Papel da Indústria de IA na Definição de Padrões de Serviços Financeiros

O governo federal oficialmente passou a responsabilidade, e a indústria de serviços financeiros agora é responsável por supervisionar, monitorar e garantir a segurança de modelos de IA gerativos e agênticos. Isso não é uma possibilidade futura ou um rumor regulatório. Dois desenvolvimentos políticos significativos no início de 2026 tornaram essa realidade inconfundível, e as instituições que reconhecem esse momento pelo que é serão muito melhor posicionadas do que aquelas que não o fazem.

A Paisagem Política Muda Decisivamente

Em março de 2026, a Casa Branca emitiu sua Estrutura de Política Nacional sobre IA, e o sinal não poderia ter sido mais claro. A administração reafirmou sua visão de que a regulação de IA é fundamentalmente uma questão de competitividade nacional, e não burocracia de proteção ao consumidor. O Princípio V da Estrutura estabelece que o Congresso não deve criar nenhum novo órgão federal de elaboração de regras para regular a IA, e deve apoiar o desenvolvimento e a implantação de aplicações de IA setoriais por meio de órgãos reguladores existentes e por meio de padrões liderados pela indústria. O Princípio VII reforça isso, pedindo ao Congresso que prevenha leis estaduais de IA que imponham cargas excessivas, em favor de um padrão nacional minimamente oneroso.

A mensagem é inconfundível: Washington não vai nos salvar. O governo federal escolheu a velocidade da inovação em vez da supervisão prescritiva, deliberadamente deixando a porta aberta para a indústria definir o que é uma IA responsável na prática. Isso representa uma escolha política deliberada e consequente, que carrega um peso real para todas as instituições que atualmente implantam ou avaliam ferramentas de IA.

O segundo grande desenvolvimento chegou em 17 de abril com a emissão de SR-26-2, “Orientação Revisada sobre Gerenciamento de Risco de Modelo,” do OCC, Federal Reserve Board e FDIC. Isso foi uma atualização longamente esperada para a orientação SR-11-7 que havia governado o gerenciamento de risco de modelo por mais de 15 anos. De muitas maneiras, o SR-26-2 é um documento bem-vindo. É mais curto, passando de 21 páginas densas e espaçadas para 12 páginas mais legíveis em espaço duplo. Ele substitui a linguagem prescritiva “deve” por princípios descritivos. Ele introduz limiares de materialidade, focalizando a atenção em bancos com $30 bilhões ou mais em ativos. E ele incentiva o pensamento de ciclo de vida, tratando o desenvolvimento, validação, implantação e monitoramento de modelos como uma disciplina contínua, e não como um exercício de conformidade de uma vez.

A Exceção Conspícua de IA

Mas aqui é onde a orientação se torna significativa e sombria. O SR-26-2 é explícito em suas limitações autoimpostas: “Esta orientação não estabelece padrões ou requisitos prescritivos; portanto, a não conformidade com esta orientação não resultará em críticas supervisoras.” Em linguagem clara: figurem isso por conta própria.

Ainda mais impressionante é a Nota de Rodapé 3, que exclui completamente os modelos de IA gerativos e agênticos do escopo da orientação, descrevendo-os como “novos e em rápida evolução.” A nota de rodapé reconhece que os bancos devem aplicar suas práticas de gerenciamento de risco e governança existentes a essas ferramentas, mas não oferece direção específica sobre como. No momento exato em que os riscos de IA estão se tornando mais concretos e consequentes, o governo federal formalmente se afastou.

Podemos entender a lógica. Orientações federais prematuras ou mal informadas sobre IA poderiam sufocar a inovação, criar desvantagens competitivas ou gerar consequências não intencionais. Reguladores podem preferir reunir comentários da indústria antes de codificar padrões. Mas a lacuna que isso cria é real e crescente. Modelos de IA gerativos e agênticos já estão operando dentro de instituições financeiras, tomando decisões, automatizando fluxos de trabalho e interagindo com clientes, enquanto o quadro regulatório que os governa permanece efetivamente silencioso.

Os Riscos Não São Teóricos

Sejamos diretos sobre o que está em jogo. Modelos de IA gerativos e agênticos representam uma categoria de risco que simplesmente não existia quando o SR-11-7 foi escrito em 2011. Esses sistemas podem aprender em tempo real, adaptando seu comportamento de maneiras que podem divergir de seu design original. Eles introduzem vulnerabilidades de segurança novas que os quadros de risco de modelo tradicionais não foram projetados para detectar. O Center for Internet Security emitiu um relatório formal em abril de 2026 alertando que ataques de injeção de prompt representam uma ameaça grave e crescente para as organizações que usam IA gerativa, observando que instruções maliciosas ocultas embutidas em documentos, e-mails e sites podem levar a dados sensíveis roubados, acesso não autorizado ao sistema e interrupção operacional. Ataques de injeção de prompt agora são classificados como a principal vulnerabilidade na OWASP Top 10 para aplicações de modelo de linguagem grande.

Sistemas de IA agêntica, capazes de tomar ações autonomamente no mundo a alta velocidade, ampliam esses riscos ainda mais. Eles podem criar falhas em cascata antes que qualquer revisor humano tenha a chance de intervir. E o setor financeiro está diretamente na mira: uma análise de segurança cibernética de 2026 confirmou 340 vítimas de ransomware em serviços financeiros durante 2025 apenas, com ataques acelerados por IA permitindo que atores ameaçadores se movam a velocidade de máquina em sistemas interconectados.

Essas não são preocupações hipotéticas para um futuro distante habilitado por IA. Elas são realidades operacionais de hoje. E instituições financeiras que implantam essas ferramentas sem estruturas de governança robustas não estão apenas assumindo riscos de reputação. Elas estão assumindo o peso total da responsabilidade que os reguladores, por ora, se recusaram a compartilhar.

A Indústria Deve Se Levantar ao Desafio

A ausência de mandatos federais não é uma luz verde para a inação. Concessionárias, bancos, prestamistas e seus fornecedores de tecnologia agora ocupam uma posição sem precedentes: eles devem construir a infraestrutura de governança que o governo escolheu não prescrever. Isso é tanto um fardo quanto uma oportunidade, e os dados sugerem que muitas instituições ainda não estão preparadas para isso.

A Pesquisa de Impacto de IA de 2026 da Grant Thornton, realizada com 950 executivos bancários, encontrou que os bancos são mais propensos a relatar que seus controles de IA não foram testados. Apenas 18 por cento dos líderes bancários expressaram total confiança em seus controles de IA, e metade dos respondentes citou barreiras de governança e conformidade como contribuintes para o subdesempenho ou falha de IA. Essa não é uma postura que se manterá à medida que a implantação de IA se aprofunda e a paciência regulatória se esgota.

As instituições que se movem rapidamente para desenvolver estruturas de governança de IA rigorosas, abrangendo monitoramento de modelos, explicabilidade, detecção de viés, testes de segurança e protocolos de supervisão humana, não apenas gerenciarão melhor seus riscos. Elas também darão forma aos padrões liderados pela indústria que a Casa Branca e os reguladores federais explicitamente convidaram o setor privado a criar. Os primeiros movimentos na governança de IA responsável têm uma oportunidade genuína de escrever as regras que todos os outros eventualmente seguirão.

O mercado de IA gerativa em serviços financeiros já é enorme e está acelerando rapidamente. De acordo com a Research and Markets, o setor de IA gerativa em serviços financeiros deve crescer de $1,89 bilhão em 2025 para $2,48 bilhão em 2026, representando uma taxa de crescimento anual composto de mais de 31 por cento. Essa taxa de crescimento torna a governança não um item desejável, mas um imperativo estrutural. Instituições que implantam IA nessa escala sem controles testados não estão construindo vantagem competitiva. Estão construindo responsabilidade não precificada.

O governo federal nos disse, em termos claros, que confia na indústria para acertar. Essa confiança não é incondicional, e não é permanente. A paciência regulatória tem um prazo de validade. Se falhas de IA de alto perfil começarem a se acumular, o pêndulo da supervisão voltará, e as regras escritas nesse ambiente quase certamente serão mais restritivas e menos viáveis do que qualquer coisa que a indústria poderia ter projetado para si mesma. A janela para agir em nossos próprios termos está aberta agora. A pergunta é se a indústria usará essa oportunidade.