IA no banco e regulador dormindo: quem paga a conta quando o risco vira sistêmico?

Eu tenho visto esse filme antes. Uma tecnologia nova entra em produção antes que alguém entenda completamente o que acontece quando ela falha em escala. No início dos anos 2000 foi assim com derivativos complexos. Depois com algoritmos de trading de alta frequência. Agora estamos repetindo o roteiro com inteligência artificial dentro dos bancos, e o sinal de alerta que organismos internacionais estão emitindo não é exagero regulatório: é diagnóstico de uma janela de risco que está aberta e ninguém sabe exatamente quanto tempo vai durar.

Um levantamento divulgado pela Reuters mostra que instituições financeiras estão implementando IA em ritmo mais que o dobro do que os reguladores conseguem supervisionar. Isso não é só um problema de burocracia lenta. É uma questão de arquitetura de risco. Quando o modelo que decide concessão de crédito, precificação de seguro ou detecção de fraude roda em produção sem que nenhuma autoridade tenha capacidade técnica de auditar o que está acontecendo dentro dele, o sistema como um todo fica exposto de um jeito que ninguém consegue dimensionar com precisão.

Minha aposta é que o mercado vai continuar avançando, e nenhum regulador do mundo vai conseguir parar isso. A questão estratégica é outra: o que as empresas e os times de TI responsáveis por essas implementações fazem com esse vácuo regulatório enquanto ele dura. Porque ele vai acabar, e quando acabar, quem não construiu governança própria vai pagar caro.

O descompasso não é novo, mas agora tem consequência sistêmica

Cada vez que uma tecnologia disruptiva chega ao setor financeiro, o regulador fica para trás por um tempo. É quase uma lei de física do mercado. A diferença com IA é a velocidade e a opacidade. Um derivativo complexo podia ser modelado matematicamente por um auditor competente. Um modelo de machine learning (aprendizado de máquina) com bilhões de parâmetros treinado em dados históricos não se abre pra inspeção da mesma forma. Você precisa de ferramentas específicas, de profissionais específicos e de uma metodologia que ainda está sendo construída pela academia e pela indústria ao mesmo tempo.

O Fundo Monetário Internacional e o Banco de Compensações Internacionais já sinalizaram que o risco é de contágio entre instituições que usam os mesmos modelos ou os mesmos fornecedores de modelos. Se um banco grande usa o mesmo sistema de scoring de crédito que outros quinze bancos, e esse sistema tem um viés que ninguém detectou, todos os quinze podem contrair as mesmas posições erradas ao mesmo tempo. Isso é risco sistêmico, o tipo de risco que derrubou o sistema em 2008, mas com uma camada de complexidade técnica extra que os modelos de supervisão atuais não foram desenhados pra capturar.

O vácuo regulatório não é convite para explorar sem critério. É uma janela de tempo que exige que as empresas construam sua própria governança antes que o regulador chegue com obrigações muito mais rígidas.

O que os times de TI e os CIOs precisam entender agora

Quando converso com líderes de tecnologia em empresas do setor financeiro, uma coisa me chama atenção: a maioria trata governança de IA como um problema de compliance futuro. “Quando sair a regulação, a gente se adapta.” Esse raciocínio tem um defeito grave. Regulação que chega depois de um incidente costuma ser draconiana, reativa e pouco sensível à realidade operacional de quem já está rodando os sistemas.

O que eu recomendo, e o que no meu time na UNODATA discutimos com clientes que já estão nessa jornada, é construir governança como parte da arquitetura, não como camada de conformidade adicionada depois. Isso significa pelo menos quatro coisas concretas:

1. Rastreabilidade de decisão: Todo output de modelo que afeta um cliente ou uma posição de risco precisa ter um log que permita reconstruir por que aquela decisão foi tomada. Não é só auditoria interna. É proteção jurídica e operacional.
2. Monitoramento de desvio (drift): Modelos treinados com dados de 2022 estão tomando decisões em 2025 num ambiente econômico diferente. Sem monitoramento contínuo de performance e desvio de distribuição de dados, você não sabe quando o modelo parou de ser confiável.
3. Separação de responsabilidade humana: Em que ponto um humano precisa revisar a decisão do modelo? Esse limite precisa estar documentado, testado e treinado no time. Não pode ser ambíguo na hora de um incidente.
4. Inventário de terceiros: Se você usa um modelo ou uma plataforma de IA de um fornecedor externo, o risco de concentração existe mesmo que você não veja. Quantas outras instituições usam o mesmo sistema? O que acontece se esse fornecedor tiver um problema de segurança ou uma falha de modelo em produção?

Governança não é burocracia: é vantagem competitiva

Eu sei que essa palavra, governança, parece pesada. Mas existe um ângulo estratégico que pouca gente está enxergando ainda: as instituições que construírem processos robustos de governança de IA agora vão ter uma vantagem considerável quando a regulação chegar com força. Elas já vão ter os processos rodando, a documentação pronta e o time treinado. As outras vão estar correndo contra o tempo pra se adequar, parando projetos em produção e investindo capital em remediação em vez de inovação.

O risco sistêmico que ninguém está precificando direito

Há um aspecto do problema que aparece pouco nas discussões executivas e que eu quero colocar na mesa de forma direta. A concentração de fornecedores de IA no setor financeiro global é enorme. Pouquíssimas empresas fornecem a infraestrutura de modelos que sustenta a maior parte das implementações. Isso cria um tipo de dependência que não existia em tecnologias anteriores.

Na infraestrutura tradicional, quando um fornecedor de servidores tinha problema, você podia migrar ou usar o concorrente com relativa agilidade. Modelos de linguagem grandes (LLMs) e plataformas de IA especializadas não funcionam assim. Há custo de troca altíssimo: dados de treinamento, integrações, validações, retreinamento. E há o risco de que vulnerabilidades num modelo amplamente adotado afetem simultaneamente todos os seus clientes, que são concorrentes entre si no mercado financeiro mas dependentes da mesma tecnologia.

Isso é, tecnicamente, risco de concentração. E é o tipo de risco que os modelos de capital regulatório atuais não foram calibrados pra medir. O regulador que está dois passos atrás dos bancos está quatro passos atrás desse problema específico.

O que eu espero que aconteça nos próximos 18 meses

Não tenho bola de cristal. Mas tenho leitura de como regulação de tecnologia se move historicamente, e algumas apostas me parecem seguras:

• Pelo menos um incidente relevante envolvendo decisão automatizada de crédito ou risco vai ganhar visibilidade pública e pressionar reguladores a agir de forma mais rápida do que o ritmo atual sugere.
• O Banco Central do Brasil vai avançar em exigências de explicabilidade para modelos de crédito antes do que a maioria das fintechs está esperando. O tema já está no radar da autarquia.
• Empresas que hoje tratam governança de IA como overhead vão revisitar essa posição depois de um ou dois ciclos de auditoria interna que encontrarem problemas que o modelo causou mas ninguém documentou.
• Vai surgir mercado para serviços de auditoria independente de modelos de IA. Isso já existe nos Estados Unidos e na Europa em estágio inicial. No Brasil vai chegar.

O que eu não espero é que o ritmo de adoção diminua. Ele não vai diminuir. A pressão competitiva é grande demais. O que vai mudar é o custo de não ter governança, e esse custo vai subir.

O caminho que eu defendo não é frear a adoção. É construir enquanto avança. Governança como parte da entrega, não como etapa separada que “vai ser feita depois”. Quem fizer isso agora vai ter mais liberdade de movimentação quando o regulador chegar com as regras formalizadas. Quem deixar pra depois vai estar preso numa corrida de remediação cara e desgastante.

A pergunta que eu deixo pra você que está lendo isso: no seu banco, na sua fintech, na sua corretora, você consegue explicar hoje como o modelo de decisão mais crítico que está em produção chegou à última resposta que deu? Se a resposta for não, esse é o ponto de partida.

Perguntas frequentes

Por que os reguladores estão ficando atrás dos bancos na adoção de IA?

O ritmo de adoção tecnológica dentro das instituições financeiras é guiado por pressão competitiva e disponibilidade de capital privado. Reguladores operam com ciclos mais lentos, equipes menores e dificuldade de contratar profissionais técnicos especializados em IA, que preferem remuneração do setor privado. O resultado é um descompasso estrutural que não é exclusivo da IA, mas que nesse caso tem consequências mais graves pela opacidade dos modelos.

O que é risco sistêmico no contexto de IA financeira?

Risco sistêmico é o risco de que um problema em uma parte do sistema se propague para todo o sistema de forma encadeada. No contexto de IA financeira, ele aparece quando múltiplas instituições usam os mesmos modelos ou os mesmos fornecedores de plataforma, criando exposição coletiva a um mesmo ponto de falha. Se um modelo amplamente usado tiver um viés não detectado, todas as instituições que dependem dele podem tomar decisões erradas ao mesmo tempo, amplificando o impacto.

O que é drift de modelo e por que isso importa para bancos?

Drift de modelo (ou desvio de modelo) é o fenômeno em que um modelo de machine learning começa a performar pior ao longo do tempo porque o ambiente em que ele toma decisões mudou em relação ao ambiente em que foi treinado. Para bancos, isso significa que um modelo de concessão de crédito treinado num ciclo econômico de juros baixos pode subestimar risco num ciclo de juros altos. Sem monitoramento contínuo, esse desvio pode passar despercebido por meses antes de causar perdas concretas.

Como uma empresa pode começar a construir governança de IA sem paralisar os projetos em andamento?

O ponto de entrada mais prático é o inventário: mapear quais modelos estão em produção, o que eles decidem, quem é o responsável humano por cada um e se há log de decisão rastreável. Esse diagnóstico não para nada e cria a base para priorizar onde a governança precisa ser construída com mais urgência. A partir daí, a recomendação é inserir checklist de governança no processo de deploy (colocar em produção) de novos modelos, em vez de tentar corrigir retroativamente tudo que já está rodando de uma vez.