Os reguladores bancários dos Estados Unidos e da Europa estão a reforçar a fiscalização da utilização da IA nos bancos. As autoridades procuram avaliar como as instituições controlam os agentes de IA, supervisionam decisões automatizadas e asseguram a continuidade dos serviços perante falhas tecnológicas ou ciberataques.
A preocupação vai além da adoção da tecnologia. Os supervisores querem perceber se os bancos conseguem identificar as ações executadas por sistemas autónomos, interromper operações potencialmente perigosas e recuperar serviços essenciais sem depender exclusivamente das mesmas infraestruturas tecnológicas.
Segundo uma reportagem da Reuters publicada a 13 de outubro, a Reserva Federal norte-americana, o Office of the Comptroller of the Currency (OCC) e a Federal Deposit Insurance Corporation (FDIC) estão a aprofundar a análise dos riscos associados à IA no setor financeiro.
Entre as questões colocadas às instituições estão os mecanismos de intervenção humana, a utilização de modelos desenvolvidos na China, a segurança dos sistemas e a capacidade de verificar as decisões tomadas pelas ferramentas de inteligência artificial.
Agentes de IA colocam novos desafios à supervisão bancária
Os agentes de IA introduzem riscos diferentes dos associados às aplicações tradicionais de inteligência artificial. Enquanto muitos sistemas se limitam a analisar dados ou apresentar recomendações, os agentes podem executar sequências de tarefas, utilizar ferramentas externas e tomar determinadas decisões com intervenção humana reduzida.
Num banco, estas capacidades podem apoiar a deteção de fraude, a análise de riscos e a automatização de processos internos. No entanto, também aumentam a complexidade da supervisão quando os sistemas recebem permissões para consultar informação confidencial, modificar dados ou executar operações.
Um erro de interpretação ou uma instrução maliciosa pode desencadear várias ações sucessivas. Por esse motivo, os reguladores procuram perceber se as instituições conseguem interromper a atividade de um agente antes que uma decisão incorreta afete outros processos.
A auditoria constitui outra preocupação. Os bancos precisam de conhecer as operações realizadas pelos sistemas automatizados e dispor de registos que permitam reconstruir os acontecimentos, identificar responsabilidades e verificar o cumprimento das regras internas.
Os riscos associados à utilização maliciosa destas ferramentas já são objeto de investigação. Na Coreia do Sul, as autoridades investigaram a possível utilização de IA em ataques a instituições bancárias, após incidentes que provocaram a exposição de dados pessoais de clientes.
A investigação recebeu posteriormente novos elementos técnicos, com a identificação de ferramentas de inteligência artificial associadas à infraestrutura utilizada nos ataques.
BCE exige planos de resposta a ciberataques com IA
Na Europa, o Banco Central Europeu (BCE) está particularmente atento à capacidade dos bancos para resistir a ataques informáticos potenciados por modelos avançados de inteligência artificial.
Em julho, a instituição exigiu a 110 bancos planos para reforçar as defesas contra estas ameaças, com prazo de apresentação até ao final de outubro de 2026. A medida, noticiada pela Reuters a 7 de julho, procura identificar vulnerabilidades e melhorar os mecanismos de resposta e recuperação.
O prazo já tinha sido estabelecido antes do atual reforço do escrutínio internacional. A novidade reside na atenção crescente dos supervisores à utilização de agentes autónomos e à forma como os bancos mantêm o controlo sobre estes sistemas.
O BCE considera que os modelos avançados de IA podem facilitar a descoberta de vulnerabilidades e permitir que atacantes com menos conhecimentos técnicos executem operações mais complexas.
Num discurso publicado em junho de 2026, a instituição revelou que mais de 85% dos bancos abrangidos pela supervisão bancária europeia já utilizavam inteligência artificial.
Esta adoção generalizada aumenta a importância dos mecanismos de segurança, sobretudo quando as aplicações de IA passam a interagir diretamente com sistemas utilizados em operações financeiras.
O Banco de Inglaterra também acompanha estes riscos, embora privilegie uma abordagem de colaboração com as instituições supervisionadas, em vez de impor medidas idênticas às exigidas pelo BCE.
IA nos bancos: dependência de fornecedores tecnológicos preocupa reguladores
Uma das principais preocupações dos supervisores é a concentração de serviços tecnológicos num número reduzido de fornecedores.
Vários bancos utilizam as mesmas plataformas de computação na nuvem, serviços de armazenamento e modelos de inteligência artificial. Esta dependência cria a possibilidade de uma falha num fornecedor comum afetar simultaneamente várias instituições financeiras.
O problema torna-se particularmente relevante quando estão envolvidos sistemas de pagamentos, operações de crédito ou serviços essenciais ao funcionamento dos mercados.
A preocupação com estes riscos não é recente. Em agosto, o Financial Stability Board alertou para o impacto dos ataques com IA na estabilidade do sistema financeiro, ao identificar a possibilidade de a tecnologia aumentar a velocidade e a escala das operações maliciosas.
O BCE também já tinha incluído a resiliência operacional, a gestão de fornecedores externos e os riscos associados à inteligência artificial nas suas prioridades de supervisão para 2026-2028.
Na União Europeia, o Regulamento de Resiliência Operacional Digital (DORA), aplicável desde janeiro de 2025, estabelece obrigações relativas à gestão de riscos tecnológicos, à comunicação de incidentes e à supervisão de determinados fornecedores críticos.
O reforço do escrutínio sobre a inteligência artificial insere-se, por isso, num quadro regulamentar que já exige aos bancos mecanismos de segurança e planos de continuidade operacional.
A diferença está na crescente autonomia dos sistemas de IA e na necessidade de garantir que as instituições mantêm a capacidade de supervisionar, interromper e auditar as suas ações.
Para já, as iniciativas descritas pela Reuters representam sobretudo um aprofundamento da supervisão e da recolha de informação. Não constituem um novo conjunto uniforme de requisitos regulamentares para os bancos dos Estados Unidos e da Europa.
Outros artigos interessantes:
