95% das empresas violam uma lei de IA que a maioria desconhece
Eu estava em uma ligação com a CHRO —Diretora de Recursos Humanos— de uma empresa da Fortune 500 no início de janeiro quando ela disse algo que me fez parar no meio da frase.
«Nossa equipe jurídica nos disse que é mais seguro simplesmente não cumprir».
Ela não estava sendo inconsequente. Ela estava sendo racional. Sua empresa usa uma ferramenta de triagem baseada em IA para contratações em Nova York, o que significa que estão sujeitos à Local Law 144 —uma regulamentação que exige que as empresas publiquem publicamente auditorias de viés de qualquer ferramenta automatizada que ajude a tomar decisões de emprego. Seus advogados fizeram as contas: a penalidade pelo não cumprimento era uma multa de US$ 500 a US$ 1.500 por infração. A penalidade pelo cumprimento —efetivamente publicar a auditoria de viés— era entregar aos advogados dos autores uma rota estatística para uma ação judicial por discriminação.
Essa conversa cristalizou algo que eu vinha investigando há meses. Nós não temos um problema de ética em IA. Nós temos um problema de arquitetura de IA. E a auditoria de dezembro de 2025 feita pelo Controlador do Estado de Nova York acabou de comprovar isso.
A auditoria que quebrou a ilusão
Em 2 de dezembro de 2025, o Controlador do Estado de Nova York, Tom DiNapoli, divulgou uma auditoria sobre como o Departamento de Proteção ao Consumidor e ao Trabalhador de Nova York —o DCWP— vinha fiscalizando a Local Law 144. Os resultados foram devastadores.
Os próprios analistas da cidade examinaram 32 empregadores e encontraram exatamente um caso de potencial não conformidade. Os auditores estaduais examinaram as mesmas 32 empresas utilizando métodos técnicos mais rigorosos. Eles encontraram 17 infrações.
Isso não é um erro de arredondamento. É uma discrepância de 1.600% entre o que a cidade detectou e o que realmente estava acontecendo.
Lembro-me de ler o relatório de auditoria no meu laptop às 23h, navegando pelas conclusões e sentindo uma mistura de validação e apreensão. Validação porque esse era exatamente o tipo de falha sobre o qual vínhamos alertando nossos clientes: a conformidade superficial de IA desmoronando sob escrutínio real. Apreensão porque a escala do problema era pior do que até eu esperava.
Quando a cidade encontra 1 infração e o estado encontra 17 na mesma amostra, isso não é uma lacuna de fiscalização: é uma ficção de fiscalização.
A auditoria revelou algo quase comicamente falho: 75% das chamadas de teste para o canal 311 da cidade sobre problemas de contratação por IA foram mal encaminhadas e nunca chegaram ao DCWP. A agência admitiu que não possuía a expertise técnica para avaliar se as empresas estavam de fato usando ferramentas de decisão automatizada. Eles nunca consultaram o próprio Escritório de Tecnologia e Inovação da cidade. Todo o aparato de fiscalização era, funcionalmente, uma vila Potemkin.
Por que a maioria das empresas escolheu o silêncio
É aqui que a situação piora. Um estudo realizado pela Cornell University, Data & Society e Consumer Reports examinou 391 empregadores sujeitos à Local Law 144. Destes, apenas 18 publicaram as auditorias de viés obrigatórias. Apenas 13 publicaram avisos de transparência.
Isso significa que aproximadamente 95% dos empregadores abrangidos estavam simplesmente ignorando a lei.
Minha equipe e eu passamos uma semana analisando esse estudo, cruzando as descobertas com o que sabíamos sobre as ferramentas de IA que essas empresas estavam usando. Tivemos uma discussão contínua em nosso escritório sobre se isso era negligência em massa ou algo mais calculado. Meu CTO achava que era preguiça: as empresas simplesmente não tinham chegado a isso. Eu discordava.
Acredito que a maioria dessas empresas realizou as auditorias internamente, viu os números e entrou em pânico.
O motivo é estrutural. A Local Law 144 exige a publicação de «razões de impacto»: essencialmente, compara-se as taxas de seleção de diferentes grupos demográficos e verifica-se se cumprem a regra dos quatro quintos da EEOC. Se a sua ferramenta seleciona homens a uma taxa de 60% e mulheres a 40%, essa é uma proporção de 0,67 —abaixo do limite de 0,80 que sinaliza potencial impacto díspar.
O problema? A maioria das ferramentas de contratação por IA construídas sobre modelos de linguagem de propósito geral falhará nesse teste. Não porque sejam maliciosamente tendenciosas, mas porque são treinadas com dados em escala de internet que refletem décadas de viés social. Quando você calcula os números honestamente, o viés aparece. E quando você publica esses números, cria uma prova jurídica contra si mesmo.
Aquela CHRO com quem conversei não estava sendo cínica. Ela estava descrevendo a resposta racional a um sistema no qual as próprias ferramentas geram evidências de discriminação no momento em que você as audita.
O que acontece quando você constrói IA com base em palpites
Preciso explicar algo sobre como a maior parte da IA corporativa realmente funciona hoje, porque essa é a raiz de toda essa crise.
O modelo dominante no mercado agora é o que chamo de «Economia Wrapper». Uma consultoria pega um modelo fundamental —GPT-4, Claude, Gemini—, envolve-o com uma fina camada de prompts personalizados e chamadas de API, e o vende para uma empresa como solução. Triagem de currículos, processamento de sinistros, avaliação de risco: o wrapper lida com a interface, mas o raciocínio ocorre dentro de um modelo que ninguém na empresa controla, audita ou compreende plenamente.
Esses modelos funcionam prevendo a próxima palavra estatisticamente mais provável em uma sequência. Eles operam no que eu chamaria de plausibilidade semântica —o que parece certo— e não na realidade forense —o que é certo.
Aprendi isso da maneira mais difícil. No início da Veriprajna, antes de termos nos comprometido totalmente com nossa arquitetura atual, realizamos um teste no qual pedimos a um LLM líder que avaliasse um conjunto de currículos «ignorando o gênero». Ele ainda discriminou. Não abertamente: não marcou «feminino» como algo negativo. Mas favoreceu sistematicamente currículos que mencionavam certas universidades, usavam determinados padrões de fraseado e listavam certas atividades extracurriculares —todos estatisticamente correlacionados ao gênero nos dados de treinamento do modelo.
Dizer a um LLM para «ignorar o gênero» é como dizer a alguém para não pensar em elefantes. As correlações estão gravadas nos pesos. Não é possível contornar o viés estrutural apenas com engenharia de prompts.
Quando o Colorado ou a UE pedem que você explique por que sua IA tomou uma decisão adversa, um sistema wrapper só pode oferecer uma história retrospectiva: uma narrativa aparentemente plausível sobre por que ele acha que decidiu o que decidiu. Isso não é uma explicação. É uma alucinação sobre seu próprio raciocínio. Escrevi sobre esse problema em detalhes na versão interativa da nossa pesquisa, onde explicamos como essa "lacuna de auditabilidade" se desdobra em diferentes regimes regulatórios.
O trilema de conformidade de que ninguém está falando
É isto que me mantém acordado à noite: não é mais apenas Nova York.
Até meados de 2026, empresas que operam em múltiplos estados e na Europa enfrentarão pelo menos quatro regulamentações de IA sobrepostas e tecnicamente conflitantes:
A Local Law 144 de Nova York exige a publicação de estatísticas de viés interseccional discriminadas por raça e sexo. O SB 24-205 do Colorado, em vigor a partir de junho de 2026, exige um padrão mais amplo de «cuidado razoável» e divulgação obrigatória ao Procurador-Geral se você descobrir discriminação algorítmica. O HB 3773 de Illinois proíbe o uso de códigos postais (ZIP codes) como proxies para classes protegidas —uma técnica da qual muitas ferramentas de mitigação de viés realmente dependem. E o EU AI Act exige documentação detalhada da proveniência dos dados de treinamento e «avaliações de conformidade» para sistemas de alto risco.
Estas não são apenas regras diferentes. Elas são arquitetonicamente incompatíveis em vários pontos.
Uma técnica de mascaramento de dados que você usa para cumprir a proibição de códigos postais de Illinois pode destruir a representatividade de dados que a UE exige. Uma auditoria de viés que atende à estrutura de raça e gênero de Nova York pode falhar no padrão do Colorado se não levar em conta também idade e deficiência. E nenhuma dessas estruturas aceita «usamos GPT-4 e adicionamos algumas salvaguardas» como avaliação de conformidade.
Um investidor me disse no ano passado: «Basta usar GPT e adicionar uma camada de conformidade por cima». Eu perguntei a ele: qual camada de conformidade? Para qual jurisdição? Testada contra quais métricas? Ele não tinha resposta, porque não existe uma. Não se pode acoplar conformidade a um sistema que nunca foi projetado para ser auditável.
O que estamos realmente construindo em vez disso
Na Veriprajna, fizemos uma aposta no início que admito que parecia solitária na época: rejeitamos totalmente o modelo de wrappers. Sem camadas finas de API. Sem engenharia de prompts como produto. Em vez disso, construímos o que chamo de Deep AI —sistemas projetados desde a base para determinismo, rastreabilidade e controle soberano.
A ideia central é uma arquitetura neuro-simbólica —um sistema que separa a «voz» do «cérebro». A rede neural cuida do reconhecimento de padrões: leitura de currículos, análise de documentos, identificação de características relevantes. Mas cada decisão passa por uma camada de lógica simbólica —regras codificadas derivadas de leis reais, ontologias da indústria e restrições de domínio— antes de chegar ao usuário.
Quando Illinois diz que você não pode usar códigos postais como proxy para raça, nossa camada simbólica não «tenta» evitar isso. Ela bloqueia, de forma determinística, e registra com exatidão qual regra foi acionada e por quê. Quando um regulador pede uma explicação, não geramos uma história plausível. Fornecemos uma cadeia rastreável de lógica da entrada até a saída.
A diferença entre um wrapper e a Deep AI é a diferença entre «o modelo disse isso» e «aqui está a regra exata, a entrada exata e o caminho lógico exato que gerou essa decisão».
Também insistimos no que chamamos de infraestrutura soberana —implantar modelos na própria nuvem do cliente, não roteando dados confidenciais através de APIs públicas. Quando você envia registros de funcionários ou informações de candidatos para uma API de terceiros, esses dados podem ser registrados, incorporados em futuros treinamentos ou expostos por meio de vulnerabilidades de segurança sobre as quais você não tem visibilidade. Para uma empresa sujeita a GDPR, CCPA e agora a essas regulamentações específicas de IA, esse é um risco inaceitável.
Para o detalhamento técnico completo de como essas arquiteturas funcionam —a rastreabilidade baseada em grafos, as camadas de verificação baseadas em física, os modelos de implantação nativos na borda—, recomendo nosso artigo de pesquisa detalhado. A engenharia é profunda, mas o princípio é simples: cada resultado deve ser comprovadamente correto, não provavelmente correto.
«Mas isso não é exagero?»
As pessoas me perguntam isso constantemente. Geralmente é alguém que foi convencido pelo modelo de wrapper e acha que estou complicando demais as coisas.
Aqui está minha resposta: o Controlador do Estado de Nova York acabou de demonstrar que até mesmo uma revisão regulatória amigável —conduzida pela própria agência da cidade— estava operando com uma taxa de erro de 1.600%. Os auditores em nível estadual detectaram 17 infrações onde a cidade detectou 1. E isso foi com uma amostra de apenas 32 empresas.
O que acontece quando o Procurador-Geral do Colorado começar a investigar? O que acontece quando a UE iniciar suas avaliações de conformidade? O que acontece quando o advogado de um autor intimar os registros de decisão do seu modelo e descobrir que a sua «mitigação de viés» era um prompt de sistema dizendo «por favor, seja justo»?
Isso não é uma hipótese. A auditoria do Controlador recomendou explicitamente mudar de uma fiscalização passiva e baseada em denúncias para uma investigação proativa orientada por pesquisa. O DCWP concordou em adotar essa recomendação. A era do «ninguém está verificando» acabou.
Há outra objeção que ouço: «Vamos apenas esperar as regulamentações se estabilizarem antes de investir». Eu entendo o impulso. Mas o estudo de Cornell revelou que as empresas que esperaram —os 95% que não cumpriram— estão agora sentadas sobre uma pilha crescente de exposição legal, sem infraestrutura para lidar com isso. Quando a fiscalização aumentar, elas não terão meses para construir sistemas em conformidade. Terão semanas.
A noite em que os números mudaram minha opinião
Quero compartilhar um momento que mudou fundamentalmente a maneira como penso sobre esse problema.
Cerca de oito meses atrás, estávamos realizando uma prova de conceito para um cliente de serviços financeiros. Eles queriam testar se sua ferramenta existente de triagem por IA —produto de um fornecedor conhecido, construído sobre um grande LLM— conseguiria passar em uma auditoria simulada da LL144. Minha equipe configurou o teste, calculou as razões de impacto e me enviou os resultados por volta das 21h.
Eu esperava falhas marginais —razões de 0,75 ou 0,78, próximas o suficiente para que alguma recalibração pudesse corrigi-las. Em vez disso, encontramos razões de impacto tão baixas quanto 0,58 para certas categorias interseccionais. Longe do limite. Não corrigíveis com ajuste de prompts. Estrutural e fundamentalmente tendenciosas de maneiras invisíveis para as pessoas que usavam a ferramenta todos os dias.
Sentei-me no meu escritório em casa olhando para aqueles números e percebi algo que acredito que todo o setor precisa confrontar: as ferramentas que a maioria das empresas está usando agora falhariam em suas próprias auditorias de viés. A taxa de não conformidade de 95% não se refere apenas a empresas ignorando a lei. Trata-se de empresas que analisaram o que a conformidade revelaria e decidiram que preferiam não saber.
Isso não é um problema regulatório. É uma falha de engenharia.
Para onde isso vai a seguir
A auditoria de dezembro de 2025 não é o fim das dores do crescimento da regulamentação de IA. É o começo de sua adolescência. Os reguladores estão aprendendo com seus erros. A próxima geração de fiscalização não dependerá de canais 311 e declarações autorrelatadas. Ela usará ferramentas forenses para examinar o que sua IA realmente faz —não o que sua equipe de conformidade diz que ela faz.
Para as empresas, isso significa que a janela para decisões arquitetônicas está se fechando. Não é possível adicionar determinismo a posteriori a um sistema probabilístico. Não é possível acoplar auditabilidade a uma caixa-preta. Não é possível cumprir quatro jurisdições conflitantes usando um único modelo de prompt.
As empresas que prosperarão em 2026 e além são as que estão fazendo a escolha mais difícil agora: construir sistemas nos quais cada decisão tenha uma cadeia lógica rastreável, auditável e defensável. Não porque seja fácil. Não porque seja barato. Porque é a única arquitetura que sobrevive ao contato com um regulador que realmente sabe o que está procurando.
A era da IA construída com base em palpites acabou. O que a substituirá será definido por empresas dispostas a incorporar certeza por meio da engenharia em sistemas que o resto do setor construiu sobre probabilidades.
A CHRO com quem conversei em janeiro me ligou de volta na semana passada. Sua equipe jurídica havia lido a auditoria do Controlador. Eles não estavam mais aconselhando o não cumprimento. Estavam perguntando quão rápido poderíamos implantar.
