Por Felipe Antonio*

A inteligência artificial introduziu um problema inédito nas áreas de controle: como confiar em uma decisão que não pode ser reproduzida exatamente? Isso não é mais uma tendência de futuro, e o problema é que a metodologia tradicional de auditoria não acompanhou essa velocidade e esse gap cria um risco concreto: como garantir que o uso de IA em trabalhos de auditoria seja defensável?

A resposta começa por entender um limite estrutural dos modelos de linguagem (LLMs): a reperformance exata é tecnicamente impossível, pelo menos até hoje. O mesmo prompt aplicado ao mesmo modelo em momentos diferentes pode gerar outputs distintos. Provedores atualizam seus modelos silenciosamente e, se não conseguimos reperformar, não conseguimos revisar. Logo, se não conseguimos revisar, precisamos ser honestos sobre o que estamos chamando de evidência.

Ignorar esse limite ou restringir o uso de IA em trabalhos críticos são dois caminhos igualmente ineficazes. Em vez disso, é necessário desenhar a governança antes do uso acontecer. Na engenharia de software, o conceito de harness engineering resolve um problema parecido: garantir que sistemas se comportem de forma previsível mesmo quando suas partes internas mudam. Esse raciocínio se traduz diretamente para a auditoria.

Três práticas formam essa base. A primeira é o versionamento de prompts: tratar os prompts utilizados como código, registrando cada alteração de forma rastreável, sem edições silenciosas que apagam a trilha original. A segunda é a assinatura criptográfica dos outputs gerados, atrelada a um registro de data e hora, que certifica a integridade e a existência histórica da evidência sem depender de reprodução futura. A terceira é o monitoramento automatizado do comportamento dos modelos ao longo do tempo, para detectar quando mudanças no modelo exigem reavaliação de evidências já coletadas.

Juntas, essas práticas não restituem a reperformance exata, mas constroem algo com que a auditoria já sabe trabalhar: uma reperformance razoável. Um revisor, com o prompt e o contexto documentados, consegue avaliar se o resultado estava dentro do espectro esperado. Para a maioria dos cenários de negócios, isso é suficiente para sustentar a evidência.

O mesmo desafio de rastreabilidade se manifesta em compliance, gestão de riscos e segurança da informação. Em qualquer função de controle, a pergunta é a mesma: como documentar que a análise feita pela IA foi adequada e defensável diante de um órgão regulador?

Neste sentido, entregar valor de ponta a ponta exige que a qualidade esteja no design do processo, não na remediação posterior. Governança de IA construída após o fato é apenas controle compensatório. Quando desenhamos a rastreabilidade como requisito de projeto desde o início, protegemos a integridade do trabalho e aceleramos a confiança das partes interessadas.

Durante décadas, a auditoria confiou na possibilidade de reproduzir uma análise. A IA muda essa premissa. A nova confiança não nascerá da repetição do resultado, mas da qualidade da rastreabilidade construída antes que ele exista.

*Felipe Antonio, executivo com 19 anos de atuação em auditoria interna, riscos compliance e tecnologia, é Head de Auditoria Interna na Zup. Formado em Ciências da Computação com MBA pela FGV e extensão executiva pela Harvard Kennedy School, ele é Auditor Líder certificado nas ISOs 27001 (Segurança), 27701 (Privacidade) e 42001 (Governança de Inteligência Artificial).