Entre Algoritmos e Evidências: Os Dilemas da Auditoria Governamental na Era da Dados Massivos

A promessa da administração pública digital sempre foi acompanhada de um corolário inevitável: a de que mais tecnologia significaria mais transparência e mais capacidade de controle. No entanto, a experiência recente dos órgãos de auditoria governamental tem revelado um cenário muito mais complexo. Ao passo que os governos mergulham em ecossistemas de dados massivos, inteligência artificial aplicada à gestão e sistemas cada vez mais interconectados, as estruturas tradicionais de fiscalização enfrentam um descompasso crítico entre a velocidade da inovação tecnológica e a capacidade de acompanhá-la com o devido rigor.

A primeira grande barreira imposta por essa nova realidade é de ordem estrutural e remonta à forma como a tecnologia foi incorporada ao setor público nas últimas décadas. Diferentemente do setor privado, onde a integração de sistemas costuma obedecer a uma lógica de padronização forçada pela competitividade, o Estado brasileiro construiu ao longo do tempo um verdadeiro arquipélago de soluções tecnológicas. É comum encontrar, em um mesmo ente federativo, sistemas de gestão financeira que datam dos anos 1990 convivendo com plataformas de compras públicas baseadas em nuvem, bancos de dados de recursos humanos em formatos proprietários e registros de políticas públicas estruturados em planilhas eletrônicas desconectadas. Para o auditor, essa fragmentação representa um trabalho inicial que consome a maior parte do tempo disponível: antes mesmo de iniciar qualquer análise substantiva sobre regularidade ou mérito da gestão, é necessário dedicar esforços monumentais à normalização, ao relacionamento e à validação de bases de dados que frequentemente se recusam a dialogar entre si. A consequência prática é que, em muitos casos, a auditoria acaba operando com atraso em relação ao ciclo de gestão, examinando amostras reduzidas quando o volume total de transações já alcança a casa dos milhões ou bilhões de registros anuais.

A essa dificuldade operacional soma-se um fenômeno ainda mais desafiador para os princípios clássicos do controle externo: a crescente utilização de inteligência artificial como ferramenta de gestão pública. Algoritmos de aprendizado de máquina vêm sendo empregados para definir prioridades na alocação de recursos da saúde, para classificar contribuintes em programas de fiscalização tributária e até para subsidiar decisões administrativas com base em modelos preditivos. O problema central que se coloca para a auditoria é que tais sistemas operam, em grande medida, como caixas-pretas. Quando um modelo de inteligência artificial nega um benefício assistencial a milhares de cidadãos com base em critérios que seus próprios desenvolvedores têm dificuldade de explicar explicitamente, como pode o auditor verificar se houve discriminação, se os dados de treinamento continham vícios estruturais ou se o algoritmo simplesmente reproduz, de forma amplificada, os mesmos preconceitos que a administração pública teria o dever de combater? A questão não é meramente teórica. Tribunais de Contas e controladorias têm se deparado com contratos de aquisição de sistemas de inteligência artificial nos quais o direito de acesso ao código-fonte é expressamente vedado pela fornecedora sob alegação de propriedade intelectual. Sem acesso ao código, sem possibilidade de examinar as bases de treinamento e sem metodologias consolidadas para testar a equidade algorítmica, o controle fica em uma posição desconfortável: ou confia cegamente na palavra do fornecedor e do gestor, ou simplesmente se declara incapaz de emitir juízo conclusivo sobre a regularidade do ato administrativo praticado com suporte em inteligência artificial.

Paralelamente a esses desafios relacionados à infraestrutura e à inteligência artificial, o universo das fraudes governamentais também passou por uma sofisticação notável. O velho estereótipo da fraude envolvendo notas fiscais frias impressas em gráficas clandestinas deu lugar a esquemas que exploram justamente as vulnerabilidades da alta complexidade tecnológica. Uma das fronteiras mais preocupantes nesse campo é o uso de identidades sintéticas e de tecnologias de manipulação audiovisual, conhecidas como deep fakes, para burlar os sistemas de autenticação digital que hoje dão acesso aos principais serviços públicos. Em um ambiente onde a contratação de servidores temporários, a assinatura de convênios e a movimentação de recursos públicos podem ser realizadas inteiramente por meio de plataformas digitais, a capacidade de criar pessoas fictícias com documentos, geolocalização e até mesmo reconhecimento facial forjados representa um vetor de risco ainda pouco mapeado pelos manuais de auditoria tradicionais. Os pregões eletrônicos, por sua vez, tornaram-se campo fértil para a atuação de robôs programados para simular competitividade onde há conluio, lançando lances em frações de segundo que inviabilizam a participação de concorrentes legítimos e criam uma aparência de disputa que, examinada em seus logs de sistema, revela-se pura encenação algorítmica.

Para além desses fenômenos diretamente relacionados à ação criminosa, a própria arquitetura de integração entre sistemas introduziu uma categoria de risco que os auditores estão apenas começando a compreender em sua totalidade. As interfaces de programação de aplicações, conhecidas pela sigla API, que permitem que sistemas diferentes troquem informações em tempo real, também se revelaram canais privilegiados para a inserção de irregularidades. Em situações já documentadas por órgãos de controle, fraudadores conseguiram, em vez de invadir diretamente os sistemas centrais, explorar vulnerabilidades nas pontes de comunicação entre sistemas de empenho e sistemas bancários, inserindo autorizações de pagamento fraudulentas que circulavam normalmente entre as plataformas justamente porque respeitavam os formatos e protocolos estabelecidos. O problema aqui é que a auditoria tradicional, focada na análise documental e na conferência de assinaturas, não está preparada para rastrear evidências que residem exclusivamente em registros de log, em metadados de transações ou em padrões de comunicação entre servidores.

Diante de tamanha complexidade técnica, o fator humano emerge como componente central do problema. A formação tradicional dos quadros de auditoria governamental no Brasil sempre privilegiou conhecimentos jurídicos, contábeis e econômicos. Embora tais saberes permaneçam absolutamente indispensáveis, eles se mostram insuficientes quando a irregularidade a ser detectada está codificada em linguagem de programação, quando a evidência de desvio reside em padrões anômalos de tráfego de dados ou quando o esquema fraudulento envolve conhecimentos de criptografia e segurança da informação. A ausência de perfis multidisciplinares, como cientistas de dados, engenheiros de software e especialistas em cibersegurança, nos quadros permanentes dos órgãos de controle, gera uma dependência perigosa em relação às próprias equipes técnicas dos órgãos auditados. Em vez de exercerem sua função constitucional de fiscalização independente, os auditores muitas vezes veem-se reduzidos à condição de usuários finais de relatórios e análises produzidas pelos mesmos sistemas que deveriam fiscalizar.

Há ainda um aspecto jurídico-institucional que adiciona camadas de complexidade ao cenário. A Lei Geral de Proteção de Dados impôs limites legítimos ao acesso a informações pessoais, mas também criou situações de tensão com o dever constitucional de fiscalização. O auditor encontra-se frequentemente diante de um dilema prático: para investigar indícios de fraude em políticas públicas de saúde ou assistência social, precisa acessar dados sensíveis dos beneficiários, mas o acesso indiscriminado a esses dados poderia configurar violação à privacidade. Soluções como a criação de ambientes isolados de auditoria e o uso de técnicas de anonimização ainda são exceções no universo do controle público, o que faz com que muitos procedimentos de fiscalização ou avancem sobre direitos individuais de forma desprotegida ou simplesmente deixem de examinar aspectos essenciais das políticas sob sua responsabilidade.

A superação desse conjunto de desafios não admitirá soluções pontuais ou meramente incrementais. O que se coloca para a auditoria governamental contemporânea é a necessidade de uma transformação estrutural equivalente em profundidade à transformação digital que já ocorreu na gestão pública. Isso implica, antes de tudo, repensar o próprio modelo de provimento de pessoal dos órgãos de controle, com a criação de carreiras específicas para profissionais de tecnologia e análise de dados, dotadas de atratividade compatível com a complexidade técnica das atribuições. Significa também investir na construção de plataformas de auditoria contínua que permitam, em vez do exame periódico de amostras, o monitoramento permanente da totalidade das transações governamentais, com capacidade de gerar alertas automáticos diante de padrões de risco predefinidos.

No campo específico da inteligência artificial, os órgãos de controle precisarão desenvolver metodologias próprias de auditoria algorítmica, estabelecendo como exigência contratual mínima o direito de acesso ao código-fonte, aos dados de treinamento e aos registros de decisões automatizadas sempre que sistemas dessa natureza forem adquiridos pela administração pública. A experiência internacional já demonstra ser possível auditar algoritmos sem violar direitos de propriedade intelectual, mediante a utilização de ambientes controlados nos quais especialistas independentes podem testar os sistemas em condições simuladas, verificando a presença de vieses discriminatórios e a conformidade com os princípios da administração pública.

A jornada que se apresenta à auditoria governamental é, portanto, tão desafiadora quanto inevitável. Em um mundo onde a própria noção de documento público está sendo substituída por registros de transações em sistemas distribuídos, onde decisões administrativas são progressivamente delegadas a modelos preditivos e onde as fronteiras entre o real e o manipulado tornam-se cada vez mais tênues, os órgãos de controle não podem se dar ao luxo de permanecer ancorados em métodos e estruturas concebidos para uma realidade analógica. A credibilidade da própria ideia de controle externo, como garantia de que os recursos públicos são aplicados com regularidade e eficiência, dependerá diretamente da capacidade de esses órgãos evoluírem na mesma velocidade dos sistemas que fiscalizam. O futuro da transparência pública será decidido não nos arquivos físicos, mas nos algoritmos, e a auditoria terá que aprender a habitar esse novo território com a mesma legitimidade e independência que sempre caracterizaram sua atuação no mundo do papel.

Este artigo reflete a experiência acumulada na interseção entre controle governamental e transformação digital. As opiniões aqui expressas são de responsabilidade do autor e não representam necessariamente a posição institucional de qualquer órgão de auditoria.