Falso positivo em verificação: o custo invisível que corrói conversão

Quando um sistema antifraude erra deixando um golpista passar, o prejuízo aparece: vira perda direta, chargeback, número em relatório. Quando erra no sentido oposto, reprovando um cliente legítimo, o prejuízo não aparece em lugar nenhum: a pessoa desiste, abre conta no concorrente e nunca conta o motivo. Esse segundo erro é o falso positivo do antifraude, e a maioria das operações não o mede.

Este artigo organiza o vocabulário técnico do erro biométrico, mapeia de onde as reprovações erradas vêm, mostra onde o custo se esconde e propõe o desenho de fluxo que reduz esse custo sem abrir a porta para a fraude.

Vocabulário sem ambiguidade: FMR, FNMR e o falso positivo do negócio

A norma ISO/IEC 19795-1, o padrão internacional de avaliação de desempenho biométrico, define as duas taxas fundamentais de um comparador: a FMR (false match rate, taxa de falsa correspondência) mede a fração de impostores aceitos como se fossem a pessoa; a FNMR (false non-match rate, taxa de falsa não correspondência) mede a fração de pessoas genuínas rejeitadas como se fossem impostores.

A confusão de nomes nasce da troca de perspectiva: para o time de fraude, positivo é acusar fraude, então o falso positivo do negócio, o cliente bom barrado, corresponde à falsa não correspondência da biometria. Vale fixar a convenção: neste texto, falso positivo é o cliente legítimo reprovado.

As duas taxas são pratos da mesma balança. Todo comparador produz um grau de similaridade, e a decisão nasce de um limiar: subir o limiar derruba a FMR e sobe a FNMR; descer faz o inverso. Não existe ajuste de limiar que melhore os dois lados ao mesmo tempo, existe escolha de ponto de operação, e essa escolha é decisão de negócio, não detalhe técnico enterrado em configuração.

De onde vêm as reprovações erradas

• Qualidade de captura: selfie contra a luz, documento tremido, câmera fraca. É a maior fonte na prática e a mais barata de atacar, porque acontece antes de qualquer modelo: validar enquadramento e nitidez no momento da captura evita reprovar depois.
• Documento com foto antiga: dez anos entre a foto impressa e o rosto atual reduzem a similaridade sem nenhuma fraude envolvida, e o limiar que não considera isso reprova exatamente quem manteve o mesmo documento por décadas.
• Diferenças demográficas do próprio modelo: o NIST, o instituto de padrões e tecnologia dos Estados Unidos, documentou no relatório NISTIR 8280, de 2019, que as taxas de erro de algoritmos de reconhecimento facial variam entre grupos demográficos, com diferenças que chegam a ordens de grandeza dependendo do algoritmo avaliado. A consequência prática: um limiar calibrado só na média pode concentrar as reprovações erradas em uma parte específica da população.
• Cadastro desatualizado na fonte consultada: quando o dado oficial diverge da realidade, a checagem cadastral reprova a pessoa certa com convicção de máquina.

O custo que o dashboard não mostra

O custo do falso positivo se esconde em três lugares. O primeiro é a aquisição desperdiçada: o custo de trazer a pessoa até o cadastro já foi pago quando a reprovação errada a joga fora no último passo do funil. O segundo é o suporte: parte dos reprovados reclama, e cada caso vira atendimento humano investigando por que o sistema disse não. O terceiro é o mais sério: exclusão. O GAFI (Grupo de Ação Financeira Internacional), no seu guia de identidade digital de 2020, aponta que controles de identificação desenhados sem flexibilidade acabam afastando do sistema financeiro exatamente as pessoas com menos alternativas, e recomenda abordagem baseada em risco também na verificação de identidade.

A métrica que expõe o problema é a taxa de aprovação de usuários genuínos medida de ponta a ponta no funil, não a acurácia do modelo isolado. Um fluxo pode ter um comparador excelente no papel e ainda assim reprovar gente boa aos montes por captura ruim e regras empilhadas sem dono.

Desenho anti falso positivo: a segunda chance como arquitetura

A resposta estrutural não é afrouxar limiar, é dar caminho de recuperação a quem o sistema não conseguiu aprovar de primeira:

1. Validar antes de capturar: checar que existe um rosto real e enquadrado antes de tirar a foto elimina a reprovação por foto de nada, que é pura fricção sem nenhum valor de segurança.
2. Recaptura dirigida por módulo: quando a selfie reprova por qualidade, pedir de novo a selfie, e somente ela, com instrução específica do que corrigir. Na UNIFOKAL esse é o desenho do fluxo: reprovação recuperável vira pedido de reenvio do módulo específico, não recusa do cadastro inteiro.
3. Separar o não deu para verificar do verificou e é fraude: os dois desfechos merecem tratamentos diferentes. Uma prova de vida reprovada por má iluminação pede nova tentativa; uma injeção de câmera detectada pede bloqueio. Misturar os dois num decline único é a receita do falso positivo permanente.
4. Medir e recalibrar: registrar o motivo de cada reprovação, acompanhar a taxa de aprovação por etapa e reavaliar limiares com dados históricos antes de qualquer mudança, disciplina que o artigo sobre score de risco explicável aprofunda.

O objetivo final não é zerar reprovação, é garantir que cada reprovação custe caro para o fraudador e barato para o cliente legítimo: o fraudador barrado desiste e procura alvo mais fácil; o cliente barrado por engano recupera o caminho em segundos, sem precisar ligar para ninguém.

Fontes citadas

• ISO/IEC 19795-1, avaliação e relato de desempenho biométrico, com as definições de FMR e FNMR, da Organização Internacional de Normalização (ISO)
• NISTIR 8280, Face Recognition Vendor Test Part 3: Demographic Effects, do NIST, 2019: nvlpubs.nist.gov
• Guidance on Digital Identity, do GAFI/FATF, 2020, sobre abordagem baseada em risco e inclusão financeira na verificação de identidade