Comecei a trabalhar com segurança da informação em 1991. De lá para cá vi a ameaça sair do vírus de disquete e chegar em fraude executada com voz clonada. Nesse percurso, aprendi a reconhecer quando uma mudança é moda e quando é ruptura. As que descrevo abaixo são rupturas: aconteceram nos últimos anos, já estão em uso, e mudaram menos a fraude do que a nossa capacidade de prová-la.
Escrevo isso pensando em quem responde por um programa de integridade. Não é um texto sobre tecnologia. É sobre o que a tecnologia passou a exigir de quem toma a decisão.
O problema deixou de ser encontrar
Durante três décadas, a dificuldade da investigação era o acesso. Achar a informação era caro, lento e incompleto. Hoje se acha muito, e depressa. O gargalo mudou de lugar: passou a ser sustentar.
Sustentar significa que o achado sobrevive ao contraditório. Que a coleta foi lícita. Que o método é reproduzível. Que a conclusão não depende de um passo que ninguém consegue explicar. Uma investigação que encontra tudo e não sustenta nada termina em acordo silencioso — e o acordo silencioso é a forma mais cara de encerrar um caso.
Vale lembrar o tamanho do problema. As organizações perdem em torno de 5% da receita anual para fraude ocupacional, e o esquema típico leva cerca de doze meses até ser descoberto. O tempo é o multiplicador: o que é detectado em poucos meses custa uma fração do que é detectado depois de anos. E a denúncia continua sendo o principal meio de descoberta, à frente da auditoria interna. Trinta anos de tecnologia, e o melhor sensor ainda é uma pessoa incomodada.
Quatro mudanças
A busca deixou de depender de palavra-chave
Por muito tempo, apurar fraude em acervos de mensagens dependia de o fraudador ter escrito a palavra errada. Montava-se uma lista de termos — propina, comissão, caixa dois — e buscava-se literalmente. Quem sabia que isso existia, não escrevia assim.
Ninguém escreve "propina". Escreve "o de sempre", "aquele ajuste", "resolve com o pessoal". A busca literal encontrava apenas o amador.
Isso mudou. A busca passou a comparar sentido em vez de letra. Frases com significado próximo ficam próximas, mesmo sem nenhuma palavra em comum. Na prática, é possível encontrar a conversa relevante que não contém um único termo da lista de busca — o eufemismo, o apelido interno, a ironia.
O ganho é grande e o problema também. Se o sistema encontrou, alguém precisa explicar o critério quando a outra parte perguntar por que aquelas conversas e não outras. Na busca antiga bastava mostrar a lista de palavras. Agora não há lista para mostrar.
A amostragem deixou de ser necessária
Testar amostra sempre foi uma decisão de escassez: não havia como olhar tudo. Hoje há. É viável analisar a totalidade das transações e, mais interessante que isso, reconstruir a partir dos registros do sistema o caminho que cada operação percorreu de fato — e comparar com o que a política desenhou.
O desvio sistemático aparece sozinho. Quem sempre pula uma etapa de aprovação. Quem aprova fora do horário. O fornecedor que é sempre pago pela mesma pessoa. O pedido que fica sempre logo abaixo do limite de alçada.
Isso cria uma consequência que interessa diretamente a quem responde pelo programa: quando passa a ser possível olhar tudo, não ter olhado deixa de ser limitação e vira escolha.
Áudio e vídeo perderam a presunção de veracidade
Este é o ponto que mais me preocupa, e o menos discutido fora do meio técnico.
A conversa pública sobre mídia sintética gira em torno do risco de a prova falsa entrar no processo. O risco maior é o oposto: a prova verdadeira sair. Para derrubar uma gravação legítima hoje, basta alegar que ela pode ser sintética. Não é preciso apresentar indício, perícia, nada. A dúvida se instala sozinha e a decisão fica sem chão.
A resposta intuitiva é comprar um detector. É a resposta errada. A capacidade de detecção cai muito fora de condições de laboratório e envelhece a cada nova geração de modelo generativo — um detector treinado contra o que existia no ano passado não reconhece o que se produz agora.
O caminho que se mostra viável é o inverso: em vez de provar que o arquivo é falso, provar que ele é verdadeiro. Isso se faz registrando a origem no momento da captura, com assinatura criptográfica, verificação de integridade e marcação de tempo. Autenticidade por procedência, não por aparência. É a diferença entre discutir se o rosto parece real e apresentar a certidão de nascimento do arquivo.
O vínculo importa mais que o dado
Fraude quase nunca está num campo. Está entre dois.
Quatro fornecedores com razões sociais, cadastros e endereços distintos podem não ter nada em comum numa planilha, e ainda assim compartilhar um telefone de contato — ou uma conta de recebimento que já apareceu na folha de pagamento. O vínculo não está em nenhum registro isolado; está na relação entre eles. As ferramentas de resolução de entidades e análise de vínculos tornaram visual e rápido um trabalho que antes exigia semanas de conferência manual.
Há uma fronteira interessante aqui. Cruzar sinais de fraude entre instituições sempre esbarrou na proteção de dados. Já existem técnicas que permitem comparar informação entre organizações sem que nenhuma veja o dado da outra. O impasse entre eficácia antifraude e privacidade deixou de ser um problema técnico. Virou um problema regulatório.
Inteligência artificial: os dois lados
Não dá para tratar esse assunto honestamente sem falar dos dois.
O que ela entrega. Volume deixou de ser barreira. Acervos que demandariam uma equipe por meses são triados em dias. Áudio e vídeo, que eram evidência cara, viraram material pesquisável. Ela monta cronologia, cruza fontes e aponta onde depoimento e registro não batem. E, sobretudo, derrubou o custo de investigar: casos que antes não compensavam apurar passaram a compensar.
O que ela quebra. Ela erra com aparência de confiança. Num cenário típico, de doze contradições apontadas, três se sustentam. As outras nove eram ruído — e teriam virado relatório se ninguém conferisse. Ela não sabe explicar o próprio critério, o que é um problema quando o resultado precisa sobreviver ao contraditório. E há um risco que passa despercebido: usar ferramenta pública com acervo de investigação é criar um incidente de proteção de dados dentro do incidente que se está apurando.
Vale acrescentar que a mesma tecnologia está do outro lado do balcão. Voz clonada, documento gerado e identidade sintética já são ferramenta de fraude, não hipótese.
A regra que eu uso é simples: o que eu não consigo reconstruir manualmente não vira conclusão. A máquina gera hipótese muito bem. Concluir continua sendo trabalho de gente, porque é gente que assina.
O que isso muda para quem responde por compliance
Cinco coisas que valem mais que qualquer ferramenta:
Preservar é a primeira providência, não a última. Antes de investigar, impeça que a informação desapareça. Log rotaciona, caixa de e-mail é limpa, dispositivo é trocado. Muitas vezes a política de retenção que a própria empresa aprovou destrói a prova antes de a investigação ser autorizada.
Não confronte o investigado no início. É o erro mais comum e o mais caro. Alerta quem deveria ser observado e dá tempo para limpeza.
Escopo e base legal por escrito, antes de coletar. Coleta genérica em dispositivo pessoal é o caminho mais curto para prova ilícita — e prova ilícita é pior que prova nenhuma, porque contamina o resto.
Exija registro de tudo que for feito. Data, responsável, método, verificação de integridade. Sem rastro do método, a conclusão não se sustenta.
Trate resultado automatizado como hipótese. Confira à mão o que vai virar decisão sobre a vida profissional de alguém.
Duas perguntas que ainda não têm resposta
Termino com as duas que me incomodam, e que não tenho como responder sozinho:
Se o sistema encontrou, quem explica o critério quando a defesa questionar?
E quem assina o relatório que a máquina escreveu — quem responde quando ela erra?
Nenhuma das duas tem resposta assentada hoje, nem técnica nem jurídica. Mas quem assina é uma pessoa, e essa parte não mudou.
Vou tratar desses temas em profundidade no dia 10 de setembro, às 19h, na aula "Novas Tecnologias Associadas a Prevenção, Detecção de Fraudes e Investigações", do Curso de Formação de CCO do Instituto Brasileiro de Direito e Ética Empresarial (IBDEE).
