Terceirizar o trabalho com documentos de back office para um fornecedor de BPO ou automatizá-lo com IA nos seus próprios servidores: como um COO decide

Quando sinistros, tickets de suporte ou documentos de KYC se acumulam, um COO pode contratar mais pessoas, passar o trabalho a um fornecedor de BPO ou automatizá-lo com IA nos servidores da própria empresa. Os documentos de KYC (know your customer, conheça o seu cliente) são os documentos de identidade e outros registros que uma instituição financeira reúne antes de aceitar um cliente. BPO, sigla de business process outsourcing (terceirização de processos de negócio), significa que a equipe de outra empresa faz o trabalho, às vezes de outro país. Com a automação, um software em servidores que a sua empresa controla lê os documentos e passa para pessoas os que não consegue tratar. Um fornecedor de BPO serve para trabalhos em que a maioria dos documentos exige o julgamento de uma pessoa e em que pessoas de fora podem ver os documentos. Os tipos de documento que se repetem servem para a automação, assim como os documentos que precisam ficar dentro da empresa. Algumas empresas combinam as duas coisas.

Quais são as nossas opções para o trabalho com documentos de back office?

Aumentar a equipe interna mantém os documentos e o know-how dentro da empresa. Nesse caso, cada aumento de volume significa contratar e treinar pessoas que precisam de tempo para atingir o ritmo pleno.

Um fornecedor de BPO assume um processo inteiro, como a análise de sinistros ou a triagem de tickets de suporte, sob um contrato com níveis de serviço. Níveis de serviço são as metas com que o fornecedor se compromete, por exemplo, em quanto tempo cada documento precisa ser tratado. Encontrar e treinar as pessoas passa a ser tarefa do fornecedor. A equipe dele pode ficar em outro país e trabalhar nos sistemas do próprio fornecedor ou nos seus, com um login que você fornece.

Automação com IA nos seus próprios servidores significa um software que lê cada documento com um modelo de linguagem grande (LLM), o tipo de IA por trás do ChatGPT. O software confere os campos que extrai com as suas regras e grava nos seus sistemas os que passam. Os documentos que não passam nas verificações vão para uma pessoa.

Os caminhos podem ser combinados. O software pode assumir os campos rotineiros, como nomes, datas e valores em um formulário padrão, e deixar o resto para as pessoas.

Quem vê os nossos documentos quando um fornecedor de BPO faz o trabalho?

A equipe do fornecedor os vê, porque ler os documentos é o trabalho, e sinistros e documentos de KYC estão cheios de dados pessoais. Pelo Regulamento Geral sobre a Proteção de Dados (GDPR) da UE, uma empresa que trata dados pessoais em seu nome é um processador. A sua empresa continua sendo o controlador, quem decide por que e como os dados são usados.

O artigo 28 do GDPR, consultado em 19 de outubro de 2026 no EUR-Lex, o site oficial da UE para a sua legislação, diz que o controlador “recorre apenas a processadores que apresentem garantias suficientes”. Ele também exige um contrato ou outro ato jurídico vinculante com cada processador. Por esse contrato, o processador precisa garantir que “as pessoas autorizadas a tratar os dados pessoais” fiquem obrigadas à confidencialidade, por compromisso próprio ou por força de lei. O fornecedor também precisa da sua autorização por escrito antes de recorrer a outro processador, como um subcontratado que assume parte do trabalho.

Deixar a equipe do fornecedor fazer login nos seus sistemas, sem copiar arquivos para o fornecedor, ainda assim torna os dados acessíveis a ela. O Comitê Europeu de Proteção de Dados (EDPB), formado pelas autoridades de proteção de dados da UE, trata desse caso nas suas Diretrizes 05/2021, versão 2.0, de 14 de fevereiro de 2023, consultadas no mesmo dia.

Pelas diretrizes do EDPB, o acesso remoto a partir de um terceiro país, ou seja, de um país fora do Espaço Econômico Europeu (EEE), “também é considerado uma transferência” quando três critérios são cumpridos. Isso vale “mesmo que ocorra apenas por meio da exibição de dados pessoais em uma tela”. Um dos critérios é que a empresa que recebe o acesso, aqui o fornecedor de BPO, esteja em um terceiro país. O EDPB acrescenta que essa transferência “só pode ocorrer em determinadas condições”, previstas no Capítulo V do GDPR.

Os documentos ficam conosco se a IA rodar nos nossos próprios servidores?

Os documentos ficam com você se todas as partes do sistema, incluindo o modelo de linguagem, rodarem em servidores que a sua empresa controla. Nenhuma pessoa de fora lê os documentos como parte do trabalho diário, e o texto de cada documento não vai para a OpenAI nem para nenhum outro provedor de modelos. Se o sistema usar um modelo hospedado por um provedor externo, os documentos vão para esse provedor.

Nos seus próprios servidores, você ainda precisa decidir quais funcionários podem abrir quais documentos e o que o sistema pode gravar nos logs, os registros do que ele fez. As pessoas que constroem e operam o sistema podem precisar ver documentos reais. Uma empresa de engenharia que faz esse trabalho para você costuma ser, nesse caso, um processador nos termos do GDPR, assim como um fornecedor de BPO. O artigo sobre terceirizar o desenvolvimento de IA sem que os seus dados saiam da empresa, com link acima, explica como engenheiros externos podem trabalhar em um sistema assim.

Em um modelo misto, a equipe de um fornecedor de BPO pode trabalhar na fila de revisão do seu sistema, a lista de documentos que o software encaminhou a uma pessoa. A equipe do fornecedor vê então apenas esses documentos, e as regras do GDPR sobre contratos com processadores e sobre acesso remoto de fora do EEE continuam valendo para ela.

Quem é responsável se o trabalho terceirizado der errado?

A sua empresa mantém as obrigações que a lei impõe a ela, e o fornecedor assume obrigações próprias pelo contrato. O Regulamento de Prevenção à Lavagem de Dinheiro da UE, de número (UE) 2024/1624, consultado no EUR-Lex no mesmo dia, mostra como isso funciona para o KYC. Quando o regulamento passar a ser aplicável, o artigo 18 dele vai permitir que as empresas abrangidas, entre elas bancos e outras instituições financeiras, terceirizem para prestadores de serviços tarefas que o regulamento exige delas.

A empresa que terceiriza essas tarefas precisa notificar o seu supervisor, a autoridade que a fiscaliza, antes de o prestador começar. A empresa “continua integralmente responsável por qualquer ação, seja ato comissivo ou omissivo, relacionada às tarefas terceirizadas”. O artigo 18 também indica tarefas que “não podem ser terceirizadas em nenhuma circunstância”. Entre elas:

• A decisão sobre qual perfil de risco é atribuído a um cliente
• A decisão de aceitar um cliente ou de realizar com ele uma transação ocasional
• A aprovação das políticas, dos procedimentos e dos controles internos da empresa contra a lavagem de dinheiro e o financiamento do terrorismo
• A aprovação dos critérios para identificar transações e atividades suspeitas ou incomuns

O mesmo artigo proíbe terceirizar essas tarefas para prestadores sediados em terceiros países que a UE inclui em suas listas por riscos de lavagem de dinheiro. A exceção é um prestador do mesmo grupo, sob condições adicionais. O artigo 90 diz que o regulamento “é aplicável a partir de 10 de julho de 2027”, mais tarde para dois tipos de empresa, então verifique as regras nacionais que se aplicam a você hoje.

O considerando 47, que faz parte do preâmbulo do regulamento, acrescenta que “a utilização ou a aquisição de software de terceiros” pela empresa não é terceirização quando nenhum prestador de serviços executa a tarefa.

O software pode reunir os documentos de KYC de um cliente e conferir os campos deles, enquanto uma pessoa designada da sua empresa aprova o cliente. No caso dos sinistros, deixe por escrito quais decisões ficam sempre com os seus próprios funcionários, seja qual for o caminho que prepara o processo.

Como cada caminho lida com um salto de volume?

O fim do mês ou um prazo regulatório pode trazer um pico de documentos. Um fornecedor de BPO responde a um pico remanejando pessoas de outros trabalhos ou contratando. Pergunte com quanta antecedência ele precisa ser avisado e o que acontece com os níveis de serviço dele enquanto as pessoas novas aprendem as suas regras.

O software consegue processar mais documentos com as mesmas regras, desde que tenha capacidade de servidor suficiente. Os documentos que ele não consegue tratar continuam indo para pessoas, então um pico de digitalizações ruins ou de casos atípicos faz a fila de revisão crescer. Decida com antecedência quem trabalha nessa fila no seu dia de maior movimento: os seus próprios funcionários ou a equipe de plantão de um fornecedor.

Quem faz melhor o trabalho nos nossos documentos: a equipe de um fornecedor ou o software?

A mesma medição serve para os dois. Pegue uma amostra de documentos recentes de cada tipo e peça aos seus próprios funcionários que anotem o valor correto de cada campo. A equipe do fornecedor e o software são então pontuados com base nessa amostra, em cada campo de cada tipo de documento.

Um fornecedor pode processar a amostra em um teste, se as suas regras de compliance permitirem que a equipe dele veja esses documentos. O software é testado na mesma amostra, em servidores onde esses documentos podem ser processados. Compare a acurácia de cada campo, a parcela de documentos enviados a uma pessoa e o tempo entre a chegada de um documento e um registro concluído.

Meça os seus próprios funcionários na mesma amostra. As pessoas também erram, e a nota dos seus funcionários é o nível que os dois caminhos devem atingir. Os artigos com link acima, sobre as perguntas a fazer a uma empresa de automação e sobre comprar ou construir IA para documentos, explicam como montar a amostra. O segundo deles a chama de conjunto de aceitação.

Como os fornecedores de BPO e as empresas de engenharia cobram pelo trabalho?

Os modelos de preço variam, então pergunte a cada fornecedor de BPO e a cada empresa de engenharia como cobra. Um fornecedor de BPO pode cobrar por pessoa, por hora ou por documento tratado. O orçamento de uma empresa de engenharia pode ter duas partes: a construção do sistema e, depois, o suporte.

Anote os volumes que você espera por tipo de documento e por mês para três anos, incluindo o seu mês de maior movimento, e peça todos os orçamentos com base nesses mesmos números. Some os seus próprios custos: servidores e funcionários da fila de revisão, no caso do software, ou o tempo que os seus gestores gastam supervisionando um fornecedor. Cada orçamento também deve mostrar como o preço muda quando o seu volume cai ou um formulário muda.

Se encerrarmos o contrato, o que fica conosco?

Com um fornecedor de BPO, boa parte do know-how, como a forma de tratar casos atípicos, fica na cabeça da equipe dele. Esse conhecimento vai embora com a equipe no fim do contrato, a menos que tenha sido registrado por escrito.

Peça ao fornecedor, desde o início, regras do processo por escrito, e faça com que sejam atualizadas à medida que o trabalho muda. Guarde a amostra com as respostas corretas nos arquivos da própria empresa. As regras escritas e a amostra permitem passar o trabalho para um novo fornecedor ou para um software e verificar se a qualidade se mantém.

Para os dados pessoais contidos nos documentos, o artigo 28 do GDPR exige que o contrato com o processador diga o que acontece quando o trabalho termina. À escolha da sua empresa, o processador “apaga ou devolve todos os dados pessoais ao controlador depois de concluída a prestação de serviços”. Ele também apaga as cópias que tiver, a menos que a lei exija que as guarde. Combine antes de assinar qual das duas opções você quer e como o fornecedor vai confirmá-la.

No caminho da automação, ficam com você o código, as instruções dadas ao modelo e qualquer modelo treinado adicionalmente com os seus dados, se o contrato os transferir para você. Leia o que o contrato exclui, como os componentes que a empresa reutiliza de um projeto para outro.

O que devemos perguntar a um fornecedor de BPO e a uma empresa de engenharia?

Envie as mesmas perguntas a todos os candidatos, nos dois caminhos:

• Onde vão ficar as pessoas que veem os nossos documentos, e elas vão fazer login nos nossos sistemas ou copiar arquivos para os de vocês?
• Quais outras empresas participariam do trabalho, e em quais países?
• Vocês vão processar a nossa amostra de documentos antes de assinarmos, para que possamos pontuar os resultados campo a campo?
• O que acontece com um documento que vocês não conseguem tratar, e quem na nossa empresa o vê em seguida?
• Quando o contrato terminar, quais regras escritas, código e dados voltam para nós, e em que formato?

As regras sobre terceirização, transferências de dados e verificações de clientes variam por país e por setor. Este artigo usa textos da UE como exemplos e não é aconselhamento jurídico, então confirme o seu caminho com um advogado ou com o seu regulador.

Onde a amBrain se encaixa?

O único projeto com modelo de linguagem que a amBrain descreve publicamente é este: “Levamos à produção uma integração de LLM dentro do perímetro de FinTech de um cliente: extração e normalização de avisos não estruturados de corretoras e de venues — eventos corporativos, alterações de instrumentos e de margem — em registros estruturados que o sistema de trading consome.”

Este artigo não é um estudo de caso, e o cliente não é nomeado. A frase citada não diz onde o modelo rodava naquele projeto nem quais das etapas descritas acima ele incluía. Nada aqui afirma que a amBrain construiu sistemas para sinistros, tickets de suporte, documentos de KYC ou quaisquer outros documentos de back office. Também não afirma que a amBrain substituiu um fornecedor de BPO, trabalhou com um ou operou um modelo misto de software e equipe de um fornecedor.

O GDPR e o Regulamento de Prevenção à Lavagem de Dinheiro aparecem neste artigo apenas como regras que a sua empresa pode ter de seguir. O artigo não afirma nada sobre a situação de conformidade da própria amBrain com essas ou quaisquer outras regras. Ele não traz preços nem prazos da amBrain, nem condições para um protótipo ou piloto, incluindo um teste na sua amostra antes da assinatura.

A amBrain constrói software desde 2019. Ela trabalha em três formatos: entrega completa, time dedicado ou engenheiros embarcados no seu time. A frase dela sobre propriedade é: “O cliente mantém a propriedade integral do produto e do código, exceto dos nossos componentes reutilizáveis.” Se a amBrain estiver na sua lista curta, dê a ela a mesma amostra e as mesmas perguntas que a qualquer outra empresa de engenharia.