巴西开放银行体系（Open Finance）中的人工智能监管

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

人工智能已经在改变巴西的开放金融（Open Finance），但由于缺乏专门的监管规则，金融机构和消费者都面临着切实的法律风险。

人工智能在开放金融生态中的快速发展

近年来，对巴西金融业影响深远的两股监管趋势正在加速交汇：一是由巴西中央银行（Banco Central）牵头推进的开放金融（Open Finance）建设，二是该生态内各参与机构日益广泛地使用人工智能系统。开放金融允许经机构授权、并在数据主体同意的前提下，以标准化方式在机构之间共享金融数据，这为机器学习算法、预测模型和自动化决策系统的应用创造了良好的条件。

可以看到，金融机构在开放金融链条的多个环节中使用人工智能：基于共享数据的信贷分析、金融产品报价的个性化、对第三方发起交易的欺诈识别、保险和投资产品的动态定价，以及同意授权与数据管理流程的自动化。人工智能与开放数据的深度融合带来了可观的运营效率，同时也引出了一系列复杂的法律问题，而巴西法律体系对这些问题尚未给出令人满意的回应。

目前的监管格局由多个层次叠加而成。一方面是开放金融的专门规则（巴西中央银行与国家货币委员会第1/2020号联合决议、其后的修订，以及治理架构下的运营规章）；另一方面是《通用数据保护法》（第13.709/2018号法律）所构建的数据保护框架，以及近来在国会审议中的人工智能监管立法讨论。这三条规范主线相互交叉，带来了一些解释上的难题，下文将逐一分析。

共享数据场景下算法决策的法律风险

人工智能与开放金融交汇之处，最敏感的问题之一是利用机构间共享数据作出的自动化决策。消费者授权将自己的金融历史记录共享给一家新机构后，这些数据往往会被输入算法模型，由模型在没有人工直接介入的情况下，决定该消费者能否获得信贷、将获得怎样的利率，或者会被推荐哪种金融产品。

LGPD（《通用数据保护法》）第20条保障数据主体有权要求对完全基于个人数据自动化处理而作出、并影响其利益的决定进行复核。这一规定在开放金融的背景下尤其重要，因为数据处理的体量和速度使得有效的人工监督成为相当大的操作性挑战。我们注意到，许多机构的复核流程只是形式上的：人工操作员仅仅确认算法的决定，并未对其所用标准进行实质性审查。

此外，算法的可解释性也是一个重要的法律障碍。LGPD第20条同样规定，控制者应当就自动化决策所采用的标准和程序提供清晰、充分的信息。然而，深度学习（deep learning）模型常常像“黑箱”一样运作，其决策极难以消费者乃至监管机构能够理解的方式加以说明。这种算法的不透明性，与LGPD乃至开放金融体系本身所依据的透明原则相互抵触。

人工智能与开放金融的融合，需要这样一种监管：既能平衡技术创新，又能切实保护金融消费者的权利。

我们还要分析获取金融服务过程中的算法歧视风险。以历史数据训练的人工智能模型，可能延续甚至放大既有的偏见，导致消费者因性别、种族、地理位置或年龄段等受保护特征而受到不平等对待。在开放金融中，来自多个来源的数据被汇集并大规模处理，这类工具的歧视潜力因而大幅增加。《消费者保护法典》（第8.078/1990号法律）与《联邦宪法》共同禁止消费关系中的歧视性做法，但算法偏见的识别与举证，仍然是一项重大的证明难题。

巴西中央银行的作用与行业监管

巴西中央银行在开放金融治理中居于核心地位，并且越来越关注人工智能技术在金融体系中的运用。这一货币当局已就受监管机构所用人工智能模型的风险管理发布了指引，重点涉及公司治理、内部控制以及对算法决策的责任。可以看到，这些指引虽然重要，但对于人工智能与开放数据交汇处的特有挑战，仍然不够具体。

在国际层面，我们看到一些可供巴西参考的监管举措。欧盟通过《人工智能法案》（AI Act），将金融领域的某些人工智能用途归为“高风险”，要求其满足更严格的透明度、人工监督和合规评估要求。金融稳定委员会（FSB）和巴塞尔委员会也发布了报告，讨论金融业采用人工智能的系统性风险，包括市场集中、模型风险和运营韧性等方面的担忧。

我们认为，巴西的监管至少需要针对以下五个关键方面作出具体规定：用于处理开放金融数据的人工智能模型的治理；自动化决策可解释性的最低要求；独立的算法审计机制；基于共享数据的算法决策造成损害时的民事责任；以及适用于处理敏感金融数据的人工智能系统的网络安全技术标准。

国家货币委员会（CMN）和巴西中央银行拥有在金融体系范围内规范上述事项的规范性权限，无需等待一部人工智能通用法律获得通过。涉及网络安全政策以及数据处理服务外包要求的CMN第4.893/2021号决议，已经提供了一个规范基础，可以加以扩展，以涵盖开放金融中人工智能的特殊性。

民事责任与消费者保护

开放金融中算法决策所致损害的民事责任如何界定，是这一领域最复杂的法律问题之一。当消费者因一项信贷决定而受损，而该决定出自处理了多家机构所共享数据的算法时，就会产生究竟由谁承担损害责任的问题：是开发算法的机构、提供数据的机构、执行该决定的机构，还是各方承担连带责任？

按照现行制度，《消费者保护法典》规定，服务提供者对服务缺陷承担严格责任（无过错责任）（第12条至第14条）。我们认为，这种严格责任适用于金融领域的算法决策，受损的消费者无需证明提供者存在过错。然而，开放金融的数据共享链条，使得在各参与机构之间分配责任成为一项颇具挑战的法律工作。

我们分析认为，《民法典》第927条单独款所规定的活动风险理论，为追究在开放金融中使用人工智能的机构的责任提供了额外依据。机构选择使用处理大量个人数据的自动化决策系统，就承担了这类活动所固有的风险，无论是否存在过错，均应对造成的损害负责。

举证责任问题值得特别关注。在涉及算法决策的纠纷中，消费者面临的信息不对称，比一般消费关系中的情形更为突出。要证明算法的运行带有歧视性，或者所用数据有误，既需要专业技术知识，也需要获取相关信息，而这些信息在多数情况下完全由金融机构掌控。CDC（《消费者保护法典》）第6条第VIII项规定的举证责任倒置，以及向法院申请算法审计的可能性，是在这一背景下愈发重要的诉讼手段。

巴西监管的前景

巴西正处在一个关键时刻，需要决定如何规范开放金融体系中人工智能的使用。国会目前正在进行的人工智能立法讨论，虽然并非专门针对金融业，但将确立影响行业监管的一般原则和指导方针。这些法案的进展值得密切关注，尤其是在风险分级、透明度要求和监督机制等方面。

我们认为，对开放金融而言，较为合适的监管路径是将原则性监管（以透明、公平和责任等一般原则为基础）与适应开放数据生态特点的具体技术要求相结合。过于规范化的监管可能抑制创新，并为新参与者设置进入壁垒。另一方面，仅依靠泛泛原则的监管，则可能不足以切实保护消费者免受算法自动化带来的现实风险。

我们认为应当优先采取的措施包括：对处理开放金融数据的人工智能系统，强制进行算法影响评估；建立“评分”（scores）和算法画像的可携带机制，使消费者能够了解并对关于其金融画像的自动化评估提出异议；为影响信贷和金融服务获取的决定确立最低可解释性标准；以及建立有效的异议渠道，并对自动化决策设置人工复核的制度。

最后，我们要指出，开放金融中的人工智能监管不仅是技术问题或法律问题，还涉及我们希望建设何种金融体系的根本选择。技术为金融服务的普惠提供了真实的机会，但前提是配有与其风险相称的法律保障。创新与保护之间的平衡，将决定巴西金融体系未来数十年的走向。

这一话题与人工智能监管密切相关，我们已有专文论述。

这一话题与金融行业人工智能监管密切相关，我们已有专文论述。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.