IA governada para as instituições arménias,
concebida para a empresa de software, a mina, o banco e o ministério

O problema do subcontratante: um registo de auditoria que satisfaz o regulador de outra pessoa

A Arménia tem um setor de software e serviços de tecnologias de informação invulgarmente grande face à dimensão da sua economia, que trabalha em boa medida para clientes da América do Norte e da Europa -- engenharia de produto, operação de plataformas, trabalho com dados, conceção de sistemas embebidos e de semicondutores e, cada vez mais, a construção e operação de funcionalidades de IA dentro do produto de outra empresa. Nesse arranjo, a obrigação regulatória recai normalmente sobre o cliente. Um cliente europeu carrega os seus próprios deveres de proteção de dados; um cliente norte-americano carrega regras setoriais na saúde, nas finanças ou em cadeias de abastecimento sensíveis; um adquirente carrega deveres de diligência perante o seu conselho e o seu próprio regulador. O prestador arménio é frequentemente o subcontratante e não o responsável pelo tratamento, e é o contrato, e não a lei, que transmite o dever.

Isto inverte a finalidade da prova. O prestador não demonstra em primeira linha a sua conformidade a um inspetor arménio: produz o registo que o seu cliente entregará a um regulador, a um auditor externo, a um questionário de segurança ou a um comprador em diligência. A KriftAI faz passar cada passo assistido por IA por um único ponto de passagem governado: a entrada é validada antes de o modelo correr, face às regras do próprio cliente sobre que dados podem ser enviados e o que deve ser expurgado ou recusado; a saída é validada face a essas regras antes de chegar a um programador, a um ticket ou a um sistema em produção; é escrita uma linha imutável no livro de registo por cada chamada -- ator, ação, entradas, saídas, versão do modelo, versão da política e veredicto; e tudo o que as regras não resolvem é escalado para uma pessoa identificada em vez de prosseguir. A delimitação de políticas por cliente impede que os dados e as regras de um cliente toquem noutro, e a exportação do registo é um artefacto defensável e não uma reconstituição montada na semana anterior à auditoria.

Cobre, molibdénio e ouro: registos de produção, ambientais e de receitas

A mineração é o outro pilar da exportação arménia, com cobre e molibdénio no sul, em torno de Kajaran e Kapan, em Syunik; cobre no norte, à volta de Alaverdi e do cinturão de Lori; e ouro entre os metais extraídos e processados. Todo o facto comercialmente significativo sobre uma mina é uma afirmação que alguém de fora acabará por testar: teores e resultados de ensaio, tonelagem e humidade do concentrado, pesos de embarque, monitorização de descargas de água e da qualidade do ar, instrumentação das barragens de rejeitados e os registos de royalties, exportação e impostos que acompanham o metal para fora do país.

Esses registos são lidos pelas administrações mineira e ambiental, pelos compradores e respetivos ensaiadores independentes, pelos financiadores e seus consultores técnicos, e pelos compradores a jusante que aplicam a sua própria diligência sobre a cadeia de abastecimento. Onde a IA apoia a reconciliação de séries de ensaios, a classificação de dados geológicos, a monitorização da instrumentação de rejeitados e da qualidade da água, a previsão de produção ou a redação de processos regulatórios e ambientais, a plataforma valida a entrada antes de o modelo correr, valida o que volta face às regras da própria operação e escreve uma linha imutável por cada chamada. O acesso delimitado por função permite que o operador, o regulador ambiental, o consultor do financiador e o auditor do comprador vejam exatamente o que o seu mandato permite e nada mais. Uma medição que não possa ser rastreada até à sua amostra, ao seu instrumento e ao seu momento não é uma medição em que um financiador ou um regulador se possa apoiar, e uma obrigação de monitorização que sobrevive a uma licença precisa de registos que também lhe sobrevivam.

O Banco Central da Arménia, os pagamentos e os corredores da diáspora

O Banco Central da Arménia supervisiona o setor financeiro e tem sido ativo em pagamentos e regulação das fintech, o que coloca bancos, prestadores de serviços de pagamento e novos entrantes dentro do mesmo perímetro de supervisão. Acima disso existe um conjunto de contrapartes que ninguém supervisiona a partir de Erevan: bancos correspondentes no estrangeiro, sistemas de cartões e as funções de conformidade das instituições do outro lado de cada remessa da diáspora e de cada investimento entrado. Uma vasta diáspora mundial sustenta esses fluxos, e os corredores só permanecem abertos enquanto o registo de prevenção do branqueamento e de triagem de sanções do lado arménio for um registo que um correspondente estrangeiro esteja disposto a aceitar.

A triagem de branqueamento e sanções, a monitorização de transações, o conhecimento do cliente e o trabalho sobre beneficiários efetivos, os modelos de crédito e risco e os reportes de supervisão passam todos por um único ponto de passagem governado, produzindo prova numa forma que um supervisor nacional e um correspondente estrangeiro aceitam sem um exercício de tradução posterior. A triagem é aplicada e não meramente aconselhada: uma correspondência bloqueia a chamada, uma derrogação é escalada para uma pessoa identificada, e a decisão de derrogação é ela própria escrita no registo com o seu motivo e o seu autor. Quando um modelo contribui para uma decisão sobre uma conta, um pagamento ou uma relação com um cliente, o registo mostra que versão de modelo e que versão de política produziram a recomendação e quem a aceitou. Produza a prova uma vez, no ponto da chamada, e deixe que um supervisor, um correspondente e um auditor interno leiam a mesma coisa.

A proteção de dados pessoais no direito arménio e os instrumentos do Conselho da Europa

A Arménia dispõe de legislação de proteção de dados pessoais supervisionada por uma autoridade que funciona junto do Ministério da Justiça, e é parte de instrumentos do Conselho da Europa em matéria de proteção de dados. O quadro estabelece deveres quanto ao fundamento de licitude, à limitação da finalidade, à proporcionalidade do tratamento, aos direitos dos titulares e à segurança do tratamento, e aplica-se às organizações arménias por direito próprio, e não apenas quando um cliente estrangeiro pergunta por ele. Saber se um determinado arranjo satisfaz as exigências de outra jurisdição é uma determinação das autoridades dessa jurisdição segundo as suas próprias regras, e não algo que um fornecedor de tecnologia deva afirmar.

O que uma plataforma pode fazer é tornar esses deveres exigíveis no ponto da chamada e não no ponto do documento de política. A minimização é aplicada na recolha, de modo que campos desnecessários para a finalidade nem sequer são enviados a um modelo. O acesso delimitado por função limita o que cada pessoa e cada serviço podem obter. Os modos de registo de conteúdo guardam uma impressão verificável em vez do próprio conteúdo quando este é sensível. A eliminação certificada emite um certificado inviolável quando os dados têm mesmo de desaparecer, incluindo do percurso de auditoria que de outro modo os preservaria. Cada acesso fica registado -- quem consultou, quando e ao abrigo de que autorização -- e qualquer saída que afete os direitos ou as prestações de uma pessoa é escalada para um ser humano antes de produzir efeitos. A organização carrega a obrigação; melhor prova é o que torna esse encargo praticável.

Duas referências ao mesmo tempo: a UEEA e o acordo de parceria com a União Europeia

A Arménia é membro da União Económica Eurasiática, o que traz arranjos aduaneiros e de regulamentação técnica comuns com os demais Estados membros, e tem também um acordo de parceria abrangente e reforçado com a União Europeia que cobre comércio, cooperação regulatória e aproximação de normas em vários setores. Para um exportador, um subcontratante ou um banco, a consequência prática é que o mesmo produto, a mesma remessa ou o mesmo conjunto de dados pode ter de ser descrito perante dois públicos regulatórios que não partilham vocabulário, nomenclatura nem expectativa probatória.

Isto é um problema de registos antes de ser um problema de política. Documentação de conformidade, classificação aduaneira, certificados de origem, processos técnicos, declarações de produto e descrições do tratamento de dados têm todos de ser produzidos duas vezes a partir de uma única realidade sem que as duas versões se afastem. Onde a IA apoia a classificação, a redação documental, a tradução ou a reconciliação entre esses regimes, o ponto de passagem governado aplica-se a cada etapa: entrada validada, saída validada face às regras próprias da organização para o regime em causa, escalamento para uma pessoa sempre que uma classificação implique consequências de direitos, pauta ou admissibilidade, e uma linha imutável por chamada. Quando o estatuto de uma regra está a evoluir, ou quando um compromisso de aproximação foi acordado mas ainda não transposto para o direito nacional, a posição honesta é dizê-lo com clareza e conservar o registo daquilo em que efetivamente se confiou no momento da decisão.

Mosteiros, museus e o registo de conservação

O património monástico e arqueológico da Arménia inclui sítios inscritos na Lista do Património Mundial da UNESCO -- os mosteiros de Haghpat e Sanahin, em Lori; o mosteiro de Gueghard e o vale superior do Azat; e a catedral e as igrejas de Echmiadzin com o sítio arqueológico de Zvartnots. A par deles estão as coleções museológicas e de manuscritos, entre as quais o Matenadaran em Erevan, cujo acervo é simultaneamente recurso de investigação e objeto de um dever de conservação. A inscrição e o estatuto de proteção trazem obrigações: monitorização do estado, registos de intervenção de conservação, licenciamento de obras dentro e em redor dos sítios protegidos e relatórios periódicos.

A digitalização e o trabalho assistido por IA sobre essas coleções -- reconhecimento ótico de carateres e reconhecimento de escrita manuscrita em manuscritos, avaliação do estado a partir de imagens, catalogação, tradução e atribuição -- produzem afirmações que investigadores, conservadores e organismos internacionais irão testar muito depois de terminado o projeto que as gerou. A plataforma regista, para cada passo assistido por IA, que modelo e que parâmetros produziram uma transcrição, uma proposta de datação ou uma classificação de estado, mantém a camada gerada por máquina distinguível da afirmação do próprio curador, e escala para uma pessoa sempre que uma determinação fosse entrar no catálogo como facto. Os processos de conservação e de licenciamento recebem o mesmo tratamento, de modo que uma decisão tomada sobre um sítio protegido pode ser reconstituída exatamente como estava, em vez de discutida de memória.

Implementação local em instalações arménias

A aplicação, a inferência e o registo de auditoria correm dentro do próprio ambiente da organização -- um centro de dados em Erevan, um centro de desenvolvimento em Gyumri, o escritório de um sítio mineiro em Syunik, a infraestrutura do próprio banco, a sala de servidores de um ministério. Os dados não saem do perímetro para serem processados, que é a única versão de residência de dados que se aguenta quando o auditor de um cliente pergunta.

Operação isolada como configuração suportada

Para a carga regulada de um cliente, reportes de supervisão, dados pessoais ao abrigo do direito arménio ou uma coleção detida em confiança, implemente sem qualquer via de saída. A plataforma não contacta o exterior para telemetria, verificação de licença ou encaminhamento de modelos, pelo que o isolamento total é uma configuração suportada e não degradada.

Aplicação sem ligação em terreno montanhoso

A governança não pára quando a conectividade pára. Num sítio mineiro de Syunik, numa estação de monitorização das montanhas de Lori, num sítio patrimonial em obras de conservação ou num levantamento de campo em Tavush, a validação continua a ser executada e o registo continua a ser escrito, e os registos criados sem ligação reconciliam-se de forma limpa quando a ligação regressa.

Partição por cliente e por jurisdição

Uma empresa que serve vários clientes estrangeiros, ou um exportador que responde às referências da UEEA e da União Europeia em simultâneo, precisa de manter separados os dados de um cliente e as regras de um regime dos de outro. Implemente de modo que cada partição aplique a sua própria política no mesmo ponto de passagem, com uma exportação de auditoria delimitada a um único cliente ou a um único regime, e não a tudo o que a plataforma alguma vez viu.