10 arquiteturas de risco, fraude e conformidade

• → proposta completa
• → regra aplicável + precedente
• → itens obrigatórios
• → dossiê com divergências
• → decisão assinada
• → o que a máquina conferiu

• Conceito de arquitetura
• IA e machine learning
• Fora da AWS
• Gestão e governança

Em subscrição, o tempo está em ler e conferir — e é isso que se automatiza. A decisão de risco permanece humana, e o registro separa o que a máquina conferiu do que a pessoa decidiu.

1. O gargalo é leitura, e é o que se automatiza. Resumir documento, conferir presença de item e localizar precedente. A decisão de aceitar o risco continua sendo do subscritor.
2. Lista de conferência explícita. "Analise a proposta" não é executável. A lista de itens obrigatórios é o que transforma leitura em verificação auditável.
3. Precedente é o que acelera a decisão difícil. Casos parecidos já decididos são o material mais útil e o mais mal indexado nas seguradoras.
4. Divergência é a saída, não o resumo. O subscritor não precisa do resumo do que está certo. Precisa da lista do que falta e do que conflita.
5. Registrar o que a máquina conferiu. A auditoria vai perguntar o que foi verificado automaticamente e o que foi verificado por pessoa. São responsabilidades diferentes.

• → atributos da transação
• → escore
• → atributos que mais pesaram
• → estrutura aprovada pelo jurídico
• → justificativa
• → escore + justificativa

• IA e machine learning
• Conceito de arquitetura
• Gestão e governança

Separar cálculo de explicação é o que torna a decisão defensável: o escore é reproduzível e decide; o texto traduz os atributos que pesaram, dentro de linguagem aprovada.

1. O escore é a decisão, e ele é reproduzível. Mesmo insumo, mesmo escore, sempre. É essa propriedade que permite defender a decisão — e é justamente o que geração livre não tem.
2. A explicação parte da importância dos atributos. Não é o modelo de linguagem adivinhando o motivo: é ele traduzindo quais atributos pesaram, que vêm do modelo de risco.
3. Linguagem aprovada, não livre. Justificativa de recusa tem implicação legal. O modelo preenche uma estrutura revisada pelo jurídico, não escreve do zero.
4. Faixas com análise humana no meio. Recusa automática de caso limítrofe gera contestação. A faixa intermediária é onde a analista decide.
5. Registrar escore E texto. Meses depois, a pergunta é sobre aquele caso. Sem os dois, não há como mostrar que a justificativa correspondia ao cálculo.

• → histórico bruto
• → treino
• → versão treinada
• → antes de promover
• → aprovado
• → distribuição em produção
• → retreino

• Armazenamento
• Conceito de arquitetura
• IA e machine learning

Modelo próprio é a exceção que se justifica quando o dado é o diferencial. O trabalho que vem com ele — atributos versionados, registro, avaliação de disparidade e monitoramento de desvio — é permanente, não do projeto.

1. O dado justifica o treino — não a ambição. Treinar do zero se paga quando o dado é o diferencial e não existe modelo de mercado. Fora disso, é custo alto com resultado pior.
2. Atributos versionados junto do modelo. Modelo servido com atributo calculado diferente do treino é a causa clássica de degradação silenciosa em produção.
3. Registro com dado, métrica e aprovação. Em crédito, a pergunta do regulador é sobre a versão que decidiu aquele caso. O registro é o que responde.
4. Disparidade avaliada antes de promover. Modelo de crédito tem consequência sobre pessoas. Medir por grupo é requisito, e é mais fácil antes de publicar que depois de contestado.
5. Desvio de distribuição é o alarme de longo prazo. O comportamento do público muda. Sem monitorar o desvio, o modelo envelhece sem sintoma até o prejuízo aparecer.

• → chamada pela rede privada
• → sem internet
• → autoriza a ação
• → teto da conta
• → quem invocou qual modelo
• → chave própria no que se aplica

• Compute
• Rede e entrega
• Segurança e identidade
• IA e machine learning
• Gestão e governança

Rede privada e autorização resolvem problemas diferentes, e passar na revisão de rede não é passar na de acesso. Permissão por identificador de modelo e política de organização como teto são o que fecha a segunda.

1. Caminho e autorização são controles independentes. Endpoint privado impede o tráfego de sair. Ele não decide quem pode chamar o quê — e essa confusão é o falso conforto mais comum nesses projetos.
2. Permissão por modelo, não por serviço. Autorizar "invocar modelo" libera todos. Restringir por identificador de modelo é o que separa o aprovado do não aprovado.
3. Política de organização como teto. Ela nega no nível da conta, independente do que o administrador local conceda. É o controle preventivo que sobrevive a erro de configuração.
4. A trilha é a prova, não a intenção. Dizer que só o serviço X chama o modelo Y não é evidência. O registro de quem invocou o quê é.
5. Chave própria onde o requisito exige. Ela adiciona controle sobre o dado em repouso nos artefatos e nos registros. Não substitui nenhum dos dois controles anteriores.

• → resultado da avaliação
• → ação registrada
• → desvio conhecido
• → reavalia
• → desvio por controle
• → pacote de evidência

• Gestão e governança
• Compute
• Analytics
• Fora da AWS

Conformidade demonstrável é série temporal, não foto: avaliação a cada mudança, remediação do desvio conhecido e evidência mapeada ao controle. Arrumar na semana anterior responde à pergunta errada.

1. Avaliar a cada mudança, não a cada ano. A configuração muda em terça-feira. Avaliação contínua transforma desvio de meses em desvio de minutos.
2. Evidência mapeada ao controle. Registro solto não é evidência: precisa estar ligado ao controle que ele demonstra. É a diferença entre ter dado e ter prova.
3. Remediar o desvio conhecido automaticamente. Se a correção é sabida, esperar alguém agir é escolher ficar em desvio. Remediação automática encurta a janela.
4. O painel mostra tendência, não foto. Desvio por controle ao longo do tempo revela o processo que está falhando — que é o achado que a auditoria realmente cobra.
5. O pacote de evidência é o produto. Auditor pedindo evidência e recebendo acesso ao console é retrabalho. O pacote pronto é o que encurta a auditoria de semanas para dias.

• → saída antes de sair
• → identificador do modelo
• → referência da versão
• → trechos e resposta
• → humano ou automático
• → grava imutável
• → ciclo de vida

• IA e machine learning
• Compute
• Conceito de arquitetura
• Segurança e identidade
• Armazenamento

Reconstituir uma decisão exige capturar, no momento dela, modelo e versão, versão do prompt, contexto, saída e ator. Nenhuma dessas informações é recuperável meses depois.

1. Registrar no momento, não depois. Reconstituir a partir de registros dispersos falha: o prompt já mudou, o acervo já mudou. A captura acontece na decisão.
2. Versão do modelo é o campo mais esquecido. O fornecedor atualiza; o comportamento muda. Sem a versão, não há como explicar por que hoje o resultado seria outro.
3. Prompt por referência versionada. Colar o texto do prompt em cada registro é caro e diverge. Referência a uma versão gerenciada aponta o texto exato.
4. Contexto recuperado faz parte da decisão. A resposta dependeu dos trechos que entraram. Sem eles, o registro mostra a saída sem mostrar a base.
5. Retenção é decisão, com prazo. Guardar para sempre é risco e custo; guardar de menos é não ter resposta. O prazo sai da exigência aplicável.

• → aplica no nível da conta
• → tenta habilitar
• → NEGA antes de acontecer
• → se passar, detecta
• → gasto por hora
• → relata

• Segurança e identidade
• Conceito de arquitetura
• Fora da AWS
• IA e machine learning
• Gestão e governança

O incidente típico de custo em IA é de configuração, não de código — e quem o causa tinha permissão. Negação condicional por região e modelo impede; alarme sobre gasto de período curto avisa cedo o que passou.

1. Preventivo nega; detectivo avisa depois. A negação condicional impede o gasto existir. O alarme de custo informa que ele já existiu — e a diferença é a fatura.
2. A condição é região E modelo. Negar região inteira quebra serviços legítimos. A condição precisa ser específica para ser adotável.
3. O teto vale mesmo com permissão local. É o que distingue política de organização de política de conta: o administrador local não consegue conceder o que o teto nega.
4. Detecção continua necessária. Nem tudo cabe em negação — modelo novo, região nova, exceção aprovada. A detecção cobre o que a prevenção não previu.
5. Alarme sobre gasto por período curto. Alarme sobre o acumulado do mês avisa quando já estourou. Sobre gasto por hora, avisa no dia em que começou.

• → texto com dado pessoal
• → entidades encontradas
• → guarda o original
• → texto redigido
• → resposta com marcador
• → reidrata

• Conceito de arquitetura
• IA e machine learning
• Compute
• Banco de dados

Redigir na entrada elimina de uma vez a exposição por resposta, registro, rastro e cache. Marcador estável preserva a coerência do texto, e o mapa reversível fica fora do contexto.

1. O que não entra não vaza. Por resposta, por registro, por rastro nem por cache. Redigir na entrada elimina quatro superfícies de exposição de uma vez.
2. Marcador estável preserva o sentido. Substituir por `[CLIENTE_1]` mantém a coerência do texto. Apagar o trecho produz contexto truncado e resposta pior.
3. O mapa fica fora do contexto. Se a correspondência viaja no prompt, a redação não redigiu nada. Ela mora em armazenamento próprio, com acesso restrito.
4. Reidratar só na entrega ao titular. A resposta ao próprio cliente pode conter o dado dele. O que não pode é o dado atravessar o modelo.
5. Detecção com tipo e posição. Saber que há um CPF e onde ele está é o que permite substituir sem destruir o restante do texto.

• → exigência aplicável
• → configura
• → regiões negadas
• → aceita o efeito
• → mitiga com capacidade

• Conceito de arquitetura
• IA e machine learning
• Segurança e identidade

Roteamento entre regiões é um ganho de disponibilidade que pode custar conformidade. A escolha precisa ser explícita, imposta por configuração e documentada — e a perda de disponibilidade, assumida no acordo.

1. A decisão é explícita e escrita. Deixar o padrão valendo é decidir por omissão — e ninguém sabe que decidiu. O documento é o que permite defender a escolha.
2. Restringir na configuração, não na intenção. O perfil de inferência limitado à região é o controle efetivo. Combinar não usar outra região não é controle.
3. Negar as outras regiões preventivamente. É o que impede alguém reabrir o transbordo meses depois sem saber do requisito.
4. A perda de disponibilidade é aceita, não ignorada. Sem transbordo, saturação regional vira indisponibilidade. Isso entra no acordo de nível de serviço com quem depende.
5. Capacidade reservada é a mitigação que resta. Se não se pode sair da região, garantir capacidade dentro dela é o caminho — e tem custo.

• → chamada do parceiro
• → só o endpoint publicado
• → operação permitida
• → autoriza
• → chamadas por parceiro

• Fora da AWS
• Rede e entrega
• Compute
• Segurança e identidade
• Gestão e governança

Compartilhar serviço com terceiro não exige juntar redes — e juntar redes concede alcance que ninguém consegue enumerar. Endpoint privado, contrato de API, credencial com validade e cota por parceiro.

1. Expor serviço, não rede. A ligação privada publica um endpoint. Interligar redes concede alcance a tudo que for roteável — e ninguém consegue enumerar o que isso significa.
2. O contrato limita as operações. Mesmo com o caminho restrito, o parceiro só pode as operações declaradas. Duas camadas, dois tipos de erro cobertos.
3. Credencial com escopo e validade. Credencial de parceiro sem prazo é a que sobra em produção depois do fim do contrato. Validade é parte do desenho.
4. Cota por parceiro. Sem cota, um parceiro consome a capacidade de todos. E o incidente parece falha do serviço, não excesso de um cliente.
5. Não precisar conhecer a rede do outro lado é a vantagem. Nenhuma coordenação de faixas de endereço, nenhuma rota. É o que torna esse desenho administrável com dezenas de parceiros.