O Problema
A SEC multou duas gestoras de investimentos em US$ 400.000 no total por mentirem sobre a IA delas. Não por construir uma IA ruim. Por alegarem que tinham IA que nunca chegaram a construir.
Em março de 2024, a SEC acusou a Delphia (USA) Inc. e a Global Predictions Inc. de fazer declarações falsas sobre o uso de inteligência artificial. A Delphia dizia aos clientes que usava um "modelo algorítmico preditivo" que analisava padrões de gastos e dados de mídias sociais para "prever quais empresas e tendências estão prestes a decolar". Os examinadores da SEC constataram que a Delphia nunca integrou de fato esses dados ao seu processo de investimento. A empresa continuou fazendo essas alegações de 2019 a 2023 — mesmo depois de a SEC tê-la alertado em 2021 para parar.
A Global Predictions se autodenominava a "primeira consultoria financeira regulada com IA". Quando os reguladores pediram documentação técnica que sustentasse essa afirmação, a empresa não conseguiu produzi-la. A Delphia pagou US$ 225.000. A Global Predictions pagou US$ 175.000.
Estes não eram esquemas complexos de fraude. Eram alegações de marketing que ultrapassavam a realidade da engenharia. E elas representam uma nova categoria de risco corporativo que suas equipes jurídicas e de conformidade precisam entender agora mesmo. Se a sua empresa diz "powered by AI" (movida por IA) em qualquer lugar — no site dela, em materiais para investidores, em apresentações para clientes —, você está exposto a exatamente esse mesmo risco de ação fiscalizatória. A SEC usou leis antifraude já existentes, não novas regras específicas de IA. Isso significa que o arcabouço jurídico necessário para punir a sua empresa já existe hoje.
Por Que Isso Importa Para o Seu Negócio
Os US$ 400.000 em multas da SEC foram apenas o tiro de abertura. Diversas agências federais estão agora buscando ativamente alegações sobre IA que possam contestar.
A FTC lançou a "Operation AI Comply" para combater alegações enganosas sobre IA em toda a economia do consumo. Em janeiro de 2025, a FTC encerrou a DoNotPay — um serviço que se promovia como "o primeiro advogado robô do mundo" — porque a empresa não conseguiu provar que sua IA podia de fato substituir um advogado humano. A FTC também foi atrás da Evolv Technologies por supostamente deturpar a capacidade dos sensores de IA dela de detectar armas em escolas.
O Departamento de Justiça anunciou sua iniciativa "Justice AI". Promotores federais agora avaliarão a capacidade da sua empresa de gerenciar riscos de IA como parte das revisões de conformidade corporativa. Eles receberam instruções para buscar penalidades mais severas quando a IA for usada para viabilizar crimes de colarinho branco.
Veja o que isso significa para o seu resultado financeiro:
- Multas regulatórias são o piso, não o teto. A penalidade de US$ 225.000 imposta à Delphia é pequena perto do dano reputacional e da perda de negócios que acompanham uma ação de fiscalização pública.
- Seus fornecedores de IA criam a sua responsabilidade legal. A FTC estabeleceu que, se uma ferramenta de IA servir como "instrumentalidade" para a prática enganosa, o provedor e o cliente corporativo podem ambos ser responsabilizados.
- Procuradores-gerais estaduais estão entrando na jogada. Eles estão usando estatutos existentes de proteção ao consumidor para perseguir alegações de marketing sobre IA no nível estadual.
- A exposição do conselho é real. Se a sua empresa alegar capacidades orientadas por IA em registros na SEC ou em apresentações a investidores, seus dirigentes carregam responsabilidade pessoal sob as regras antifraude existentes.
Este não é um problema futuro. A infraestrutura de fiscalização está construída e ativa.
O Que Realmente Acontece Por Baixo do Capô
A causa raiz do AI washing é um mal-entendido técnico de como a IA moderna realmente funciona. A maioria das aplicações de IA hoje — incluindo aquelas que seus fornecedores podem estar vendendo a você — é construída sobre sistemas que preveem a palavra seguinte mais provável em uma sequência. Eles não verificam fatos. Geram texto que soa plausível.
Pense nisso como o autocomplete do seu celular, mas escalado ao tamanho da internet. Seu celular não sabe se a próxima palavra é verdadeira. Ele apenas sabe qual palavra geralmente vem em seguida. Grandes Modelos de Linguagem (LLMs) — os sistemas de IA por trás de ferramentas como o ChatGPT — funcionam da mesma forma, apenas com mais dados e mais matemática. O modelo não tem nenhum conceito interno de verdade. Ele prevê a sequência de caracteres mais provável com base em padrões nos seus dados de treinamento.
É por isso que sistemas de IA "alucinam" — eles geram citações que não existem, números financeiros errados ou precedentes jurídicos que nunca foram julgados. Em um ambiente regulado, "majoritariamente correto" é, juridicamente, o mesmo que "incorreto". Uma citação jurídica alucinada cria responsabilidade legal ativa para a sua organização.
Piorando isso, a maioria das "soluções de IA" vendidas a empresas hoje é o que a indústria chama de "wrappers". São aplicações que se conectam a um serviço público de IA por meio de uma API — essencialmente um plugue — e adicionam uma interface de usuário por cima. Elas são projetadas para minimizar custos, muitas vezes às custas da precisão. Não conseguem verificar o próprio raciocínio. Simplesmente repassam tudo o que o modelo subjacente gera, independentemente de ser verdade. Sua empresa então coloca seu nome e reputação por trás dessa saída.
O Que Funciona (E O Que Não Funciona)
Vamos começar pelo que não protege você:
- Engenharia de prompts, sozinha. Redigir cuidadosamente suas instruções a uma IA não impede que ela alucine. Reduz a frequência, mas não elimina o risco.
- Wrappers finos de API. Conectar-se a um modelo público de IA e adicionar sua marca dá a você zero controle sobre precisão, privacidade de dados ou trilhas de auditoria. Esses wrappers são vulneráveis a entradas maliciosas que causam saídas erradas — um problema chamado "retrieval poisoning" (envenenamento de recuperação).
- Verificação manual pontual. Ter um humano revisando uma amostra aleatória das saídas de IA não detecta os erros nas saídas que você não revisou. Cria uma falsa sensação de segurança.
O que realmente funciona é uma arquitetura fundamentalmente diferente. Veja como ela funciona em três passos:
Recuperação fundamentada por meio de grafos de conhecimento. Em vez de deixar a IA buscar frouxamente informações relacionadas, você constrói um mapa estruturado do seu conhecimento de domínio — um grafo de conhecimento (Knowledge Graph). Na IA jurídica, por exemplo, cada decisão judicial se vincula a outras decisões por meio de relações específicas como CITES, OVERRULES ou AFFIRMS. O sistema só pode referenciar o que existe nesta estrutura verificada. Isso move a recuperação de uma estimativa estatística para um caminho verificado.
Verificação multiagente. Em vez de pedir a um único modelo de IA que pesquise, verifique e escreva, você divide o trabalho entre agentes especializados. Um "Research Agent" (agente de pesquisa) recupera os dados brutos. Um "Verification Agent" (agente de verificação) os confere contra o seu grafo de conhecimento. Um "Writer Agent" (agente redator) produz a saída final usando apenas fatos verificados. Esses agentes revisam o trabalho uns dos outros em ciclos antes que qualquer humano veja o resultado.
Implantação soberana na sua infraestrutura. Sua IA roda dentro do seu próprio firewall — seja on-premises (local) ou em nuvem privada isolada da internet pública. Isso garante vazamento zero de dados. Sua propriedade intelectual, os dados dos seus clientes e os segredos comerciais jamais tocam servidores externos. Isso é obrigatório para conformidade com HIPAA, GDPR e CCPA.
A vantagem da trilha de auditoria é o que torna essa abordagem defensável. Cada saída rastreia de volta até documentos-fonte específicos por meio de links verificados. Quando um regulador, um auditor ou o advogado da parte contrária pergunta "como sua IA chegou a esta conclusão", você pode mostrar o caminho exato — desde os dados-fonte, passando pela verificação, até a saída final. Essa é a diferença entre um sistema que você pode defender e um sistema que se torna sua próxima responsabilidade legal.
Seu framework de governança deve combinar o NIST AI Risk Management Framework para controles táticos de risco com a ISO/IEC 42001 para conformidade certificável e auditada por terceiros. A ISO 42001 é o único padrão internacional certificável para sistemas de gestão de IA. Um auditor independente pode verificar sua conformidade — dando a você a documentação necessária para avaliações de procurement (aquisições), relatórios ao conselho e submissões regulatórias.
Finalmente, construa uma AI Bill of Materials (AIBOM) — um registro completo, legível por máquina, de cada componente do seu sistema de IA. Isso inclui conjuntos de dados de treinamento, modelos base, bibliotecas de terceiros e detalhes de infraestrutura. Seu AIBOM torna-se a fonte única de verdade que prova que suas alegações sobre IA correspondem à sua realidade técnica. É exatamente a documentação que a Delphia e a Global Predictions não conseguiram produzir quando a SEC bateu à porta.
Principais conclusões
- A SEC multou duas empresas em US$ 400.000 no total por alegarem capacidades de IA que nunca construíram — usando leis antifraude existentes, não novas regulações de IA.
- A FTC, o DOJ e os procuradores-gerais estaduais estão todos fiscalizando ativamente alegações exageradas de IA, criando exposição de responsabilidade multiagência.
- A maioria das ferramentas corporativas de IA são wrappers finos em torno de modelos públicos que não conseguem verificar as próprias saídas nem proteger seus dados.
- Arquiteturas determinísticas usando grafos de conhecimento, verificação multiagente e implantação soberana criam trilhas de auditoria que reguladores podem verificar.
- Combinar o NIST AI RMF com a certificação ISO 42001 e manter uma AI Bill of Materials dá à sua organização documentação defensável.
Conclusão
Reguladores federais estão multando ativamente empresas por alegações de IA que elas não conseguem provar. Sua defesa não é melhor marketing — é uma arquitetura que produz saídas verificáveis com trilhas de auditoria completas. Pergunte ao seu fornecedor de IA: você consegue apresentar uma AI Bill of Materials completa e mostrar o caminho da fonte verificada para cada saída que o seu sistema gera?