Regulação da IA em compliance: desafios e caminhos para 2026

Decisão-principal em síntese: O debate sobre a regulação da inteligência artificial aplicada ao compliance no Brasil já não é teórico: o setor privado e o regulador caminham para requisitos de governança, auditoria e transparência algorítmica, com efeitos práticos imediatos sobre modelos de KYC, due diligence e contratos com terceiros. Enquanto o marco legal federal ainda está em tramitação, órgãos setoriais e autorregulação delineiam padrões que serão referência para fiscalização e responsabilidade.

Contexto

A adoção de modelos de inteligência artificial em processos de compliance — especialmente em know-your-customer (KYC), avaliação de risco e decisões de acesso a produtos financeiros — acelerou nos últimos anos por conta da disponibilidade de IA generativa e de modelos preditivos em escala. Esse movimento expõe uma tensão entre velocidade tecnológica e resposta normativa: o Legislativo debate projetos como o PL 2338/2023; o Banco Central conduz consultas e promete regras prudenciais; e reguladores setoriais já cobram transparência e controles.

A controvérsia não é meramente técnica. Em jogo estão direitos fundamentais (como dignidade e igualdade de oportunidades econômicas), obrigações de proteção de dados pessoais e responsabilização institucional por falhas de terceiros. A ausência de documentação e explicabilidade transforma decisões automatizadas em caixas-pretas que dificultam fiscalização, reparação e prevenção de discriminação. Por isso, a discussão sobre governança, responsabilidade por terceiros e mitigação de viés é central para a estabilidade e a inclusividade do sistema financeiro.

O que foi decidido

O setor vem assumindo três vetores de exigência prática: (i) aumento da exigência de explicabilidade algorítmica para modelos que impactam direitos e acesso a serviços; (ii) distribuição clara de responsabilidades entre instituições e fornecedores de tecnologia; e (iii) adoção sistemática de controles para identificar e mitigar vieses decorrentes de dados históricos do Sistema Financeiro Nacional (SFN).

Na prática, as instituições financeiras e demais atores de compliance estão sendo orientados a documentar pipelines de dados, justificar variáveis e métricas usadas em decisões automatizadas e preservar trilhas de auditoria para permitir inspeção. A responsabilidade primária continua a recair sobre a entidade que oferece o serviço ao usuário final, mas cresce a exigência de demonstrar governança sobre terceiros—including due diligence técnica, cláusulas contratuais sobre explicabilidade, direito de auditoria e mecanismos de remediação.

Quanto ao viés, a posição que ganha força é a de que modelos não auditados reproduzem e cristalizam exclusões: decisões automatizadas de KYC podem, sem controles, configurar uma política pública informal sobre quem tem acesso ao mercado financeiro. Assim, testes de equidade, simulações contrafactuais e validações independentes tornam-se elementos obrigatórios de boas práticas.

Base normativa e precedentes

• LGPD (Lei 13.709/2018) — impõe requisitos de tratamento de dados pessoais, direitos dos titulares e bases legais; relevante para explicabilidade e para obrigações de transparência e segurança dos dados usados em modelos de IA.
• PL 2338/2023 — projeto em tramitação que objetiva estabelecer regras específicas para uso de IA; seu avanço será decisivo para padronizar obrigações de governança e responsabilidade.
• Normas e consultas do Banco Central — instrumento regulatório prudencial que tende a exigir controles, documentação e governança sobre modelos que afetam o SFN; recomenda participação nas consultas públicas como via de influência normativa.
• Resoluções da CVM (Resoluções nº 19 e 21) — exemplos setoriais que já impõem deveres de disponibilização de códigos-fonte para inspeção em determinados contextos, servindo como precedente de exigência de auditabilidade.
• Princípios e iniciativas privadas (ex.: GAIAG, AI Risk Score) — modelos de autorregulação e métricas de risco que podem virar referência técnica para fiscalização e contratos.

Impacto prático

• Para advogados e consultores: aumento da demanda por cláusulas contratuais específicas sobre explicabilidade, auditoria e transferência de responsabilidade; necessidade de formular SLAs técnicos e obrigações de conformidade contínua.
• Para departamentos de compliance: obrigação de implementar trilhas de auditoria, testes de viés e métricas de explicabilidade; revisão de processos de KYC e due diligence de fornecedores de IA.
• Para instituições financeiras e fintechs: risco de sanções administrativas e danos reputacionais caso modelos produzam discriminação; necessidade de investimentos em governança, documentação e parcerias com auditores técnicos.
• Para titulares de dados e consumidores: potencial ampliação de proteção se regras exigirem transparência e recursos de contestação; porém, risco de exclusão persistente enquanto modelos não forem reavaliados.
• Para o processo regulatório: práticas setoriais consolidadas tendem a orientar a norma final, reduzindo incerteza regulatória se adotadas amplamente como padrão de mercado.

O que observar

• Evolução do PL 2338/2023: acompanhar emendas e dispositivos sobre responsabilidade civil, direitos de explicação e obrigações de auditoria.
• Regulamentação específica do Banco Central: prazo e alcance das regras prudenciais poderão definir exigências detalhadas para o setor financeiro, inclusive sobre modelos terceirizados.
• Possível exigência de modulação ou aplicação retroativa: tribunais e agências podem discutir efeitos retroativos de normas sobre modelos já em operação.
• Provas técnicas em litígios: advogados precisarão de peritos em ciência de dados para demonstrar causalidade entre decisão algorítmica e dano; contratos devem prever acesso a documentação técnica.
• Riscos de compliance transfronteiriço: provedores internacionais de IA e cláusulas de transferência de dados exigirão atenção à interoperabilidade entre LGPD e regulações estrangeiras.

Conclusão curta: a lacuna normativa atual é, ao mesmo tempo, risco e oportunidade. Instituições que anteciparem controles de explicabilidade, governança de terceiros e frameworks de mitigação de viés estarão melhor posicionadas frente às próximas exigências legais e a eventuais litígios, além de contribuir para que a inovação não amplifique exclusões privadas que se tornam públicas.