Governança de IA no setor bancário da UE, autoridades sobrepostas, expectativas cada vez mais prescritivas

Os bancos europeus enfrentam a estrutura de governança de IA mais prescritiva do mundo. Os bancos da UE precisam cumprir obrigações sob múltiplos regimes sobrepostos simultaneamente: o AI Act da UE (para a IA como produto regulado); a regulação de capital e prudencial CRR 3/CRD VI; as expectativas da Supervisão Bancária do BCE por meio do Mecanismo Único de Supervisão (MUS); as diretrizes da EBA sobre terceirização, governança interna e resiliência operacional; o DORA (Digital Operational Resilience Act) para o risco de terceiros de TIC; o GDPR para o tratamento de dados pessoais; e as expectativas de supervisão em nível nacional das autoridades competentes. O resultado é um ambiente de conformidade em camadas, no qual a governança de IA precisa ser concebida para satisfazer todos esses regimes ao mesmo tempo.

O Guia de Supervisão do BCE sobre Modelos Internos (julho de 2025), uma grande mudança

Em 25 de julho de 2025, o Banco Central Europeu publicou a versão mais recente do seu Guia de Supervisão sobre Modelos Internos. O guia trouxe uma grande mudança para os bancos da UE: as expectativas de Gestão de Risco de Modelo agora se estendem a todos os modelos usados pela instituição, não apenas aos modelos internos regulatórios (IRB de Basileia). Modelos de precificação, modelos de testes de estresse, simulações de ALM, modelos de IA e de ML, todos passam a estar sujeitos à MRM. A abordagem de governança em dois níveis anterior, controles rigorosos em torno dos modelos regulatórios e controles ad hoc mais leves em torno de todo o resto, deixa de ser aceitável de forma explícita.

O Capítulo 9 do guia de 2025 concentra-se especificamente em modelos de aprendizado de máquina. O BCE acolhe as técnicas baseadas em ML, mas exige que elas atendam a padrões mais elevados do que os modelos tradicionais: governança de dados robusta com critérios de qualidade claros, inclusive para os dados de treinamento; verificações adicionais para dados não estruturados ou sintéticos, a fim de tratar valores ausentes e viés; infraestrutura de TI capaz de suportar demandas computacionais mais altas; ajuste documentado de hiperparâmetros; monitoramento de desvio de modelo (model drift); e explicabilidade adequada à finalidade do modelo. Para muitos bancos da UE, isso representa uma elevação significativa de padrão: um notebook já não é documentação suficiente, os reguladores esperam processos auditáveis de desenvolvimento de modelos.

Workshops de IA e observações de supervisão do BCE (2025)

O BCE realizou workshops de IA com bancos em nove países europeus ao longo de 2025, com conclusões publicadas em novembro de 2025. Principais observações: os bancos estão integrando IA ao lado de modelos tradicionais para decisões de crédito e detecção de fraude; os bancos esperam que a IA de detecção de fraude seja classificada como de baixo risco sob o AI Act da UE (posição que o BCE apontou, mas não endossou); nenhum banco relatou o uso de IA generativa na pontuação de crédito, citando desafios de tempo de desenvolvimento, custo e confiabilidade; os arranjos de governança estão sendo estabelecidos principalmente pela integração da IA às políticas existentes ou pela criação de funções dedicadas de governança de IA (comitês, unidades de IA); a integração da governança de dados para IA, na prática, "ainda está por ser estabelecida" na maioria dos casos; os modelos de IA tendem a ser desenvolvidos internamente, mas hospedados por provedores de serviços em nuvem.

O foco declarado do BCE para 2026 está nas aplicações de IA generativa, na avaliação mais aprofundada das dependências de terceiros e do risco de concentração, e no fortalecimento do trabalho de resiliência operacional com base no DORA. As análises direcionadas e as inspeções in loco realizadas em 2024-2025 indicam que o BCE continuará usando as ferramentas de supervisão existentes para examinar diretamente a governança de IA.

Aplicação do AI Act da UE aos bancos da UE

As classificações de alto risco do AI Act da UE relevantes para os bancos incluem: IA usada na avaliação de capacidade creditícia de pessoas físicas (alto risco do Anexo III); IA usada na avaliação de risco e precificação em seguros de vida e de saúde (alto risco); sistemas de IA usados como componentes de segurança em infraestrutura crítica (quando a infraestrutura operada pelo banco se qualifica); IA usada em decisões de emprego; sistemas de categorização biométrica. Os bancos que implementam IA de alto risco como fornecedores ou implementadores precisam cumprir a estrutura do AI Act da UE, gestão de risco, governança de dados, documentação técnica, supervisão humana, transparência para os usuários, com a maioria das obrigações do Anexo III sendo aplicáveis a partir de 2 de dezembro de 2027, sob o acordo Digital Omnibus de 7 de maio de 2026.

Os bancos que operam internacionalmente enfrentam a questão de adotar uma única estrutura global que satisfaça os requisitos do AI Act da UE (mais rigorosos) ou manter variações regionais. A maioria dos grandes bancos da UE está adotando estruturas globais que atendem aos padrões da UE.

DORA, a camada de resiliência operacional para IA

O Digital Operational Resilience Act (DORA), aplicável a partir de 17 de janeiro de 2025, impõe requisitos de risco de terceiros de TIC às entidades financeiras da UE. Os fornecedores de IA qualificam-se como provedores terceiros de TIC sob o DORA. Os bancos precisam: manter um registro dos acordos com terceiros de TIC (incluindo fornecedores de IA); realizar avaliações de risco antes de firmar acordos com terceiros de TIC; assegurar que as disposições contratuais atendam aos requisitos especificados pelo DORA (descrições de serviço, localizações, obrigações de segurança, direitos de auditoria, estratégias de saída); manter a gestão de incidentes relacionados a TIC com comunicação às autoridades competentes; realizar exercícios de continuidade de negócios e recuperação de desastres de TIC.

O Guia do BCE sobre terceirização de serviços em nuvem para provedores de serviços em nuvem (publicado em julho de 2025) explica como o BCE espera que os bancos cumpram o DORA em contextos de nuvem, inclusive para serviços de IA normalmente entregues por meio de plataformas em nuvem. As boas práticas incluem reduzir os riscos de dependência de fornecedor (vendor lock-in), dispor de opções de contingência testadas para serviços em nuvem que suportem funções críticas ou importantes, e assegurar que os termos contratuais apoiem uma saída e transição em conformidade com o DORA.

Diretrizes da EBA, governança e terceirização

As diretrizes da EBA sobre governança interna (EBA/GL/2017/11), sobre acordos de terceirização (EBA/GL/2019/02) e sobre o SREP (EBA/GL/2022/03) aplicam-se todas à implementação de IA nos bancos da UE. O Manual de Supervisão da EBA sobre a validação de sistemas de rating no âmbito da abordagem IRB (EBA/REP/2023/29) aplica-se quando técnicas de ML são usadas na modelagem de risco de crédito. O Occasional Paper No 24 do Comitê de Basileia de Supervisão Bancária (setembro de 2025), "How supervisors can address explainability", oferece uma perspectiva internacional de supervisão adicional diretamente relevante para os bancos da UE.

Desafios reais para os programas de governança de IA dos bancos da UE

Inventário de modelos em escala. Os grandes bancos da UE têm milhares de modelos, muitos deles embutidos em software de terceiros. Construir e manter um inventário completo que catalogue a finalidade, o tipo, o nível de MRM e a classificação do AI Act de cada modelo é, em si, uma empreitada de grande porte.

Risco de concentração em modelos de base (foundation models). A maior parte da capacidade de IA corporativa depende de um pequeno número de provedores de modelos de base. Os bancos da UE enfrentam um risco de concentração que a diversificação tradicional de fornecedores não consegue resolver com facilidade, pois não há muitos provedores alternativos de nível GPT-4 ou de nível Claude. O BCE apontou essa concentração de forma explícita.

Explicabilidade versus desempenho. Os modelos de ML que superam as abordagens tradicionais muitas vezes o fazem por capturar padrões complexos que são difíceis de explicar. A expectativa do BCE de explicabilidade proporcional à finalidade do modelo exige que os bancos equilibrem os ganhos de desempenho com as restrições de explicabilidade, particularmente em decisões de crédito, onde são exigidas explicações de ação adversa (adverse action).

Linhagem e viés dos dados de treinamento. As expectativas da EBA sobre governança de dados estendem-se aos dados de treinamento de IA. Estabelecer a linhagem dos dados, o teste de viés e o monitoramento contínuo de equidade no nível do ciclo de vida do modelo exige capacidades que a maioria dos bancos historicamente não desenvolveu.

O que os programas de governança de IA dos bancos da UE devem incluir até o fim de 2026

Inventário completo de modelos abrangendo todos os modelos, incluindo IA/ML, com o nível de MRM e a classificação do AI Act. Estrutura de MRM atualizada e consistente com o Guia de Supervisão do BCE sobre Modelos Internos (julho de 2025), incluindo os requisitos específicos de ML do Capítulo 9. Estratégia de IA documentada e alinhada ao apetite de risco, aprovada pelo conselho e revisada anualmente. Contratos com fornecedores de IA atualizados conforme os padrões do DORA, incluindo direitos de auditoria, notificação de incidentes e assistência de saída. Avaliação de lacunas do AI Act da UE com plano de implementação para as obrigações de alto risco aplicáveis a partir de 2 de dezembro de 2027. Arranjos com provedores de serviços em nuvem alinhados ao Guia do BCE sobre terceirização de serviços em nuvem (julho de 2025). Documentação de explicabilidade para a IA usada em decisões que impactam clientes, suficiente tanto para o exame regulatório quanto para fins de notificação de ação adversa. Monitoramento de viés e equidade com protocolos de teste documentados. Comunicação de risco de IA aos comitês de risco e ao conselho.

Leitura complementar: Texto integral do AI Act da UE

Leitura relacionada

Leitura complementar: Texto integral do AI Act da UE