Score de risco explicável: combinar sinais sem virar caixa-preta

Uma verificação de identidade moderna produz sinais em quantidade: a similaridade entre selfie e documento, a prova de vida, a consulta cadastral, a checagem de listas, o comportamento do canal de captura. Em algum ponto tudo isso precisa virar uma decisão: aprovar, recusar ou mandar para revisão humana. O jeito mais comum de fazer essa redução é uma média ponderada que produz um número entre 0 e 100. O jeito mais comum de se arrepender é descobrir, meses depois, que ninguém consegue explicar por que o número deu o que deu.

Este artigo defende um desenho específico, portões e pesos com detalhamento por sinal, e mostra por que explicabilidade deixou de ser luxo: ela tem consequência legal na LGPD, consequência operacional na revisão manual e consequência de engenharia na vida longa do sistema.

Onde a média ponderada quebra

O defeito da média é estrutural: ela deixa sinais fortes comprarem sinais críticos. Imagine um cadastro com documento válido, dados consistentes e consulta limpa, mas cuja prova de vida detectou uma tela de celular diante da câmera. Na média ponderada, os sinais bons diluem o crítico, e o ataque passa com um score confortável. O inverso também acontece: um cliente legítimo com uma selfie de qualidade mediana raspa no limiar e cai em revisão sem que nenhum sinal individual justifique o atrito.

O sintoma clássico aparece na operação: o analista pergunta por que este caso reprovou, e a resposta honesta é o score deu 62. Essa resposta não serve para o analista decidir a revisão, não serve para explicar nada ao cliente e, como a seção legal mostra, pode não servir para a lei.

Portões e pesos: decisão em duas camadas

O desenho alternativo separa os sinais em duas categorias com papéis diferentes:

• portões: condições inegociáveis, avaliadas primeiro. Prova de vida reprovada com alta confiança, rosto que não corresponde ao documento, CPF inexistente na base oficial: cada uma barra sozinha, independentemente do resto. Portão não entra em média; portão decide.
• pesos: vencidos os portões, os sinais graduais, como a qualidade da correspondência facial e a consistência cadastral, compõem o score que separa a aprovação direta da revisão manual.

A propriedade valiosa é que cada decisão carrega a própria explicação: reprovado pelo portão tal, ou aprovado com score composto pelos sinais tais, cada um com o seu valor registrado. É assim que o motor de decisão da UNIFOKAL funciona: portões avaliados antes de qualquer soma e um detalhamento por módulo anexado a cada decisão, com a versão da calibração gravada junto. O custo admitido do desenho é ter mais parâmetros para governar: cada portão e cada peso é uma decisão de negócio documentada, não um coeficiente que um treinamento escolheu sozinho e ninguém sabe defender.

Um efeito colateral bem-vindo: sinais deixam de disputar espaço no mesmo número. A checagem de pessoa politicamente exposta, por exemplo, não precisa virar nota; ela muda o rumo do fluxo, exigindo diligência adicional, que é o tratamento que a regulação espera, em vez de ser diluída numa soma.

O que a LGPD exige de decisões automatizadas

O art. 20 da Lei 13.709/2018 dá ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses. O §1º completa: o controlador deve fornecer, sempre que solicitadas, informações claras e adequadas sobre os critérios e procedimentos da decisão, resguardados os segredos comercial e industrial. Recusar um cadastro por score é exatamente essa hipótese.

Um sistema caixa-preta transforma esse direito num problema sem solução: como explicar critérios que nem o próprio time sabe articular? O desenho por portões e pesos responde por construção, porque os critérios existem como artefato legível antes de qualquer pedido chegar. A mesma propriedade serve ao contexto regulatório financeiro: a Resolução Conjunta BCB 6/2023 estruturou o compartilhamento, entre instituições autorizadas pelo Banco Central, de dados sobre indícios de fraude, e um indício que se compartilha pressupõe um indício que se articula, com fundamento que a outra instituição consiga avaliar.

Explicabilidade que sobrevive ao tempo

1. Detalhamento por decisão: cada resultado guarda os valores dos sinais que o compuseram. Sem isso, auditoria retrospectiva vira arqueologia de logs.
2. Versionamento de calibração: limiares e pesos mudam ao longo da vida do sistema. Registrar qual versão decidiu cada caso permite responder o que o sistema pensava naquele dia, o que é essencial em disputa, em auditoria e em investigação de incidente.
3. Impacto antes da mudança: antes de mover um limiar, estimar quantos casos históricos mudariam de desfecho com o valor novo. Mover limiar sem essa conta é trocar um problema visível por outro ainda invisível, e o efeito colateral clássico é inflar o falso positivo sem perceber.
4. Sinais com dono e fonte: cada sinal documentado com origem, cobertura e limitações conhecidas, porque a explicação da decisão herda as limitações dos sinais que a compõem.

O guia de identidade digital do GAFI, o Grupo de Ação Financeira Internacional, publicado em 2020, empurra na mesma direção: recomenda avaliar sistemas de identidade por níveis de garantia declarados e testáveis, não por promessas agregadas. Um score explicável é a versão interna dessa exigência: cada decisão sabe dizer de onde veio.

A pergunta de compra que resume o artigo: peça ao fornecedor a explicação de uma decisão real, com os sinais e os valores que a produziram. Se a resposta for um número sozinho, o que está à venda é uma caixa-preta, e a conta dela chega junto com o primeiro pedido de revisão.

Fontes citadas

• Lei 13.709/2018 (LGPD), art. 20, sobre revisão de decisões automatizadas, disponível no portal do Planalto: planalto.gov.br
• Resolução Conjunta BCB 6/2023, sobre o compartilhamento de dados e informações sobre indícios de fraude, do Banco Central do Brasil
• Guidance on Digital Identity, do GAFI/FATF, 2020, sobre níveis de garantia em sistemas de identidade digital