A SEC acusa de “AI washing” com base na Section 206.
Não existe exceção de “tecnologia avançada”.

Antifraude da SEC (Section 206 do Advisers Act)

“Consultores de investimento não podem deturpar a capacidade da IA perante clientes ou prospects. Isso é fraude, não exagero de marketing.”

Registro de alegações do Vault

Cada comunicação com o cliente mediada por IA é registrada com o modelo, o prompt, a saída, a alegação feita, a divulgação exibida e um sinalizador de conformidade com a Marketing Rule (206(4)-1). Legível pelo auditor como uma única cadeia.

Evidência de auditoria: Registro de proveniência por comunicação que o auditor pode conciliar com o ADV e os materiais de marketing da firma. Reproduza a troca real com a IA, não um resumo.

NYDFS Part 500 §500.3 — Avaliação de risco de IA

“Riscos cibernéticos específicos de IA (MFA vulnerável a deepfake, envenenamento de dados de treinamento, cadeia de suprimentos do modelo) devem ser avaliados sob o framework vigente da Part 500. Prioridade de fiscalização declarada desde 16 de outubro de 2024.”

Varreduras do Guard + evidência de avaliação de risco do Vault

O scanner MCP detecta envenenamento de ferramentas, typosquatting, manipulação de esquemas, padrões de rug-pull, injeção de prompt e permissões excessivas. Os achados são gravados no Vault como o registro contemporâneo da avaliação de risco.

Evidência de auditoria: Resultados de varredura com data e hora em toda a sua cadeia de suprimentos, rastreamento de remediação por achado, pacote de evidências mapeado para os controles da Part 500 §500.3.

CFPB ECOA / Reg B — Especificidade da notificação de ação adversa

“Credores devem usar motivos específicos e precisos ao negar crédito. “Não existe exceção de ‘tecnologia avançada’ às leis federais de finanças ao consumidor.””

Códigos de motivo de política Cedar + evidência de decisão do Vault

Cada decisão de crédito retorna a(s) característica(s) específica(s) que disparou a ação — não “o modelo disse não”, mas uma atribuição auditável em nível de característica, adequada para uma notificação de ação adversa.

Evidência de auditoria: Registro de código de motivo por solicitação, com a versão de política subjacente e as entradas que a alimentaram. A notificação praticamente se redige sozinha a partir da cadeia do Vault.

Leis estaduais de crédito justo (MA, CA, NY, IL)

“Teorias de impacto desproporcional continuam acionáveis em nível estadual após a mudança da regra federal da ECOA, com vigência a partir de 21 de julho de 2026. A procuradoria-geral de Massachusetts resolveu um caso de subscrição de crédito por IA em 10 de julho de 2025.”

Verificação entre modelos + testes dry-run de política

Testes de política pré-deployment contra dados sintéticos de classes protegidas; a verificação entre modelos encaminha decisões críticas por múltiplos LLMs com consenso majoritário sobre o resultado.

Evidência de auditoria: Resultados de testes de viés pré-deployment por data e versão de política; alertas de desvio (drift) quando os resultados em curso divergem da linha de base.

Gestão de risco de modelo (OCC SR 11-7 estendida à IA)

“Bancos devem inventariar modelos, validá-los antes do deployment, monitorar seu desempenho e governar seu ciclo de vida. A IA está dentro do escopo.”

Inventário de agentes + controles de ciclo de vida do Fleet

Metadados por agente: versão do modelo, fornecedor, uso pretendido, data da última validação, nível de risco. Controles de ciclo de vida (pausar / retomar / interromper) são registrados como eventos do Vault. Kill switch com códigos de motivo por agente.

Evidência de auditoria: Linhagem por modelo, do deployment à desativação. O auditor percorre a cadeia para validar que todo modelo em produção tem validação documentada e monitoramento contínuo.