O desafio dos dois reguladores para a IA nos serviços financeiros australianos

Bancos, seguradoras e fundos de previdência (superannuation) australianos operam sob uma arquitetura regulatória dupla que cria obrigações de governança de IA em camadas. A APRA (Australian Prudential Regulation Authority, autoridade australiana de regulação prudencial) regula a solidez prudencial, isto é, a resiliência financeira e operacional das entidades reguladas. A ASIC (Australian Securities and Investments Commission, comissão australiana de valores mobiliários e investimentos) regula a conduta de mercado, ou seja, a forma como as entidades tratam os clientes, gerenciam conflitos e apresentam seus produtos e serviços. Ambos os reguladores já dispõem de poderes aplicáveis à IA e ambos sinalizaram a expectativa de que a governança de IA seja integrada aos frameworks de governança das entidades, e não tratada como uma questão tecnológica à parte.

As expectativas da APRA em matéria de governança de IA

CPS 230, gestão de risco operacional: a norma de gestão de risco operacional da APRA, que entrou em vigor em 2025, aplica-se diretamente aos sistemas de IA usados em atividades de negócio relevantes. A CPS 230 exige que as entidades identifiquem, avaliem e gerenciem os riscos operacionais associados à tecnologia, incluindo a IA. As entidades devem manter controles adequados, testar a continuidade dos negócios e gerenciar prestadores terceirizados de serviços de tecnologia, o que é relevante para provedores de IA e fornecedores de modelos.

CPG 234, segurança da informação: a orientação prudencial de segurança da informação da APRA aplica-se aos sistemas de IA enquanto tecnologia da informação. Os requisitos da orientação relativos a gestão de ativos, controles de acesso, gestão de incidentes e avaliações de terceiros têm aplicação direta aos sistemas de IA. Um modelo de IA é um ativo de informação e deve ser tratado como tal sob a CPG 234.

CPS 220, gestão de riscos: a norma de gestão de riscos da APRA exige que as entidades tenham um framework abrangente de gestão de riscos cobrindo todos os riscos relevantes, inclusive os riscos emergentes. O risco de IA é um risco emergente que a APRA espera ver identificado, avaliado e gerenciado nos frameworks de risco das entidades. A responsabilização do conselho e da alta administração pelo risco de IA decorre dos requisitos de accountability da CPS 220.

Gestão de risco de modelos: o foco supervisório da APRA sobre risco de modelos estendeu-se dos modelos estatísticos tradicionais para os modelos de IA e aprendizado de máquina. A APRA espera que os frameworks já existentes de gestão de risco de modelos, com validação, documentação, monitoramento e escalonamento, se apliquem aos modelos de aprendizado de máquina. A maioria dos frameworks de MRM existentes apresenta lacunas significativas quando aplicada aos desafios de interpretabilidade e de desvio de distribuição que os modelos de aprendizado de máquina impõem.

As expectativas de conduta da ASIC em relação à IA

Obrigações de concessão responsável de crédito: a avaliação de crédito, a verificação de documentos e a decisão sobre empréstimos conduzidas por IA devem cumprir as obrigações de concessão responsável de crédito previstas no National Consumer Credit Protection Act (lei nacional de proteção ao crédito ao consumidor). A ASIC deixou claro que o uso de IA não altera a substância dessas obrigações, pois os credores continuam responsáveis por realizar consultas e verificações razoáveis, independentemente de o processo ser automatizado.

Dever de agir no melhor interesse do cliente (consultoria financeira): a consultoria financeira assistida por IA ou as ferramentas digitais próximas de consultoria devem cumprir o dever de agir no melhor interesse do cliente previsto no Corporations Act (lei societária australiana). A orientação da ASIC sobre consultoria digital deixa claro que esse dever se aplica independentemente do grau de automação.

RG 271, resolução interna de disputas: o guia regulatório de resolução interna de disputas da ASIC exige que as reclamações sobre decisões movidas por IA sejam tratadas da mesma forma que as reclamações sobre decisões humanas. As organizações não podem usar a automação como fundamento para negar processos de reclamação ou para fornecer explicações inadequadas sobre decisões desfavoráveis.

O efeito Robodebt sobre a governança de IA na Austrália

As conclusões da Comissão Real de Inquérito sobre o Robodebt tiveram efeito material sobre a forma como os reguladores australianos, incluindo a APRA e a ASIC, abordam a tomada de decisão automatizada. A constatação de que sistemas automatizados podem produzir resultados sistematicamente ilegais em larga escala, e de que as organizações podem não reconhecer nem responder a esses resultados, criou entre os reguladores australianos uma sensibilidade acentuada às falhas de governança de IA. Isso é observável no foco crescente da APRA sobre IA nas conversas de supervisão e nas declarações explícitas da ASIC sobre IA e obrigações de conduta.

Atualização de maio de 2026: APRA e ASIC elevam as expectativas de governança de IA

No fim de abril e no início de maio de 2026, tanto a APRA quanto a ASIC publicaram novas orientações relevantes sobre IA que elevam materialmente o patamar de governança exigido das empresas australianas de serviços financeiros.

A carta da APRA ao setor, de 30 de abril de 2026, representa as primeiras expectativas específicas sobre IA publicadas pela autoridade. Com base em uma revisão direcionada realizada no fim de 2025 junto a grandes bancos, seguradoras e administradores fiduciários de fundos de previdência (superannuation trustees), a APRA constatou que as práticas de governança, gestão de riscos, asseguração e resiliência operacional não estão acompanhando o ritmo de adoção da IA. A APRA agora espera, no mínimo: frameworks formais e linhas de reporte para a governança de IA; titularidade e responsabilização ao longo de todo o ciclo de vida da IA, do desenho ao descomissionamento; um inventário de todas as ferramentas e casos de uso de IA; envolvimento e responsabilização humana em decisões de alto risco; e treinamento estruturado do quadro de pessoal. A APRA também sinalizou a forte concentração de fornecedores como preocupação relevante, já que muitas entidades dependem de um único provedor de IA com estratégias limitadas de saída ou substituição, o que aciona diretamente os requisitos da CPS 230.

A carta aberta da ASIC, de 8 de maio de 2026, alerta que os modelos de IA de fronteira mudaram fundamentalmente o cenário de ameaças cibernéticas. A comissária Simone Constant conclamou todos os titulares de licença AFS (Australian Financial Services) e participantes de mercado a reforçarem imediatamente os fundamentos de resiliência cibernética. A ASIC reforçou essa mensagem com o resultado sancionatório de 2,5 milhões de dólares contra a FIIG Securities Limited por falhas de segurança cibernética, sinalizando que responsabilizará os licenciados quando a gestão de risco cibernético for insuficiente. A ASIC espera que os conselhos exijam evidências de efetividade dos controles, como resultados de testes, conclusões de auditorias independentes e lições extraídas de incidentes reais, e não apenas garantias da administração.

Em conjunto, essas cartas descrevem dois lados do mesmo risco: a APRA foca em como as organizações adotam e governam a IA internamente, enquanto a ASIC foca em como a IA altera o ambiente externo de ameaças. Ambas exigem governança mais robusta, responsabilização mais clara e evidências de que os controles estão de fato funcionando.

Fontes primárias: Carta da APRA ao setor sobre IA, 30 de abril de 2026 | Comunicado de imprensa da ASIC 26-092MR, 8 de maio de 2026

Leitura relacionada