretamente em 2 de agosto de 2026?

Os requisitos do EU AI Act para sistemas de alto risco, incluindo pontuação de crédito do Anexo III, tornam-se plenamente exigíveis. Explicabilidade, supervisão humana e auditabilidade passam de boa prática a obrigação legal, com multas de até 35 milhões de euros ou 7% do faturamento global (fonte: Unit21, 2026).

Por que rastreabilidade de dado é pré-requisito da explicabilidade?

Porque uma explicação aponta variáveis de entrada como causa da decisão. Se a instituição não consegue provar a origem, a data, a vigência e a base legal do dado daquela variável, a explicação não se sustenta sob auditoria. XAI confiável depende de dado de procedência conhecida.

A LGPD já obriga revisão de decisão de crédito automatizada?

Sim. O Art. 20 garante ao titular o direito de solicitar revisão de decisões tomadas unicamente por tratamento automatizado que afetem seus interesses, incluindo perfil de crédito. A Nota Técnica nº 12/2025 da ANPD sinaliza regulação que deve graduar o nível de explicabilidade conforme o tipo de decisão.

Posso transferir a responsabilidade pela opacidade ao fornecedor do modelo?

Não, sob o EU AI Act. A instituição que opera o modelo (deployer) responde por descumprimento dos requisitos de alto risco mesmo que o modelo venha de terceiros. Adquirir um modelo opaco não isenta de responsabilidade.

Leia também no DataHub

• Backtesting de modelos de IA de risco: métricas, drift, fairness e auditoria — Tese & IA agêntica
• AI System Card: governança pública como diferencial em dados de risco — Tese & IA agêntica
• Batch vs tempo real: quando consultar dados de risco PJ em 2026 — Tese & IA agêntica
• Decision Intelligence: MCP, Knowledge Graph e RAG no risco PJ — Tese & IA agêntica
• Knowledge Graph de CNPJ: o grafo societário como ativo de risco — Tese & IA agêntica

Fontes

1. Unit21 — EU AI Act 2026 FAQs for Fraud and AML Teams (2026)
2. EU Artificial Intelligence Act — Annex III: High-Risk AI Systems (2026)
3. Lefosse — ANPD publica nota técnica sobre decisões automatizadas em IA (2026)
4. ConJur — Da norma à fiscalização: como a ANPD aplica princípios da LGPD (2026)
5. KLA Law — Marco Legal da Inteligência Artificial aprovado no Senado (PL 2338) (2026)
6. Journal of the Operational Research Society — ML explainability in banking: the case of SHAP (2025)
7. Journal of Risk Model Validation (Risk.net) — Shapley values as an interpretability technique in credit scoring (2025)
8. MDPI Risks — SHAP Stability in Credit Risk Management (2025)
9. arXiv — A Five-Dimensional Framework for Evaluating Explainable AI in Credit Risk (2025)
10. Migalhas — A explicabilidade como diretriz para as decisões automatizadas (2025)