Governança de IA em Instituições Financeiras: Guia para Conformidade com BACEN e CMN
Série: IBGIA Policy Briefs Número: PB-2026-006 ISSN: Em processo de registro Data: Março de 2026
Autores: André Nakamura — Coordenador Técnico, IBGIA; Thiago Almeida — Coordenador de Pesquisa, IBGIA Contato: [email protected] | ibgia.org
Sumário Executivo
O setor financeiro brasileiro é um dos maiores usuários de sistemas de IA, com aplicações em crédito, detecção de fraudes, atendimento ao cliente, gestão de riscos e investimentos. Com o PL 2338/2023 em tramitação e regulação setorial específica do Banco Central do Brasil (BACEN) e do Conselho Monetário Nacional (CMN) em evolução, instituições financeiras precisam estruturar sua governança de IA em dois eixos: conformidade regulatória e gestão de riscos.
Este policy brief oferece orientação prática para bancos, cooperativas de crédito, corretoras, fintechs e demais instituições reguladas pelo BACEN sobre como adequar sua governança de IA ao marco regulatório brasileiro — atual e prospectivo.
Principais recomendações:
- Tratar sistemas de IA de crédito como sistemas de alto risco — aplicar AIA antes de implantar
- Mapear todos os sistemas de IA sujeitos à regulação BACEN/CMN e classificá-los pelo PL 2338/2023
- Criar estrutura de governança de IA integrada à gestão de riscos existente (RBAN, Basileia)
- Garantir explicabilidade de decisões de crédito para cumprimento do CDC e da regulação de crédito
- Implementar monitoramento contínuo de viés algorítmico em scoring e concessão de crédito
1. Contexto: IA no Sistema Financeiro Brasileiro
1.1 Aplicações Prevalentes
O sistema financeiro brasileiro utiliza IA em múltiplas dimensões:
Crédito e Scoring: Modelos de scoring de crédito baseados em machine learning são a aplicação mais crítica. O Brasil tem um dos mercados de crédito mais desenvolvidos da América Latina, com uso intenso de bureau de crédito (Serasa, SPC) e open finance. Modelos de IA analisam dados transacionais, comportamento digital, dados de open finance e variáveis não tradicionais para precificação de risco.
Detecção de Fraudes: Sistemas de IA analisam padrões transacionais em tempo real para identificar fraudes. O Pix, com mais de 4 bilhões de transações mensais, é monitorado extensivamente por sistemas de IA. A Resolução BCB 342/2023 já estabelece requisitos específicos para prevenção de fraudes em Pix.
Atendimento ao Cliente: Chatbots e assistentes virtuais baseados em LLMs atendem a maioria das interações de clientes dos grandes bancos brasileiros (Inter, Nubank, Bradesco, Itaú). Esses sistemas têm impacto direto na experiência do cliente e levantam questões de transparência.
Gestão de Risco e Compliance: Sistemas de IA para análise de risco de mercado, crédito e operacional, monitoramento de compliance e prevenção à lavagem de dinheiro (AML/KYC).
Investimentos: Robôs-advisors e sistemas de análise de portfólio para wealth management e previdência privada.
1.2 O Ecossistema Regulatório Financeiro
O BACEN tem sido proativo na regulação digital, incluindo aspectos de IA. As principais normas relevantes são:
- Resolução CMN 4.557/2017: Estrutura de gerenciamento de riscos, incluindo risco de modelos — base para governança de modelos de IA
- Resolução BCB 85/2021: Política de segurança cibernética — inclui sistemas de IA como ativos críticos
- Resolução BCB 342/2023: Mecanismos de prevenção a fraudes no Pix — aplicação direta a sistemas de IA de detecção
- Circular BCB 3.978/2020: Política de prevenção à lavagem de dinheiro — uso de IA em AML/KYC
- Open Finance (Res. CMN 4.649/2021 e correlatas): Base para uso de dados em modelos de IA de crédito
2. Interação com o PL 2338/2023
2.1 Classificação de Sistemas Financeiros de IA
Sob a metodologia baseada em risco do PL 2338/2023, os principais sistemas de IA financeiros se classificam da seguinte forma:
Sistemas de Alto Risco:
- Scoring de crédito (afeta acesso a serviços financeiros essenciais)
- Sistemas de análise de elegibilidade para seguros e previdência
- Sistemas de avaliação para financiamento habitacional
- Ferramentas de análise de risco para crédito consignado
- Sistemas de decisão em crédito para MEIs e PMEs
Sistemas de Risco Limitado (obrigações de transparência):
- Chatbots e assistentes virtuais de atendimento
- Sistemas de recomendação de produtos financeiros
- Alertas automatizados de comportamento suspeito
Sistemas de Risco Mínimo:
- Modelos de previsão de mercado para uso interno
- Análise de dados para gestão de portfólio (sem decisão sobre clientes individuais)
- Sistemas de automação de processos internos (RPA)
2.2 Obrigações Específicas para Sistemas de Alto Risco
Para sistemas de scoring de crédito e similares, o PL 2338/2023 impõe:
- Avaliação de Impacto Algorítmico (AIA) prévia à implantação
- Supervisão humana efetiva — manutenção de capacidade de revisão humana
- Transparência sobre a existência e lógica geral do sistema
- Direito de explicação para decisões que afetem o cliente
- Monitoramento contínuo pós-implantação
- Documentação técnica mantida e disponível para reguladores
2.3 Sincronização com Regulação BACEN
A boa notícia para o setor financeiro é que a regulação prudencial do BACEN já exige, de forma geral, práticas que se alinham com o PL 2338/2023:
| Requisito PL 2338/2023 | Paralelo na Regulação BACEN | |------------------------|----------------------------| | Avaliação de Impacto Algorítmico | Gestão de risco de modelos (Res. CMN 4.557/2017) | | Documentação técnica | Validação independente de modelos | | Supervisão humana | Supervisão de comitê de risco | | Monitoramento contínuo | Back-testing e monitoramento de performance | | Transparência para regulador | Comunicação ao BACEN de sistemas críticos |
3. Risco de Viés Algorítmico no Crédito
3.1 O Problema do Viés em Scoring
Modelos de scoring treinados em dados históricos podem perpetuar e amplificar discriminações históricas. No Brasil, isso tem dimensão racial e socioeconômica relevante: se clientes negros, nordestinos ou de baixa renda têm historicamente menor acesso ao crédito formal, modelos treinados nesses dados podem sistematicamente subestimar a capacidade de pagamento desses grupos.
O problema é agravado pelo uso de variáveis proxy — dados aparentemente neutros (CEP, escolaridade, consumo digital) que correlacionam com raça ou renda, introduzindo viés mesmo sem variáveis explicitamente protegidas.
3.2 Obrigações e Riscos Legais
Código de Defesa do Consumidor (CDC): O art. 39, IV do CDC proíbe a vantagem manifestamente excessiva. Modelos de pricing de crédito que sistematicamente cobram taxas mais altas de grupos protegidos podem configurar prática abusiva.
Estatuto da Igualdade Racial (Lei 12.288/2010): Proíbe discriminação no acesso a crédito com base em raça ou cor. Modelos que produzem resultados discriminatórios, mesmo sem intenção, podem violar esse estatuto.
LGPD: O uso de dados para decisões automatizadas que produzam efeitos significativos sobre o titular deve ser informado, com direito de revisão humana (art. 20).
PL 2338/2023: Especificamente proíbe o uso de IA para fins discriminatórios baseados em características protegidas.
3.3 Boas Práticas de Mitigação
-
Auditoria de viés: Antes de implantar um modelo de crédito, testar sua performance desagregada por raça, gênero, região geográfica e faixa de renda. Documentar métricas de equidade (equalized odds, demographic parity, etc.)
-
Revisão periódica: Monitorar continuamente se a performance do modelo se mantém equânime entre grupos após implantação
-
Variáveis proibidas e proxies: Mapear e revisar variáveis que possam ser proxies para características protegidas
-
Documentação: Registrar o processo de mitigação de viés para evidenciar diligência em eventual questionamento regulatório ou judicial
4. Explicabilidade e Direito do Consumidor
4.1 O Direito de Explicação em Crédito
O cliente que tem crédito negado tem direito de saber por quê. Esse direito está amparado em múltiplos instrumentos:
- CDC, art. 43: Direito de acesso e retificação de informações cadastrais que servem de base para decisões de crédito
- Lei do Cadastro Positivo (Lei 12.414/2011): Obrigação de informar ao consumidor os critérios gerais de avaliação de crédito
- LGPD, art. 20: Direito à revisão de decisões automatizadas e à explicação dos critérios utilizados
- PL 2338/2023: Direito de explicação sobre a lógica e critérios do sistema de IA
4.2 Implementação Prática
A explicabilidade em modelos de machine learning requer abordagem técnica específica:
Modelos Interpretáveis: Regressão logística e árvores de decisão são naturalmente interpretáveis, mas podem ter performance inferior a modelos mais complexos.
Técnicas de Explicabilidade Post-hoc: SHAP (SHapley Additive exPlanations) e LIME (Local Interpretable Model-agnostic Explanations) podem gerar explicações locais para modelos de maior complexidade (gradient boosting, redes neurais).
Explicações para o Cliente: A explicação fornecida ao cliente deve ser:
- Em linguagem simples e acessível
- Específica para aquela decisão individual (não apenas "utilizamos um modelo de análise")
- Acionável — informar o que o cliente pode fazer para melhorar sua situação
- Consistente com a lógica real do modelo
Exemplo de Boa Prática: Em vez de "Sua solicitação foi negada com base em análise de risco", fornecer: "Seu pedido não foi aprovado porque o histórico de pagamentos nos últimos 12 meses apresenta X atrasos, e sua renda declarada representa Y% do valor solicitado. Para melhorar suas chances, sugerimos [ações concretas]."
5. Open Finance e IA: Oportunidades e Riscos
5.1 Open Finance como Base para IA de Crédito
O Open Finance brasileiro (em implementação desde 2021) cria infraestrutura de dados que habilita modelos de crédito mais precisos e inclusivos. Com acesso a dados transacionais completos do cliente (com consentimento), é possível avaliar capacidade de pagamento de forma mais abrangente, potencialmente incluindo clientes historicamente excluídos do crédito formal.
Oportunidade: IA treinada em dados de Open Finance pode reduzir o problema de viés histórico ao incorporar dados comportamentais recentes, em vez de depender de histórico de crédito limitado.
Risco: A mesma riqueza de dados permite segmentação mais precisa, podendo ser usada para pricing discriminatório ou para excluir grupos específicos com base em padrões comportamentais correlacionados a características protegidas.
5.2 Consentimento e Finalidade
O Open Finance opera sob regime de consentimento. O uso de dados de Open Finance em modelos de IA de crédito deve:
- Estar dentro do escopo do consentimento dado pelo cliente
- Ser informado ao cliente de forma clara
- Permitir revogação do consentimento sem penalidade no acesso ao crédito
6. Estrutura de Governança Recomendada
6.1 Modelo de Governança para Sistemas de IA Financeiros
Para instituições reguladas pelo BACEN, recomendamos integrar a governança de IA ao framework de gestão de riscos existente:
Nível Estratégico (Conselho/Diretoria):
- Aprovação da Política de Governança de IA
- Supervisão de riscos materiais de IA
- Reporte integrado ao BACEN (quando exigido)
Nível Tático (Comitê de Riscos):
- Aprovação de novos sistemas de IA de alto risco
- Revisão de AIA e resultados de auditoria de viés
- Monitoramento de indicadores de performance e equidade
Nível Operacional (Áreas de Tecnologia, Risco e Compliance):
- Desenvolvimento e manutenção de modelos
- Execução de AIA e testes de viés
- Monitoramento contínuo pós-implantação
- Atendimento a reclamações de clientes sobre IA
6.2 Checklist de Prontidão
- [ ] Inventário completo de todos os sistemas de IA em uso na instituição
- [ ] Classificação de cada sistema segundo o PL 2338/2023 (alto risco / limitado / mínimo)
- [ ] AIA realizada para todos os sistemas de alto risco
- [ ] Política interna de governança de IA aprovada pelo Conselho
- [ ] Processo de revisão humana para contestações de decisões de crédito
- [ ] Canal de atendimento para reclamações sobre IA
- [ ] Mecanismo de explicabilidade implementado para decisões de crédito
- [ ] Auditoria de viés realizada e documentada
- [ ] Monitoramento contínuo de performance e equidade em produção
- [ ] Treinamento de equipes em governança de IA
Referências e Recursos
- Resolução CMN 4.557/2017 (Estrutura de gerenciamento de riscos)
- Resolução BCB 85/2021 (Política de segurança cibernética)
- LGPD — Lei 13.709/2018, especialmente art. 20 (Decisões automatizadas)
- PL 2338/2023 (Marco Legal da IA)
- IBGIA WP-2026-002: Framework de maturidade em governança de IA
- IBGIA WP-2026-003: Riscos algorítmicos no setor público
- IBGIA PB-2026-004: Checklist de conformidade com o PL 2338/2023
- BACEN. Relatório de Estabilidade Financeira. Brasília, 2025.
Para suporte na implementação: [email protected]
Sobre o IBGIA
O Instituto Brasileiro de Governança em Inteligência Artificial (IBGIA) é uma associação civil sem fins lucrativos dedicada a promover práticas responsáveis de desenvolvimento e uso de IA no Brasil. Saiba mais em ibgia.org.
Este documento é fornecido para fins informativos e não constitui assessoria jurídica ou regulatória. Instituições financeiras devem consultar seus departamentos jurídicos e de compliance para análise específica.