Banco Central e governança de IA: o que muda

Banco Central e governança de IA em instituições financeiras, hoje, é uma combinação de duas coisas que não podem ser confundidas: uma norma vigente sobre qualidade de dados que pressiona indiretamente a governança de IA, e um estudo de riscos de IA que ainda é meta de agenda regulatória, não regra publicada. Não existe, na data deste artigo, uma resolução do Banco Central que regule especificamente o uso de inteligência artificial por bancos, cooperativas de crédito ou instituições de pagamento. Existe, sim, uma pressão regulatória real e crescente — via qualidade de dados, supervisão prudencial e alertas de risco cibernético — que qualquer head de compliance, risco ou tecnologia de uma instituição financeira precisa entender com precisão antes de decidir onde investir governança. Este artigo separa o que é norma do que é agenda, e mostra por que o porte da instituição já determina o tamanho do problema.

Vale a distinção de escopo logo de início: o Banco Central é o regulador prudencial do sistema financeiro — bancos, cooperativas de crédito, instituições de pagamento —, diferente da CVM, que regula o mercado de capitais (companhias listadas, fundos, intermediários). Se sua empresa é uma companhia aberta preocupada com vigilância de mercado por IA, o recorte certo é CVM e inteligência artificial. Se sua preocupação é a lei federal geral em tramitação no Congresso, o recorte é o Marco Legal da IA no Brasil (PL 2338). Este artigo cobre especificamente o regulador do sistema financeiro e bancário.

O que é norma vigente e o que é agenda regulatória — a distinção que importa

Antes de qualquer decisão de investimento em governança, separe as duas camadas com clareza: uma já vale hoje e tem prazo de adequação; a outra é uma promessa de estudo, sem data de virar regra.

	Norma vigente	Agenda regulatória
O quê	Resolução Conjunta BC/CMN nº 18/2025 — Política de Qualidade das Informações	Estudo dos riscos e impactos do uso de IA no sistema financeiro
Regula IA diretamente?	Não — regula a qualidade do dado reportado ao BC	Ainda não — é item de pesquisa, sem minuta de norma publicada
Status	Vigente desde 1º/jan/2026, prazo de adequação até 31/dez/2026 (CSMV Advogados)	Meta do biênio 2025-2026, sem cronograma de edição de norma no curto prazo (Souto Correa Advogados)
Objetivo declarado	Dados precisos, íntegros, completos e tempestivos reportados ao BC	"Desenvolver diretrizes para seu uso seguro e eficiente" (Souto Correa Advogados)
Vínculo com IA	Indireto — má qualidade de dado compromete qualquer modelo de IA construído em cima dele	Direto, mas ainda em fase de estudo, não de regra

O erro mais comum que este artigo existe para corrigir: tratar a RC18 como se fosse "a resolução de IA do Banco Central". Ela não é. A RC18 nasceu de um problema de dados reportados ao regulador, não de um problema de modelos de IA. A ligação entre as duas é real, mas indireta: uma instituição não constrói governança de IA confiável sobre uma base de dados que não passa nos critérios da RC18 — e é exatamente esse ponto de convergência, gestão de dados como pré-requisito de qualquer IA responsável, que a imprensa especializada do setor já vem destacando (TI Inside). Mais fundo em como estruturar essa base, o guia de governança de dados para IA cobre classificação e controle de dado como pré-condição de qualquer modelo.

A Resolução Conjunta BC/CMN nº 18/2025: o que ela realmente exige

A RC18, publicada em 28 de novembro de 2025, cria a obrigação de Política de Qualidade das Informações para todas as instituições autorizadas a funcionar pelo Banco Central — bancos, cooperativas de crédito, instituições de pagamento e demais supervisionados (PwC Brasil). O objetivo declarado é garantir que os dados quantitativos e qualitativos, documentos e relatórios enviados ao regulador sejam precisos, confiáveis, completos e tempestivos, fortalecendo a supervisão e a estabilidade do sistema (CSMV Advogados). Dois prazos importam para o planejamento:

1. Vigência desde 1º de janeiro de 2026 — a partir dessa data, todas as instituições já estão sujeitas aos requisitos estruturais, operacionais e de governança da política de qualidade de informação.
2. Prazo de adequação plena até 31 de dezembro de 2026 — para concluir os procedimentos necessários ao cumprimento integral da norma (CSMV Advogados).

Análises do setor descrevem a RC18 como uma "mudança transformadora que exige envolvimento da alta administração, redesenho de processos, fortalecimento de controles e adequação tecnológica" (Finsiders Brasil), e o próprio prazo apertado — menos de treze meses entre vigência e adequação plena — já é apontado como o maior risco de execução da norma. Nenhuma linha da RC18 menciona modelos de IA, algoritmos ou machine learning. O que ela cria é o piso de qualidade de dado sobre o qual qualquer iniciativa de IA no setor financeiro terá — ou não — uma base confiável para operar.

O Banco Central já alerta sobre riscos de IA, mesmo sem norma específica

A ausência de norma não significa ausência de atenção regulatória. Em pelo menos três frentes distintas, o BC já sinalizou, por canais oficiais, que está de olho no uso de IA pelo setor — sem que isso, até hoje, tenha virado uma resolução específica de IA.

Risco cibernético sistêmico. A ata do Comitê de Estabilidade Financeira (Comef) do BC elevou a inteligência artificial à categoria de risco sistêmico cibernético, afirmando que "os modelos atuais já têm capacidade de explorar vulnerabilidades tecnológicas do Sistema Financeiro Nacional, ainda que não haja evidência de ataques totalmente conduzidos por IA" (Let's Money). O mesmo documento pondera que "a aceleração das capacidades pode elevar o risco, sobretudo em função de dependências comuns e da possibilidade de impacto em infraestruturas críticas do sistema financeiro" (Finsiders Brasil). É um alerta de tendência, não o relato de um incidente já consumado — mas é um alerta oficial, registrado em ata de comitê, não uma especulação de imprensa.

Sofisticação de fraude, em paralelo — não causada apenas por IA. Os incidentes cibernéticos relevantes registrados no Sistema Financeiro Nacional subiram 29% em 2025 frente a 2024, para 76 casos, dos quais 39 foram fraudes (contra 9 em 2024) e 27 corresponderam a falhas de tecnologia da informação — 65% dos 76 casos concentrados no segundo semestre (Mercado&Consumo). O próprio BC atribui parte do aumento à crescente dependência de terceiros e ao uso disseminado de APIs, muitas vezes sem avaliação periódica de risco adequada (Mercado&Consumo). Vale a ressalva de precisão: esse número mede incidentes cibernéticos em geral, não ataques atribuídos especificamente a IA — a conexão que o próprio BC faz é que IA generativa reduz o custo e eleva a escala de phishing personalizado, clonagem de voz e automação de tentativas de invasão, sem que isso apareça isolado nas estatísticas oficiais de incidentes.

"Caixa-preta" dos modelos como preocupação declarada. Ailton Aquino, diretor de Supervisão do BC, declarou publicamente: "em alguns modelos de IA, não se consegue explicar como os resultados são produzidos", acrescentando que riscos significativos permanecem sem tratamento adequado nas funções de gerenciamento de risco e auditoria interna das instituições (Finsiders Brasil). Essa é, hoje, a formulação mais direta e citável de uma autoridade do BC sobre o risco específico de explicabilidade de modelos de IA no setor — e é exatamente o tipo de lacuna que uma auditoria de IA bem desenhada existe para fechar antes que o regulador precise perguntar.

O gap de maturidade por porte de instituição: o dado que mais importa agora

Se há um fato regulatório concreto e recente sobre IA no sistema financeiro brasileiro, não é uma norma — é a assimetria de maturidade que o próprio BC já mapeou, e ela é ampla:

Segmento	Maturidade em IA e governança
Bancos S1 (grandes, maior porte)	"Estão a largos passos com relação à implementação de modelos e sistemas de IA", segundo Carlos André de Melo, coordenador do Departamento de Regulação do Sistema Financeiro do BC (Jornal de Brasília)
Bancos S2	Também entre os líderes em adoção de soluções de TI com IA, segundo levantamento do BC com 606 instituições (Finsiders Brasil)
Bancos S3 e S4	Implementação desigual de tecnologia entre instituições do mesmo segmento (Finsiders Brasil)
Cooperativas singulares e instituições de pagamento de menor porte	"Precisam evoluir com relação a essa parte de governança e do uso da IA", segundo o próprio BC (Jornal de Brasília)

O levantamento de referência — realizado pelo BC com 606 instituições, representando 38% das entidades autorizadas e 96% dos ativos do sistema financeiro em dezembro de 2024 — encontrou que apenas 26,7% das instituições reguladas empregam modelos de IA em soluções de TI hoje, com risco legal e de compliance citado por 66% dos respondentes, risco operacional por 52% e problemas de qualidade de dado por 45% (Finsiders Brasil). O BC repetiu essa pesquisa em 2026, com os novos dados ainda em análise no momento deste artigo, mas já confirmando a mesma heterogeneidade entre segmentos (Brasil em Folhas). Entre os bancos grandes especificamente, a Pesquisa Febraban de Tecnologia Bancária 2026 mostra que 84% priorizam IA generativa como investimento, mas apenas 28% relatam maturidade média ou alta no uso dela — a lacuna existe mesmo no topo do mercado (IT Forum).

Uma preocupação adicional que o próprio BC já verbalizou, e que vale o registro: o risco de concentração sistêmica quando múltiplas instituições — sobretudo as menores, com menos capacidade de desenvolver modelos próprios — contratam o mesmo fornecedor terceirizado de IA (Jornal de Brasília). Isso torna a due diligence de fornecedor um tema de governança de IA tão relevante quanto a governança interna — o guia prático está em gestão de risco de fornecedores de IA.

O que fazer agora, independentemente do porte da instituição

Com norma de qualidade de dado já em vigor, agenda de IA em estudo e o próprio regulador verbalizando as lacunas que encontra, a sequência de trabalho para compliance, risco e tecnologia de uma instituição financeira é razoavelmente clara:

1. Trate a RC18 e a governança de IA como o mesmo projeto, não dois projetos paralelos. Dado de baixa qualidade compromete qualquer modelo construído sobre ele; a adequação à RC18 até dezembro de 2026 é a oportunidade de resolver as duas coisas com o mesmo investimento.
2. Documente a explicabilidade de cada modelo de IA em uso, começando pelos de maior impacto decisório (crédito, prevenção a fraude, atendimento). É exatamente a lacuna de "caixa-preta" que o diretor de Supervisão do BC já citou publicamente como preocupação.
3. Mapeie a concentração de fornecedor de IA da sua instituição, sobretudo se for cooperativa singular ou instituição de pagamento de menor porte dependente de poucos parceiros de tecnologia — o framework de governança de IA ajuda a estruturar essa camada de controle de ponta a ponta.
4. Não espere a agenda regulatória virar norma para formalizar política interna de uso de IA. O intervalo em que não há obrigação específica é o intervalo em que construir governança custa menos — porque ainda não é resposta a uma autuação. O desenho de programa completo está em compliance e IA e em governança de IA na prática.
5. Se sua instituição está no grupo que o próprio BC já identificou como atrasado — cooperativa singular ou instituição de pagamento de menor porte —, o primeiro passo não é comprar mais modelo de IA, é fechar o gap de governança sobre o que já está em uso.

Por que este recorte é diferente de outros reguladores que este blog cobre

O Banco Central não é o único regulador brasileiro de olho em IA em 2026 — e cada um audita um recorte diferente, com instrumentos diferentes:

Regulador	Escopo sobre IA	Instrumento	Aplica-se a
Banco Central	Estudo de riscos (agenda) + qualidade de dado (RC18, indireto)	Agenda regulatória + Resolução Conjunta BC/CMN nº 18/2025	Bancos, cooperativas de crédito, instituições de pagamento
CVM (Ditec/Resolução 246)	Governança interna de IA + vigilância de mercado por IA	Resolução CVM 246	Companhias listadas e demais regulados pela CVM
Marco Legal da IA (PL 2338)	Lei geral de uso de IA, por nível de risco	Projeto de lei em tramitação	Qualquer empresa que desenvolve ou usa IA no Brasil

O padrão é o mesmo em todos os casos: cada regulador setorial está estudando ou já monitorando o uso de IA dentro do seu próprio escopo de supervisão, mas nenhum deles publicou, até hoje, uma norma específica e abrangente de IA para o setor que fiscaliza. Uma instituição financeira que também é companhia aberta está, na prática, exposta às duas frentes ao mesmo tempo — BC e CVM — com times de compliance que raramente conversam entre si sobre isso.

FAQ

O Banco Central já regula o uso de IA por bancos?

Não. O uso de IA por instituições financeiras não é regulado por uma norma específica do Banco Central até a publicação deste artigo. O que existe é uma meta de agenda regulatória para o biênio 2025-2026 — estudar riscos e impactos do uso de IA no sistema financeiro para depois desenvolver diretrizes — e uma norma de qualidade de dados (RC18) que se relaciona com IA apenas de forma indireta.

O que é a Resolução Conjunta BC/CMN nº 18/2025?

É a norma que cria a obrigação de Política de Qualidade das Informações para todas as instituições autorizadas a funcionar pelo Banco Central, garantindo que os dados reportados ao regulador sejam precisos, íntegros, completos e tempestivos. Está vigente desde 1º de janeiro de 2026, com prazo de adequação plena até 31 de dezembro de 2026.

A RC18 é uma norma de inteligência artificial?

Não. A RC18 regula qualidade de dado reportado ao Banco Central, não modelos, algoritmos ou uso de IA. O vínculo com IA é indireto: uma base de dados de baixa qualidade compromete qualquer sistema de IA construído sobre ela, e instituições estão sendo pressionadas a melhorar sua governança de dados tanto pela RC18 quanto pela adoção crescente de IA — mas são pressões distintas convergindo para o mesmo investimento.

O Banco Central alerta sobre uso de IA em fraudes ou ataques ao sistema financeiro?

Sim. A ata do Comitê de Estabilidade Financeira (Comef) do BC elevou a IA à categoria de risco sistêmico cibernético, afirmando que os modelos atuais já têm capacidade técnica de explorar vulnerabilidades do sistema financeiro — embora o próprio BC reconheça que ainda não há evidência de ataques totalmente conduzidos por IA. Em paralelo, incidentes cibernéticos em geral (não atribuídos especificamente a IA) subiram 29% em 2025, com forte alta de casos de fraude.

Qual a diferença de maturidade em IA entre bancos grandes e cooperativas de crédito?

É significativa e já foi verbalizada pelo próprio BC: bancos do segmento S1 avançaram na implementação de modelos, sistemas e governança de IA, enquanto cooperativas de crédito singulares e instituições de pagamento de menor porte precisam evoluir tanto em uso quanto em governança de IA. Um levantamento do BC com 606 instituições encontrou que apenas 26,7% do setor regulado emprega modelos de IA em soluções de TI hoje.

Quando o Banco Central vai publicar uma norma específica sobre IA?

Não há, até a publicação deste artigo, cronograma de edição de norma específica de IA divulgado pelo BC. O estudo de riscos e impactos é meta declarada para o biênio 2025-2026, mas a própria agenda regulatória do BC não prevê edição de norma de curto prazo — o resultado do estudo pode gerar diretrizes, consulta pública ou norma, mas nenhuma dessas etapas está formalizada ainda.

Qual a diferença entre a regulação do Banco Central e da CVM sobre IA?

O Banco Central é o regulador prudencial do sistema financeiro (bancos, cooperativas, instituições de pagamento) e ainda estuda os riscos de IA, sem norma específica publicada. A CVM, regulador do mercado de capitais, já tem uma norma publicada (Resolução CVM 246) e está construindo uma plataforma de vigilância de mercado por IA em operação. São reguladores, escopos e estágios regulatórios diferentes.

O que uma instituição financeira deve fazer enquanto não há norma específica de IA do BC?

Formalizar governança de IA mesmo sem obrigação legal: inventariar onde IA já é usada, documentar a explicabilidade dos modelos de maior impacto, avaliar concentração de risco em fornecedores de IA terceirizados e alinhar esse trabalho ao prazo de adequação da RC18 (dezembro de 2026), que já exige melhoria na gestão de dados de qualquer forma.

Conclusão

A pergunta que mais chega a um head de compliance de instituição financeira sobre este tema costuma ser "o BC já regula IA?" — e a resposta precisa, hoje, é não, mas o regulador já está olhando, já alertou sobre risco cibernético e já mapeou publicamente que o porte da instituição determina o tamanho da lacuna de governança. Esperar a agenda regulatória virar norma para agir é esperar o momento mais caro possível para construir governança — depois de um incidente, não antes dele. Se sua instituição ainda não sabe em que ponto do gap de maturidade está, ou por onde começar a fechar essa lacuna antes que a fiscalização pergunte, o diagnóstico gratuito da Jetpacks é uma conversa de 30 a 45 minutos que mapeia, com objetividade, onde a governança de IA da sua instituição está exposta hoje — e o business case para a liderança ajuda a levar essa prioridade para a mesa da diretoria.

Leia também: adoção de IA em cooperativas brasileiras.