AI para Diligência Devida de Fundos: Construindo um Grafo de Evidências a partir de DDQs, data rooms e chamadas

1. Trate a diligência devida como uma cadeia de evidências

A diligência devida de fundos é um processo decisório conduzido por evidências. O investidor pergunta se um gestor tem as pessoas, os processos, os controles, os incentivos, os recursos e o histórico de desempenho para executar a estratégia proposta dentro dos limites de risco acordados. A resposta raramente está contida em um único documento. Ela emerge de uma cadeia que liga uma declaração do gestor a registros comprobatórios, verificações independentes, julgamento do revisor, exceções e condições.

O ILPA DDQ 2.0 oferece uma estrutura de perguntas amplamente utilizada para mercados privados e um apêndice de documentos solicitados. Seu valor vai além da padronização. Ajuda a definir o que deve ser perguntado, quais materiais comprobatórios podem ser esperados e como um investidor pode comparar gestores. No entanto, um DDQ preenchido ainda é uma declaração do gestor. Um processo de diligência devida robusto testa declarações relevantes contra documentos constitutivos, contas auditadas, dados de portfólio, políticas, registros de prestadores de serviços, divulgações regulatórias, verificações de antecedentes e evidências de chamadas.

Uma pasta pode mostrar que uma política existe. Ela não mostra qual pergunta a política responde, se ela se aplica ao veículo proposto, se estava em vigor durante o período relevante, se a prática corresponde à política ou se outro documento a contradiz. Uma planilha pode rastrear solicitações, embora se torne difícil preservar a proveniência no nível do parágrafo, versões, relações entre entidades e o raciocínio do revisor à medida que o conjunto de evidências cresce.

Um grafo de evidências resolve o problema de relacionamento. Cada objeto importante recebe um identificador estável e cada conexão tem um tipo. Uma alegação pode ser sustentada por uma política, contraditada por uma transcrição de chamada e qualificada por uma carta lateral. Uma pessoa-chave pode exercer funções no gestor, no sócio comanditado, no comitê de investimentos e nas empresas do portfólio. Um controle de avaliação pode ser descrito no DDQ, regido por uma política e comprovado por atas do comitê. O grafo preserva essas distinções.

O grafo preserva a proveniência e separa declarações do gestor, registros de origem, constatações do revisor e decisões aprovadas.

Tabela 1. Objetos centrais do grafo de evidências

Identificadores estáveis e versões datadas permitem que o registro de diligência devida seja reproduzido após a aprovação.

2. Defina a ontologia de diligência devida antes de selecionar a tecnologia

Uma ontologia declara o que a equipe de diligência devida precisa saber e como os conceitos se relacionam. A tecnologia selecionada antes da ontologia frequentemente automatiza um processo inconsistente. O ponto de partida é uma taxonomia de perguntas que abrange organização, propriedade, governança, estratégia, equipe, histórico de desempenho, construção de portfólio, risco, avaliação, operações, conformidade, segurança cibernética, prestadores de serviços, sustentabilidade, termos legais, taxas, conflitos e relatórios.

A taxonomia deve distinguir uma entidade de um papel e um papel de uma pessoa. Uma sociedade gestora, sócio comanditado, consultor de investimentos, veículo de fundo, veículo de carried interest e empresa do portfólio podem ter proprietários e diretores sobrepostos. Uma pessoa pode ser uma pessoa-chave nos documentos do fundo, membro de comitê de votação e executivo de outra entidade. Essas relações importam para governança, conflitos, concentração e sucessão.

As declarações exigem estrutura própria. Uma afirmação de que o gestor nunca sofreu um incidente cibernético relevante tem um emissor, escopo da entidade, período, definição de materialidade e data. Sem esses atributos, evidências posteriores não podem ser comparadas de forma justa. Uma declaração sobre o histórico de desempenho bruto deve identificar estratégia, atribuição, moeda, data de avaliação, tratamento de alavancagem, taxas e status realizado. A ontologia deve armazenar a definição junto ao número.

Controles também precisam de estrutura. Uma política é uma declaração de desenho. Evidências de operação podem incluir aprovações, registros, amostras, atas, testes, incidentes e remediação. O grafo deve, portanto, conectar um objetivo de controle à política, ao responsável pelo controle, à evidência operacional, ao resultado do teste e à exceção. Isso impede que um documento de política seja tratado como prova de que o controle operou efetivamente.

A ontologia deve permanecer prática. Cada campo precisa de um uso para decisão, finalidade de relatório ou requisito de controle. Campos excessivos criam completude falsa e atrasam os revisores. Um dicionário controlado, um processo de mudança e um mapeamento para o DDQ permitem que o modelo evolua sem quebrar registros anteriores.

3. Construa um limite de ingestão que proteja a integridade da fonte

O corpus de diligência pode conter dados pessoais confidenciais, informações de empresas do portfólio, assessoria jurídica, dados de investidores e modelos comercialmente sensíveis. A ingestão, portanto, começa com autorização, classificação e acesso. A equipe deve documentar quais dados podem ser processados, onde podem ser armazenados, qual modelo ou serviço pode recebê-los, por quanto tempo são retidos e como são excluídos.

Cada arquivo recebido deve ser preservado em sua forma original com um hash criptográfico, horário de recebimento, local de origem e rótulo de acesso. Uma cópia de trabalho pode ser convertida para busca ou extração. O original permanece a âncora probatória. Reconhecimento óptico de caracteres, análise de planilhas, transcrição e conversão de documentos podem introduzir erros; o texto derivado deve manter uma referência à página, célula, slide ou timestamp de onde veio.

O controle de versão é central. Arquivos do data room podem ser substituídos sem histórico visível. Uma política pode ser carregada em várias versões. Um DDQ atualizado pode alterar uma resposta após uma contestação. O sistema não deve sobrescrever evidências anteriores. Deve registrar a substituição, identificar o que mudou e determinar se constatações anteriores exigem revisão.

Chamadas exigem governança informada. A equipe deve confirmar se a gravação ou a transcrição é lícita e acordada, distinguir o texto da transcrição das notas do revisor e manter timestamps. A atribuição de falante deve ser verificada para declarações relevantes. Uma nota concisa da chamada pode permanecer como registro autoritativo quando a gravação for inadequada.

Serviços de terceiros AI criam uma dependência adicional. Materiais da IOSCO e da FCA enfatizam responsabilização, competências, supervisão e risco de terceiros. O responsável pela diligência deve aprovar fornecedores, classes de dados permitidas, controles de segurança, termos contratuais, registro de logs, alterações de modelo, resposta a incidentes e arranjos de saída. Evidências sensíveis não devem ser enviadas a um serviço de consumidor sob uma conta individual.

Tabela 2. Campos de ingestão controlada e proveniência

O conteúdo derivado permanece vinculado à fonte imutável e às suas condições de acesso.

4. Mapeie as perguntas do DDQ para os requisitos de evidência

Uma matriz de cobertura de DDQ deve ir além de indicar se uma resposta foi recebida. Para cada pergunta, deve identificar a evidência esperada, a resposta do gestor, a cobertura da fonte, a conclusão do revisor, as exceções e o acompanhamento. Uma resposta completa pode permanecer sem suporte; um documento pode ser relevante sem responder à pergunta; e uma resposta pode ser internamente consistente e, ao mesmo tempo, conflitar com registros independentes.

A matriz começa pela materialidade. Questões que afetam a existência legal, o status regulatório, a propriedade, a dependência de pessoas-chave, a integridade do histórico de desempenho, a avaliação, a custódia, o controle de caixa, os conflitos, as sanções, a resiliência cibernética e os termos do fundo geralmente exigem revisão direta. Itens administrativos de menor risco podem usar verificação por amostragem. A materialidade deve ser aprovada e passível de ajuste quando um novo fato alterar o risco.

A cobertura deve usar estados separados. Recebido significa que o item solicitado chegou. Responsivo significa que responde à pergunta. Com suporte significa que a fonte fornece evidência para a afirmação. Atual significa que a evidência cobre o período relevante. Consistente significa que está de acordo com outras evidências materiais. Revisado significa que um profissional responsável inspecionou a fonte e registrou uma conclusão. Esses estados nunca devem ser reduzidos a um único percentual.

A matriz também pode identificar dependência de evidências. Várias respostas podem depender da mesma política ou do mesmo relatório de prestador de serviços. Se essa fonte estiver desatualizada ou fora do escopo, várias perguntas serão afetadas. O gráfico torna essa dependência visível e permite que a equipe atualize todas as constatações conectadas quando novas evidências chegarem.

Um indicador verde de recebimento não estabelece suporte, atualidade, consistência ou revisão humana concluída.

Tabela 3. Estados de cobertura e ação exigida do revisor

Cada estado é testável de forma independente e pode ser reportado por materialidade e frente de trabalho.

5. Use AI para tarefas de evidência delimitadas

AI é útil quando a tarefa é repetitiva, as evidências são volumosas e o resultado pode ser verificado. A classificação pode encaminhar um documento para uma frente de trabalho. A extração pode identificar nomes, datas, taxas, compromissos, prestadores de serviços, controles e termos definidos. A recuperação semântica pode destacar passagens relevantes para uma pergunta. A comparação pode evidenciar respostas de DDQ ou cláusulas de políticas alteradas. A resolução de entidades pode propor vínculos entre pessoas e veículos. A triagem de exceções pode classificar evidências ausentes ou contraditórias para revisão.

O sistema deve separar a recuperação da conclusão. Um modelo pode localizar passagens que discutem conflitos de avaliação. Não deve decidir que os conflitos estão adequadamente controlados sem um teste aprovado e julgamento humano. Um modelo pode calcular se as linhas do histórico de desempenho conciliam com os totais. Não deve determinar a qualidade da atribuição quando os papéis na transação, os direitos de predecessores ou as definições de estratégia permanecem disputados.

Prompts e esquemas devem ser versionados. Cada extração deve indicar o modelo, a configuração, a versão do prompt, o horário, os identificadores da fonte e o resultado de confiança ou validação. Resultados materiais precisam de citações no nível de página, parágrafo, célula ou carimbo de data/hora. Texto não fundamentado gerado pelo modelo deve ser excluído do grafo de evidências.

Verificações determinísticas devem ser usadas sempre que possível. Datas, totais, identificadores duplicados, colunas ausentes, erros de fórmula e conferência cruzada de totais são frequentemente melhor testados com código do que com texto gerado. AI pode explicar anomalias depois que o cálculo é preservado. Essa separação melhora a repetibilidade e reduz o risco de que uma linguagem fluente esconda um erro numérico.

Revisores humanos devem receber a passagem da fonte, o contexto ao redor, a extração proposta, o motivo da correspondência e quaisquer evidências conflitantes. As ações de revisão devem ser rápidas de registrar: aceitar, alterar, rejeitar, escalar ou solicitar evidências. O sistema aprende operacionalmente por meio de regras e templates controlados, não por mudanças invisíveis em um modelo sem governança.

6. Classifique a confiança da fonte sem criar falsa precisão

A confiança da fonte é um julgamento estruturado sobre quanto peso uma fonte merece para uma afirmação específica. Não é uma pontuação geral de reputação. Uma demonstração financeira auditada pode fornecer evidência forte de saldos históricos dentro do seu escopo. Pode fornecer pouca evidência sobre a capacidade atual da equipe. Uma ligação com o diretor de operações pode explicar um controle, enquanto amostras operacionais e garantia independente fornecem evidências mais fortes de que ele funcionou.

A escada de confiança deve avaliar autoridade, caráter direto, atualidade, completude, consistência e suscetibilidade a conflito. Registros regulatórios ou legais independentes podem ficar em nível alto para situação e propriedade. Documentos de fundos assinados são autoritativos para termos contratuais. Contas auditadas são fortes para afirmações auditadas. Exportações do sistema e amostras podem sustentar evidências operacionais quando a linhagem é verificada. Políticas descrevem o desenho. Respostas a DDQ e ligações são representações que exigem corroboração conforme a materialidade.

Uma pontuação numérica pode auxiliar a triagem, mas os motivos subjacentes devem permanecer visíveis. Duas fontes com a mesma pontuação podem ter fraquezas diferentes. O modelo deve armazenar uma classe de confiança, a justificativa e o revisor. A classe pode mudar quando uma fonte expira, surge uma exceção ou chega uma evidência independente.

A confiança é específica da afirmação e combina a autoridade da fonte com o caráter direto, a atualidade, a completude e a consistência.

7. Preserve contradições e mudanças como evidência

Contradições são sinais valiosos de diligência. O tamanho da equipe em uma apresentação pode diferir do registro regulatório. Uma DDQ pode afirmar que a avaliação é independente, enquanto atas do comitê mostram profissionais de investimento aprovando marcações. Uma política pode exigir testes anuais, enquanto o relatório mais recente tem data mais antiga. Uma ligação pode qualificar uma resposta ampla dada anteriormente.

O sistema deve preservar cada declaração, fonte e data de vigência. Deve criar um vínculo de exceção em vez de selecionar o texto mais recente e excluir o conflito. O registro de exceção deve descrever a questão de forma neutra, mostrar as fontes, indicar por que a diferença importa, identificar o responsável e registrar o padrão de resolução.

Algumas diferenças são legítimas. O escopo da entidade, a definição, o período ou a materialidade podem explicá-las. A resolução deve, portanto, identificar se as declarações foram conciliadas, se uma fonte substituiu outra, se a diferença foi imaterial, se uma remediação foi aceita ou se a questão permanece em aberto. O registro de decisão deve mostrar qual conclusão o investidor utilizou e por quê.

AI pode detectar diferenças semânticas que a correspondência exata não identifica, incluindo mudanças em qualificadores como normalmente, sujeito a aprovação ou quando praticável. Também pode criar conflitos falsos quando duas declarações usam escopos diferentes. A revisão humana é essencial antes do escalonamento. As passagens originais e o contexto devem ser exibidos juntos.

8. Crie um fluxo de trabalho de exceções com direitos de decisão definidos

Uma exceção é uma lacuna material, contradição, fraqueza de controle, resultado não explicado ou limitação de evidências. Toda exceção precisa de um tipo, gravidade, declarações afetadas, possível impacto na decisão, responsável, data de resposta e teste de encerramento. Um documento ausente pode ter baixa gravidade se outra fonte confiável tratar do assunto. Uma pequena diferença numérica pode ter alta gravidade quando indica um processo de histórico de desempenho não confiável.

O fluxo de trabalho deve distinguir solicitações de evidências, revisão analítica, aceitação de risco, remediação e condições do comitê. Os revisores podem encerrar uma lacuna administrativa quando o item exigido chegar. Um conflito material pode exigir especialistas jurídicos, de conformidade, operacionais, tributários, de avaliação ou de investimento. A aceitação do risco residual pertence ao órgão decisor autorizado.

Os prazos devem refletir a dependência da decisão. Uma questão que impede a avaliação deve ser resolvida antes da recomendação. Uma fraqueza remediável pode tornar-se uma condição precedente, obrigação de side letter ou ação de monitoramento. O comitê deve ver o que permanece em aberto, quem pode aceitar a pendência e o que acontece se a condição não for cumprida.

O encerramento exige evidências e autoridade; uma resposta do gestor, isoladamente, não encerra uma exceção material.

Tabela 4. Classes ilustrativas de exceções e escalonamento

A materialidade depende da estratégia, do investidor, da jurisdição e do contexto de decisão.

9. Testar o histórico de desempenho e os dados do portfólio por meio da linhagem

A análise do histórico de desempenho precisa de um caminho das métricas reportadas do fundo e dos negócios até os registros subjacentes. Cada observação deve identificar o investimento, o veículo, o período de participação, a data do fluxo de caixa, a moeda, a base bruta ou líquida, a data de avaliação, os direitos de atribuição e a fonte. Os retornos derivados devem preservar o cálculo e os dados de entrada.

AI pode ajudar a mapear nomes de investimentos inconsistentes, classificar fluxos de caixa, comparar tabelas de apresentação com arquivos detalhados e localizar explicações narrativas. Cálculos determinísticos devem reproduzir totais e retornos. Os revisores devem testar mudanças de definição, desempenho do predecessor, realizações parciais, linhas de subscrição, câmbio, baixas, veículos de continuação e valor não realizado.

Os dados do portfólio também devem se conectar às alegações sobre a estratégia. Se um gestor descreve investimento de controle no mercado de médio-baixo porte, o grafo pode testar o valor empresarial de entrada, a participação, a geografia, o setor e o tipo de transação. Se o gestor alega criação de valor operacional, o investidor pode vincular iniciativas a evidências do portfólio e separar efeitos de mercado, alavancagem, múltiplos e resultados quando os dados permitirem.

A amostragem deve ser baseada em risco. Grandes vencedores, baixas, valores atípicos de avaliação, transações com partes relacionadas, negócios alterados e investimentos próximos dos limites de reporte merecem atenção. O grafo de evidências deve registrar por que cada amostra foi selecionada e se um problema afeta a população mais ampla.

10. Conectar a diligência devida operacional às evidências de controle

A diligência devida operacional examina se o gestor consegue proteger ativos, calcular valores, controlar caixa, manter registros, cumprir obrigações e continuar operando durante interrupções. O grafo de evidências deve vincular cada objetivo de controle ao seu responsável, política, sistema, prestador de serviços, evidências operacionais, asseguração, incidentes e remediação.

O controle de caixa ilustra o método. O gestor pode descrever dupla autorização no DDQ e na política de tesouraria. O revisor deve identificar contas bancárias, signatários, iniciação de pagamentos, limites de aprovação, procedimentos de callback, revisões de acesso, segregação, reconciliações, exceções e histórico de incidentes. Amostras e logs testam a operação. Relatórios de prestadores de serviços podem acrescentar evidências, sujeitos a considerações de escopo, período e controles do usuário.

A terceirização não transfere a responsabilização. A orientação da FCA afirma que as empresas continuam responsáveis por gerir os riscos decorrentes de terceirizações e arranjos com terceiros. A orientação AI da IOSCO também enfatiza responsabilidade designada, habilidades adequadas, testes, monitoramento e supervisão de prestadores. O grafo deve mostrar a cadeia de dependência do gestor até administradores, custodiantes, provedores de tecnologia, fornecedores de dados e subprocessadores.

As evidências de continuidade de negócios devem abranger serviços importantes, tolerâncias de impacto, pessoas, instalações, tecnologia, informações e terceiros. Os planos devem estar vinculados a testes, constatações e remediação. Um exercício anual bem-sucedido tem valor limitado se omitiu um prestador crítico ou não testou um cenário severo. O revisor deve registrar o que foi testado e o que permanece fora do escopo.

As evidências de cibersegurança precisam de acesso controlado. Diagramas de arquitetura, constatações de testes de intrusão e registros de incidentes podem ser altamente sensíveis. O investidor pode registrar uma conclusão, identificador de evidência, escopo, data e revisor sem expor amplamente o material bruto. Os controles de acesso devem seguir a sensibilidade da fonte, enquanto o comitê recebe a constatação relevante para a decisão e as limitações.

11. Avaliar a propriedade, a governança e os conflitos como relações

Titularidade e governança têm naturalmente uma estrutura de grafo. O gestor, a sociedade holding, o sócio comanditado, os fundos, os veículos de carried interest, as afiliadas e as empresas do portfólio podem compartilhar proprietários, administradores, funcionários e prestadores de serviços. Um modelo de relacionamentos pode revelar conflitos e dependências que um questionário linear obscurece.

A titularidade beneficiária deve ser sustentada por registros corporativos autoritativos, documentos constitutivos, tabelas de capitalização e confirmações adequadas à jurisdição. Os padrões reforçados da FATF enfatizam informações adequadas, precisas e atualizadas sobre o beneficiário final de pessoas jurídicas e arranjos. A equipe de diligência devida deve identificar as pessoas naturais que, em última instância, detêm ou controlam entidades relevantes e documentar qualquer limitação nas evidências disponíveis.

A análise de governança deve mapear a autoridade formal e a influência prática. Termos do comitê, regras de votação, quórum, matérias reservadas, procedimentos de conflitos e atas estabelecem o desenho e a operação. O grafo pode comparar o processo de investimento declarado com as decisões registradas em amostras. Pode identificar quando uma mesma pessoa aparece em originação, avaliação, risco e aprovação final, criando preocupações de concentração ou independência.

Os conflitos devem ser vinculados a transações e decisões. A alocação entre fundos, operações cruzadas, veículos de continuidade, serviços afiliados, arranjos de financiamento, co-investimentos, investimentos pessoais, avaliação e taxas pode criar incentivos diferentes. Um registro de conflitos, isoladamente, não comprova gestão eficaz. O revisor deve vincular o conflito à divulgação, aprovação, precificação, abstenção, consentimento do investidor e evidências operacionais.

O AI pode apoiar a resolução de entidades entre registros, sujeito a revisão. Nomes semelhantes, transliteração, sociedades holding e endereços compartilhados podem gerar correspondências falsas. Cada vínculo proposto deve exibir os atributos correspondentes e o nível de confiança. Conclusões relevantes sobre titularidade exigem evidências autoritativas e aprovação humana.

12. Integrar termos jurídicos às constatações comerciais

A diligência devida jurídica e a diligência comercial devem compartilhar um mapa controlado de questões. Uma preocupação comercial com concentração de equipe pode ser tratada em parte por meio de disposições de pessoa-chave, embora a definição jurídica, o gatilho, o remédio e o processo de substituição determinem a proteção. Uma preocupação de avaliação pode estar ligada a direitos do comitê consultivo, reporte, auditoria e disposições de destituição. Uma preocupação de conflito pode estar ligada a cláusulas de consentimento, divulgação e alocação.

O grafo de evidências deve armazenar cada termo material com sua cláusula de origem, termos definidos, entidade afetada, condição e interpretação do revisor. Deve vincular o termo ao risco subjacente e a qualquer solicitação de side letter. Isso permite que o comitê veja se um risco é evitado, controlado, precificado, divulgado, aceito ou monitorado.

O AI pode recuperar cláusulas e comparar documentos, mas o significado jurídico depende do instrumento integral, da lei aplicável e dos fatos. Os termos extraídos devem preservar a cláusula em seu contexto e ser validados por advogados qualificados. Um resumo gerado por modelo nunca deve se tornar o registro jurídico autoritativo.

Alterações de negociação precisam de controle de versão. O sistema deve comparar minutas, mostrar a qual risco uma alteração se refere e confirmar que o documento executado contém o termo aprovado. Condições negociadas em correspondência podem se perder se não estiverem vinculadas aos entregáveis de fechamento e ao plano de monitoramento.

13. Construir a trilha de auditoria do comitê de investimentos

O comitê de investimentos precisa de um pacote de decisão conciso e um registro de evidências reproduzível. O pacote deve indicar o compromisso proposto, o alinhamento estratégico, o retorno esperado e o risco, os principais pontos fortes, as exceções relevantes, as proteções jurídicas, as condições, o plano de monitoramento e a recomendação. Cada afirmação relevante deve vincular-se a uma constatação aprovada, e não diretamente à saída bruta do modelo.

A trilha de auditoria deve preservar o estado das evidências no momento de corte da decisão. O conteúdo do data room pode mudar, o gestor pode fornecer esclarecimentos posteriores e as condições de mercado podem mudar. O registro deve identificar quais fontes, versões e constatações estavam disponíveis, quais questões permaneceram abertas e quais premissas o comitê aceitou.

A autoridade decisória e os conflitos devem ser explícitos. O registro deve identificar participantes, membros votantes, abstenções, quórum, votos, matérias delegadas e condições. Uma decisão do comitê pode aprovar, rejeitar, adiar, solicitar mais evidências, reduzir o compromisso ou impor condições. A justificativa deve explicar o vínculo entre as evidências e o resultado.

As ações pós-reunião devem se tornar obrigações com responsáveis, datas, evidências e escalonamento. A aprovação sujeita a uma side letter, revisão de política, contratação de pessoa-chave ou entregável de reporte fica incompleta até que a condição seja satisfeita. O grafo deve impedir o encerramento quando faltarem evidências e reabrir a questão quando um evento posterior alterar a base da decisão.

O registro captura a data de corte das evidências, a justificativa da decisão, as condições e as obrigações pós-fechamento.

Tabela 5. Registro do comitê de investimentos e responsável pelo controle

O registro deve ser retido em conformidade com a lei aplicável, as políticas e as obrigações contratuais.

14. Governar modelos, prompts e revisão humana

Os componentes AI do sistema de diligência devida exigem governança própria. A estrutura de gestão de riscos de AI do NIST organiza as atividades em torno de governar, mapear, medir e gerenciar. Seu Perfil Generativo de AI destaca riscos como confabulação, privacidade de dados, integridade da informação, segurança, propriedade intelectual, viés prejudicial, dependência excessiva dos humanos e dependências de terceiros. Esses riscos se traduzem diretamente em controles de diligência devida.

A governança deve começar com um inventário de modelos e casos de uso. Cada caso de uso precisa de um responsável, dados permitidos, impacto na decisão, método de validação, modelo de acesso, provedor, processo de mudança e plano de desativação. Um classificador que encaminha documentos tem um risco diferente de um sistema que redige conclusões de investimento. Este último deve estar sujeito a restrições e revisão mais rigorosas.

Os testes devem usar documentos representativos, layouts difíceis, tabelas, arquivos digitalizados, vários idiomas, entidades ambíguas e contradições conhecidas. As métricas podem incluir precisão de extração, precisão de citação, questões materiais não detectadas, exceções falsas e taxas de substituição pelos revisores. Os resultados devem ser segmentados por tipo de documento e caso de uso. Uma média alta pode ocultar falhas nos registros mais importantes.

A revisão humana deve ser substantiva. Uma interface que pede a um revisor que aprove centenas de resumos fluentes pode criar viés de automação. Os revisores precisam de contexto da fonte, motivos claros para escalonamento e tempo suficiente para contestar. O processo deve monitorar aprovações sem análise, discordâncias, padrões de erro e carga de trabalho.

Mudanças em modelos e prompts devem acionar revalidação proporcional. Um provedor pode alterar um modelo hospedado ou uma camada de segurança. A empresa deve saber quando um componente material mudou e se as premissas de desempenho anteriores continuam válidas. Os registros devem preservar o modelo e a configuração usados para resultados materiais.

15. Proteger o sistema de evidências e seus dados

O grafo de evidências concentra informações valiosas. Ele pode conter identidades, titularidade, registros de investimento, documentos jurídicos, achados de cibersegurança e decisões de comitê. A arquitetura de segurança deve aplicar privilégio mínimo, autenticação forte, criptografia, registro de logs, separação de ambientes, controles de perda de dados, backup e recuperação testada.

O acesso deve seguir a frente de trabalho e a necessidade. Um consultor tributário pode precisar de estruturas e registros específicos. Um especialista em cibersegurança pode precisar de evidências técnicas sensíveis. Os membros do comitê precisam de achados relevantes para a decisão e de acesso às fontes de apoio sob permissões controladas. As conexões do grafo devem respeitar o nível de acesso de cada objeto conectado e evitar o vazamento de informações restritas por meio de trechos de busca ou resumos gerados.

Injeção de prompt e documentos maliciosos exigem atenção. Um documento pode conter texto projetado para influenciar um sistema AI. O pipeline deve tratar o conteúdo do documento como evidência, não como instrução; isolar ferramentas; restringir ações; validar saídas; e exigir aprovação antes de qualquer comunicação externa ou alteração no sistema. A recuperação nunca deve conceder a um modelo autoridade para enviar solicitações, alterar registros ou aprovar achados.

A resposta a incidentes deve abranger extração incorreta, acesso não autorizado, violação do provedor, vazamento de dados, falha de modelo e proveniência corrompida. O plano deve identificar contenção, preservação de evidências, avaliação jurídica e regulatória, notificação, remediação e revalidação. O comitê deve compreender qualquer incidente que afete materialmente a integridade de seu registro de decisão.

16. Definir funções operacionais e níveis de serviço

Um grafo de evidências altera a alocação de trabalho. O sponsor da diligência é responsável pela pergunta de investimento e pela recomendação. Os especialistas das frentes de trabalho são responsáveis por seus achados. Uma equipe de dados ou de conhecimento mantém a ontologia, a ingestão e a linhagem. Pessoal de risco de modelo ou de risco de tecnologia valida os componentes AI. As equipes jurídica, de compliance, de privacidade e de cibersegurança aprovam os limites relevantes. O comitê de investimentos aceita o risco de investimento residual dentro de sua autoridade.

Uma matriz RACI deve identificar quem solicita evidências, valida a extração, resolve exceções, aprova mudanças de escopo e assina o pacote final. O sistema deve impedir que um administrador de tecnologia altere a conclusão de um revisor e impedir que um revisor altere registros de origem. O acesso emergencial deve ser registrado e revisado.

Os níveis de serviço devem priorizar a materialidade. Exceções de alto risco e evidências de gate ausentes exigem escalonamento rápido. Erros de classificação de menor risco podem entrar em uma correção em lote. O painel deve mostrar tempo em aberto, capacidade dos revisores, dependências de evidências e prazos de decisão, sem incentivar as equipes a encerrar questões apenas para melhorar uma pontuação de conclusão.

O treinamento deve abranger a metodologia de diligência devida, a hierarquia de fontes, o uso do sistema, a confidencialidade, as limitações do modelo, a responsabilização dos revisores e o escalonamento. Os revisores precisam de compreensão técnica suficiente para contestar os resultados e de contexto de investimento suficiente para reconhecer quando uma fonte é relevante para a decisão.

17. Implementar por meio de etapas controladas

A implementação deve começar com um caso de uso restrito e um dossiê de diligência devida concluído. A equipe pode mapear a taxonomia de perguntas, ingerir fontes, reproduzir achados conhecidos e medir se o grafo melhora a recuperação, a cobertura e a auditabilidade. Testes históricos revelam lacunas sem colocar uma decisão real em risco.

A primeira etapa estabelece a preservação das fontes, identificadores, acesso e citações. A segunda acrescenta o mapeamento de perguntas e alegações. A terceira introduz validação determinística e extração delimitada AI. A quarta conecta exceções e aprovações das frentes de trabalho. A quinta gera visões para o comitê a partir de achados aprovados. As obrigações de monitoramento passam a valer depois que o registro pré-investimento estiver estável.

Cada etapa precisa de critérios de aceitação. As referências de origem devem remeter à página ou célula correta. Extrações materiais devem atender aos limites de precisão aprovados por tipo de documento. Contradições não devem ser sobrescritas silenciosamente. Evidências restritas devem permanecer protegidas na busca e na exportação. Os resultados para o comitê devem excluir achados não revisados.

A operação em paralelo pode ser necessária. O rastreador de diligência existente permanece autoritativo até que o novo sistema demonstre completude, confiabilidade e adoção pelos usuários. A reconciliação entre sistemas deve ser documentada. A migração deve preservar datas históricas, autores, decisões e evidências, em vez de converter tudo em um resumo do estado atual.

O último gate é a resiliência operacional. A equipe deve testar falha do provedor, perda de um modelo, extração corrompida, links inacessíveis do data room, ausência de pessoal e prazos urgentes do comitê. Um processo de diligência devida deve continuar capaz de chegar a uma decisão controlada quando um componente AI estiver indisponível.

18. Medir se o sistema melhora as decisões

O sucesso deve ser medido pela qualidade das evidências, pelo controle das decisões e pela eficiência operacional. Indicadores úteis incluem o percentual de achados materiais com proveniência em nível de parágrafo; perguntas materiais sustentadas por evidências atuais; exceções resolvidas com evidências de encerramento; condições do comitê encaminhadas ao monitoramento; taxas de override dos revisores; erros de citação; e tempo gasto para localizar fontes.

A velocidade isoladamente é uma medida fraca. Um pacote mais rápido pode ser pior se resumos sem suporte passarem pela revisão. O sistema deve medir questões materiais não detectadas, falsa confiança, exceções não revisadas e retrabalho. A amostragem de qualidade por um revisor independente pode comparar conclusões com fontes e avaliar se a confiança declarada é justificada.

Os resultados das decisões exigem cautela. O desempenho do fundo é influenciado por mercados, estratégia e eventos além da diligência devida. A organização ainda pode testar se os riscos identificados foram monitorados, se as condições foram cumpridas, se incidentes posteriores foram prenunciados nas evidências e se a justificativa original permanece reproduzível.

Um grafo de evidências eficaz cria memória institucional. Ele permite ao investidor comparar representações entre fundos e safras, identificar deficiências recorrentes de controle, atualizar constatações quando um prestador de serviços ou uma pessoa muda e levar condições pré-investimento para a fase de participação. O valor comercial vem do acesso mais rápido a evidências confiáveis, de uma contestação mais robusta e de um processo decisório mais defensável.

O princípio norteador é simples: AI pode organizar, recuperar, comparar e propor; profissionais responsáveis inspecionam fontes, resolvem incertezas e decidem. O grafo de evidências oferece a esses profissionais um registro estruturado que permanece utilizável após o fechamento da sala de dados e o encerramento da reunião do comitê.

Referências

1. Institutional Limited Partners Association, Questionário de Diligência Devida 2.0, 1 de novembro de 2021. https://ilpa.org/resources-tools/resource-library/due-diligence-questionnaire/
2. Institutional Limited Partners Association, ILPA DDQ 2.0, novembro de 2021. https://ilpa.org/wp-content/uploads/2021/11/ILPA-DDQ-2.0.pdf
3. National Institute of Standards and Technology, Estrutura de Gestão de Riscos de Inteligência Artificial 1.0, janeiro de 2023. https://doi.org/10.6028/NIST.AI.100-1
4. National Institute of Standards and Technology, Estrutura de Gestão de Riscos de Inteligência Artificial: Perfil de Inteligência Artificial Generativa, julho de 2024, atualizado em abril de 2026. https://doi.org/10.6028/NIST.AI.600-1
5. National Institute of Standards and Technology, Manual da Estrutura de Gestão de Riscos de AI, recurso atual. https://airc.nist.gov/airmf-resources/playbook/
6. International Organization of Securities Commissions, O Uso de Inteligência Artificial e Aprendizado de Máquina por Intermediários de Mercado e Gestores de Ativos, setembro de 2021. https://www.iosco.org/library/pubdocs/pdf/IOSCOPD684.pdf
7. International Organization of Securities Commissions, Inteligência Artificial nos Mercados de Capitais: Casos de Uso, Riscos e Desafios, março de 2025. https://www.iosco.org/library/pubdocs/pdf/IOSCOPD788.pdf
8. International Organization of Securities Commissions, Kit de Ferramentas de Supervisão para Uso de AI nos Mercados de Capitais, maio de 2026. https://www.iosco.org/library/pubdocs/pdf/IOSCOPD810.pdf
9. European Securities and Markets Authority, Declaração Pública sobre o Uso de Inteligência Artificial na Prestação de Serviços de Investimento de Varejo, 30 de maio de 2024. https://www.esma.europa.eu/document/public-statement-ai-and-investment-services
10. U.S. Securities and Exchange Commission, Observações de Exames de Consultores de Fundos Privados, 27 de janeiro de 2022. https://www.sec.gov/compliance/risk-alerts/observations-examinations-private-fund-advisers
11. U.S. Securities and Exchange Commission, Alerta de Risco: Processos de Diligência Devida de Consultores de Investimentos para Seleção de Investimentos Alternativos, 28 de janeiro de 2014. https://www.sec.gov/newsroom/press-releases/2014-14
12. U.S. Securities and Exchange Commission, Form ADV e recursos de Registro de Consultores de Investimentos, atual. https://www.sec.gov/investment/registration-forms-investment-advisers
13. Financial Conduct Authority, Terceirização e Resiliência Operacional, atualizado em 14 de julho de 2026. https://www.fca.org.uk/firms/outsourcing-and-operational-resilience
14. Autoridade de Conduta Financeira, SYSC 8.1 Requisitos Gerais de Terceirização, Manual da FCA em vigor. https://handbook.fca.org.uk/handbook/sysc8/sysc8s1
15. Autoridade de Conduta Financeira, Prioridades Regulatórias: Lado Comprador Atacadista, março de 2026. https://www.fca.org.uk/publication/regulatory-priorities/wholesale-buy-side-report.pdf
16. Grupo de Ação Financeira, Beneficiário Final, normas e orientações em vigor. https://www.fatf-gafi.org/en/topics/beneficial-ownership.html
17. Grupo de Ação Financeira, As Recomendações do FATF, atualizadas em fevereiro de 2025. https://www.fatf-gafi.org/en/publications/Fatfrecommendations/Fatf-recommendations.html
18. Grupo de Ação Financeira, Orientações sobre Beneficiário Final de Pessoas Jurídicas, março de 2023. https://www.fatf-gafi.org/en/publications/Fatfrecommendations/Guidance-Beneficial-Ownership-Legal-Persons.html
19. Organização Internacional de Normalização, ISO/IEC 42001:2023 Tecnologia da informação, Inteligência artificial, Sistema de gestão, visão geral atual. https://www.iso.org/standard/81230.html
20. Banco de Compensações Internacionais, O Uso da Inteligência Artificial para Fins de Política, 10 de outubro de 2025. https://www.bis.org/publ/othp100.htm