IA governada para as instituições malaias,
concebida para o comité de charia, o lagar, a sala de testes e o centro de dados

A conformidade com a charia como determinação revisível, não como alegação comercial

A Malásia é o centro mundial das finanças islâmicas e há muito a maior jurisdição de emissão de sukuk, com um sistema dual em que bancos islâmicos e operadores de takaful convivem com instituições convencionais sob legislação e supervisão próprias. A conformidade com a charia não é aqui um rótulo colado a um produto depois do facto. É uma determinação: um comité de charia pronuncia-se sobre uma estrutura, uma metodologia de triagem ou uma divulgação, e o conselho consultivo de charia do Bank Negara Malaysia e o da Comissão de Valores Mobiliários são os órgãos com autoridade nas matérias das respetivas competências. Uma decisão é revisível, e as funções de revisão e auditoria de charia existem precisamente para testar se as operações correspondem ao que foi decidido.

Isso tem consequência direta para a IA. Quando um modelo intervém na estruturação de um sukuk ou de um produto de takaful, na triagem de valores mobiliários ou contrapartes segundo critérios de charia, na redação de uma comunicação ao cliente sobre um produto islâmico, ou na resposta à pergunta de um cliente sobre uma taxa de lucro ou um tipo de contrato, o sistema tem de conseguir mostrar o que lhe foi pedido, o que respondeu e sob que versão de política. Uma auditoria de charia faz a mesma pergunta que uma auditoria financeira: mostre-me o fundamento. A plataforma valida a entrada face à política de charia da própria instituição antes de o modelo correr, valida a saída face a essa política antes de chegar a um cliente ou a um documento, escala para uma pessoa designada da função de charia sempre que uma determinação ultrapasse a política estabelecida, e escreve uma linha imutável no registo por cada chamada — ator, ação, entradas, saídas, versão do modelo, versão da política e veredicto. Uma determinação de conformidade que não pode ser reconstituída não é uma determinação que um auditor de charia possa assinar.

Rastreabilidade do óleo de palma até à parcela de terreno

A Malásia é um dos dois maiores produtores mundiais de óleo de palma, e a base de fornecimento vai das grandes propriedades aos lagares e refinarias até aos pequenos produtores independentes, cujo fruto é agregado por comerciantes antes de chegar a um lagar. O Conselho Malaio do Óleo de Palma licencia lagares, propriedades e comerciantes, e a certificação Malaysian Sustainable Palm Oil cobre essa base. As regras da União Europeia sobre desflorestação levam a exigência muito para além da certificação: um operador que coloque a matéria-prima nesse mercado tem de conseguir indicar a parcela de terreno de onde o material veio, com geolocalização, e demonstrar diligência devida quanto à legalidade e ao estatuto de desflorestação. O calendário de aplicação dessas regras foi revisto mais do que uma vez, pelo que a data operativa deve ser confirmada no texto em vigor e não presumida — mas o sentido da obrigação não está em dúvida.

A parte difícil é que, em boa parte da base de pequenos produtores, o registo ainda não existe e tem de ser construído e não apenas recolhido. Limites de parcela, propriedade e posse da terra, agregação por comerciantes, entrada no lagar por origem, balanço de massa através da refinaria e declarações de diligência devida por expedição formam uma cadeia em que um elo fraco invalida a alegação final. Onde a IA intervém — conciliar a entrada no lagar com as parcelas declaradas, classificar imagens de satélite para detetar alterações do coberto, cruzar identidades de pequenos produtores entre registos de comerciantes, redigir uma declaração de diligência devida — a plataforma valida a entrada antes de o modelo correr, valida a saída face às regras de abastecimento da própria operação, escala para uma pessoa sempre que uma inferência atribuiria material a uma parcela que não consegue comprovar, e escreve uma linha imutável por cada chamada. Uma alegação de rastreabilidade vale o que vale o registo que a sustenta, e esse registo é lido por um comprador, um auditor e um regulador noutra jurisdição.

A lei de proteção de dados pessoais, alterada: notificação de violações e encarregado de proteção de dados

A lei de proteção de dados pessoais de 2010 rege o tratamento de dados pessoais em transações comerciais e é administrada pelo Departamento de Proteção de Dados Pessoais, sob o Ministério Digital. A lei de alteração aprovada em 2024 mudou o regime em aspetos que contam na prática: a terminologia passou a responsável pelo tratamento e subcontratante, os subcontratantes passaram a ter obrigações de segurança diretas e não apenas através do responsável, foi introduzida a notificação obrigatória de uma violação de dados pessoais ao comissário, a par da notificação aos titulares afetados quando a violação seja suscetível de causar dano significativo, passou a exigir-se a designação de um encarregado de proteção de dados, e o regime de transferências transfronteiriças foi reformulado. Estas obrigações entraram em vigor por fases, com orientações do departamento sobre notificação de violações e sobre a designação do encarregado, pelo que as datas exatas de entrada em vigor e o texto das orientações merecem ser confirmados nas publicações do próprio departamento e não de memória.

O efeito prático é um relógio e uma pessoa com nome. Uma obrigação de notificação só é cumprível se for possível estabelecer rapidamente que dados estavam envolvidos, de quem eram e o que lhes foi feito, o que é um problema de evidência antes de ser jurídico. Onde a IA trata dados pessoais, a plataforma aplica minimização no ponto de recolha, acesso delimitado por perfil para que um utilizador veja apenas os registos que o seu perfil permite, modos de registo que guardam uma impressão verificável em vez do próprio conteúdo, e um registo imutável de cada acesso — quem consultou, quando e ao abrigo de que autoridade. A eliminação certificada produz um certificado à prova de adulteração quando os dados têm mesmo de desaparecer. Quando o departamento pergunta o que aconteceu, a resposta é uma consulta a um registo e não uma reconstituição de memória.

Bank Negara e a Comissão de Valores Mobiliários: evidência que um supervisor aceita

O Bank Negara Malaysia supervisiona bancos, bancos islâmicos, seguradoras e operadores de takaful e está no centro do regime de combate ao branqueamento; a Comissão de Valores Mobiliários da Malásia supervisiona os mercados de capitais, os intermediários licenciados e os mercados de sukuk e de investimento coletivo; a Autoridade de Serviços Financeiros de Labuan supervisiona o centro de Labuan; e o seguro de depósitos e a proteção do takaful cabem à Perbadanan Insurans Deposit Malaysia. As instituições malaias operam ainda regionalmente na ASEAN e mantêm relações de correspondência que acrescentam contrapartes, cada uma das quais precisa de ficar satisfeita com a mesma evidência.

A triagem de branqueamento e sanções, os modelos de crédito e de subscrição, a identificação eletrónica do cliente, a deteção de fraude, os reportes de supervisão e a reconciliação em ringgit passam todos por um único ponto de passagem governado. A triagem é aplicada e não meramente consultiva: uma correspondência bloqueia a chamada, uma derrogação escala para uma pessoa designada, e a decisão de derrogação é ela própria escrita no registo com o respetivo motivo. As saídas do modelo são validadas face às regras da própria instituição antes de chegarem a quem decide, e qualquer determinação que afete o acesso de um cliente a um produto ou o preço que lhe é oferecido escala para uma pessoa. É a organização que suporta a obrigação regulatória; o que uma melhor evidência muda é a possibilidade prática de a cumprir. Produza o registo de supervisão uma vez, numa forma que um supervisor prudencial, um auditor de charia e um auditor externo aceitem, em vez de o montar separadamente para cada um.

Penang, Kulim e o polo de fase final: a cadeia de custódia como obrigação comercial

O corredor que atravessa Penang, a zona industrial de Bayan Lepas e Kulim, em Kedah, é um dos principais centros mundiais de montagem, teste e encapsulamento de semicondutores, a par de uma indústria elétrica e eletrónica considerável e de uma base crescente de conceção e encapsulamento avançado. O trabalho é preciso, de grande volume e fortemente instrumentado: dados de teste, análise de rendimento, classificação de defeitos, telemetria de equipamentos e rastreabilidade por lote e por unidade são produzidos continuamente e em escala.

Duas coisas fazem da governança aqui mais do que uma questão de qualidade industrial. Receitas de processo, programas de teste, dados de rendimento e desenhos de cliente são a propriedade intelectual mais sensível da instalação e pertencem frequentemente a um cliente e não à fábrica, o que torna o acesso delimitado por perfil e o registo imutável de acessos uma obrigação contratual tanto quanto um controlo de segurança. E a Malásia administra controlos de comércio estratégico ao abrigo da lei de comércio estratégico de 2010, com exigência de licença para certas reexportações, incluindo chips de IA de alto desempenho de origem norte-americana, pelo que a documentação de uso final, utilizador final e cadeia de custódia é um registo de conformidade vivo e não burocracia. Onde a IA intervém em análise de rendimento, classificação de defeitos, planeamento ou classificação aduaneira, a entrada é validada antes de o modelo correr, a saída é validada face às regras da própria fábrica, e cada chamada escreve uma linha que mostra que dados de que cliente foram tocados e sob que autoridade.

Os centros de dados de Johor e a residência do outro lado de uma fronteira

Johor tornou-se uma das localizações de centros de dados de crescimento mais rápido da região — Sedenak, Kulai e Iskandar Puteri, mesmo do outro lado do estreito face a Singapura — e o acordo de zona económica especial Johor-Singapura destina-se a aprofundar essa integração. Para uma instituição cujos utilizadores, contratos e supervisores estão num país enquanto os bastidores estão noutro, isto levanta uma questão fácil de enunciar e difícil de resolver com um diagrama de arquitetura: que lei rege este registo, e consegue mostrar onde o tratamento efetivamente ocorreu?

A residência tem de ser aplicada e não afirmada. Implemente de modo que os dados regidos pelas regras de uma jurisdição permaneçam onde essas regras o exigem, com política específica por jurisdição aplicada no mesmo ponto de passagem e não em sistemas separados que acabam por divergir, e com o local do tratamento escrito na linha de registo de cada chamada. Onde uma carga de trabalho atravessa legitimamente a fronteira, o limite é explícito: o que pode passar, sob que forma, com que base jurídica e quem o aprovou. A disponibilidade de eletricidade e água, as licenças de urbanismo e a ligação à rede passaram também a fazer parte do registo operacional destas instalações, e são igualmente lidas mais tarde por pessoas que não estavam presentes quando as decisões foram tomadas.

Implementação local em instalações malaias

A aplicação de políticas, a inferência e o registo de auditoria correm dentro do próprio ambiente da instituição — o centro de dados de um banco em Kuala Lumpur, uma fábrica em Bayan Lepas, um lagar em Sabah, um hospital, uma administração estadual em Kuching. Os dados não saem do perímetro para serem processados, a única versão de residência de dados que efetivamente se sustenta.

Operação isolada como configuração suportada

Para material de comités de charia, dados pessoais ao abrigo da lei, receitas de processo e programas de teste pertencentes a clientes, ou reportes de supervisão, implemente sem qualquer via de saída. A plataforma não contacta o exterior para telemetria, verificação de licenças ou encaminhamento de modelos, pelo que o isolamento total é uma configuração suportada e não degradada.

Aplicação sem ligação, da plantação à plataforma ao largo

A governança não pára quando a conectividade pára. Num lagar do interior de Sarawak, numa plantação em Sabah, numa plataforma ao largo de Terengganu ou de Bintulu, ou numa instalação fronteiriça em Johor Bahru, a validação continua a executar-se e o registo continua a escrever, e os registos criados sem ligação reconciliam-se corretamente quando a ligação regressa.

Residência jurisdicional através do estreito de Johor e da ASEAN

A capacidade de centros de dados em Johor ao serviço de clientes do outro lado da fronteira, as operações regionais na ASEAN e os processos de diligência devida lidos por importadores noutras jurisdições tocam cada um em mais do que um regime jurídico. Implemente de modo que os dados regidos pelas regras de um país permaneçam onde essas regras o exigem, com o local do tratamento anotado em cada linha do registo.