CVM e inteligência artificial hoje significam duas coisas ao mesmo tempo: a CVM passou a ter regras internas de governança de IA e criou uma área técnica dedicada a isso — a Ditec —, e está construindo uma plataforma de vigilância de mercado por IA para rodar 24 horas por dia sobre todas as companhias listadas, não mais sobre uma amostra. Este guia é para quem responde por compliance, jurídico, RI ou governança em uma empresa listada ou regulada pela CVM e precisa entender, com precisão, o que a Resolução CVM 246 muda de fato — e o que ainda não muda, apesar do alarde. Ao final, você sabe distinguir o que é obrigação nova do que é aumento de risco de detecção, e o que fazer com essa diferença.
Vale uma distinção logo de início, porque este tema é frequentemente confundido com três outros que este blog já cobre separadamente: a Resolução CVM 246 é regulação do órgão que supervisiona o mercado de capitais, sobre como a própria CVM usa IA para fiscalizar — diferente do Marco Legal da IA em tramitação no Congresso, que é lei federal geral para qualquer setor; diferente do AI Act europeu, que é extraterritorial e mira empresas que operam na Europa; e diferente da fiscalização algorítmica da Receita Federal, que é outro regulador setorial usando IA para outro fim. Uma URL, uma intenção — este artigo cobre apenas o regulador do mercado de capitais.
O que é a Ditec e o que muda com a Resolução CVM 246
A Resolução CVM 246, publicada em 31 de julho de 2026, criou a Divisão de Tecnologia Financeira (Ditec) dentro da Superintendência de Desenvolvimento de Inteligência (SDI) da CVM, em substituição à antiga Divisão de Desenvolvimento Institucional (DDEIN) (gov.br/CVM). A Ditec tem duas frentes de trabalho, segundo o texto oficial da própria autarquia:
- Diretrizes técnicas internas. Estabelecer como a CVM usa "soluções analíticas e computacionais avançadas", observando as próprias políticas de governança de dados e IA da autarquia.
- Governança de IA da CVM. Propor, implementar e revisar normas, políticas e procedimentos internos relacionados ao uso ético e responsável da IA dentro do órgão — e monitorar o cumprimento desses padrões.
Além disso, a Ditec assume três frentes de trabalho declaradas para 2026–2027: assessoria técnica ao projeto de tokenização de valores mobiliários, suporte à próxima rodada do Sandbox Regulatório e acompanhamento dos debates da Fintech Task Force da IOSCO (InfoMoney). Em resumo prático: a Ditec é a área que concentra, numa única equipe técnica, o que antes estava disperso entre diferentes superintendências — tokenização, criptoativos e inteligência artificial (Finsiders Brasil).
O ponto que costuma passar despercebido: a Resolução 246 é, no texto, uma norma de organização interna da CVM — ela não cria, por si só, uma nova obrigação de disclosure para empresas listadas. O que muda na prática para quem é regulado pela CVM não vem do artigo da resolução, vem da capacidade de supervisão que a Ditec e a SDI estão construindo em cima dela. É essa segunda parte que interessa a qualquer head de compliance ou membro de conselho.
A plataforma de vigilância de mercado por IA: o que já foi anunciado
Em paralelo à criação da Ditec, o presidente da CVM, Otto Eduardo Lobo, anunciou publicamente o cronograma e o escopo do sistema de supervisão de mercado baseado em IA que a autarquia está contratando. Os pontos confirmados por declaração direta do presidente:
| Característica | O que foi anunciado | Fonte |
|---|---|---|
| Cobertura | Todas as companhias listadas e fundos, não mais uma amostra selecionada | Otto Lobo, via InfoMoney |
| Regime de operação | 24 horas por dia, 7 dias por semana, contínuo | Monitor do Mercado |
| Prazo declarado | "Dois ou três meses" a partir do anúncio, com pleno funcionamento visado ainda em 2026 | Otto Lobo, via InfoMoney |
| Objetivo declarado | Multiplicar por até 4x a capacidade de identificar uso de informação privilegiada (insider trading) | Monitor do Mercado |
| Infraestrutura | "Data lake" centralizado cruzando dados da própria CVM, da B3, da Anbima e de outros participantes do mercado | Monitor do Mercado |
| Orçamento | R$ 658 milhões, decorrentes de decisão do STF que destina parte das taxas de fiscalização a modernização | Otto Lobo, via InfoMoney |
A mudança estrutural, segundo o próprio presidente da CVM, é o fim da fiscalização por amostra: "o sistema vai ficar funcionando 24 horas, sete dias por semana, não analisando algumas companhias, mas todas elas" (Monitor do Mercado). Em outra declaração, a CVM descreveu um plano de duas fases: primeiro a consolidação do data lake, depois a extensão da vigilância a ativos digitais tokenizados, com atributos de compliance embutidos no próprio ativo (Finsiders Brasil). Vale a ressalva de escopo: os números de capacidade de detecção (o "4x") são metas declaradas pelo presidente da autarquia em entrevista, não um resultado técnico já auditado publicamente — trate como direção de política, não como fato operacional consumado.
O que muda na prática para empresas listadas e reguladas
Aqui está a distinção que mais importa para quem decide investimento em governança: não existe hoje uma nova exigência legal de reportar governança de IA à CVM ou à B3. Uma análise recente do mercado é direta nesse ponto: "não há ainda lei obrigando relatórios de governança de IA às CVM/B3", e o Brasil segue sem um padrão nacional obrigatório de classificação de risco de IA, sem avaliação de impacto algorítmico mandatória e sem canal unificado de registro de incidentes de IA no setor privado (Análise). Isso significa que, juridicamente, a obrigação formal de disclosure específico sobre uso de IA ainda não existe.
O que muda, então, é o risco de exposição, não a lista de obrigações. Três consequências práticas para uma companhia listada ou regulada pela CVM:
- Probabilidade de detecção sobe, mesmo sem mudança de norma. Um sistema que analisa 100% das companhias 24 horas por dia, cruzando dado de negociação com dado de mais de um participante de mercado, encontra padrão que uma fiscalização por amostra, feita por pessoas, simplesmente não tinha capacidade de encontrar antes. Práticas que dependiam de baixa chance estatística de auditoria — negociação em janela cinzenta, divulgação tardia de fato relevante, operação atípica perto de evento societário — passam a operar sob um regime de detecção estruturalmente diferente.
- A ausência de obrigação formal não é ausência de risco reputacional e de enforcement. A CVM já teria, com o novo aparato, mais evidência algorítmica para abrir processo administrativo sancionador com base em indício encontrado pelo sistema, não só por denúncia ou inspeção pontual. O padrão de prova muda mesmo sem mudança de lei.
- Governança interna de IA vira argumento de defesa, não só de compliance genérico. Uma empresa que já tem política de uso de IA, comitê de ética e trilha de auditoria interna documentada tem uma posição melhor para demonstrar boa-fé e controle em qualquer interação futura com a Ditec ou com processos abertos a partir da nova vigilância — mesmo que essa documentação não seja, hoje, exigida por resolução específica. O framework prático para montar essa camada de governança está em framework de governança de IA, e o desenho de política interna completo em governança de IA na prática.
Em outras palavras: a Resolução CVM 246 não impõe um novo checklist de compliance para empresas listadas. Ela muda o ambiente em que o descumprimento de regras já existentes (divulgação de fato relevante, vedação a uso de informação privilegiada, lealdade em operação societária) é detectado. Para o conselho e para a diretoria, isso é argumento de investimento em controle interno, não de burocracia nova — o business case para a liderança costuma ser mais fácil de justificar quando o risco de detecção, não só o risco moral, sobe de patamar.
Por que este recorte é diferente de outras regulações de IA que este blog cobre
A CVM não é o único regulador brasileiro endereçando IA em 2026, e é fácil confundir os quatro movimentos regulatórios distintos que já afetam empresas brasileiras. A tabela resume o escopo de cada um:
| Regulação | Regulador | Escopo | Aplica-se a |
|---|---|---|---|
| Resolução CVM 246 (Ditec) | CVM | Governança interna de IA da CVM + vigilância de mercado por IA | Companhias listadas e demais entes regulados pela CVM |
| Marco Legal da IA (PL 2338) | Congresso Nacional | Lei geral de uso de IA, por nível de risco | Qualquer empresa que desenvolve ou usa IA no Brasil |
| AI Act europeu | União Europeia | Regulação extraterritorial de sistemas de IA | Empresas brasileiras que operam ou vendem na UE |
| Fisco algorítmico (Receita Federal) | Receita Federal | IA aplicada à fiscalização tributária | Qualquer empresa contribuinte |
O padrão que emerge é claro: cada regulador setorial brasileiro está adotando IA para fiscalizar melhor o que já fiscalizava — a Receita cruza nota fiscal e dado tributário, a CVM cruza dado de negociação e fato relevante. Nenhum desses movimentos substitui o outro, e uma empresa listada que também é grande contribuinte está exposta aos dois ao mesmo tempo, com times de compliance frequentemente separados cuidando de cada frente sem conversar entre si — o primeiro ponto cego que vale corrigir.
O que fazer agora, antes que a vigilância entre em operação
Com prazo declarado de dois a três meses para os primeiros recursos entrarem em operação, o tempo de reação de uma companhia listada é curto. Uma sequência de trabalho razoável para compliance, jurídico e conselho:
- Mapeie a exposição real, não a percepção. Um inventário de onde a empresa já usa IA internamente — inclusive em áreas que não pensam em si como "IA", como modelos de scoring de crédito ou motores de recomendação comercial — é o ponto de partida; o guia de inventário está em auditoria de IA.
- Revise a política de divulgação de fato relevante à luz de decisão assistida por IA. Se algum processo decisório relevante para o mercado (precificação, decisão de M&A, guidance) já é assistido por modelo de IA, o comitê de divulgação precisa saber disso antes que um regulador pergunte.
- Formalize a governança de IA interna, mesmo sem obrigação legal ainda. Política de uso, responsável designado e trilha de decisão documentada mudam a posição da empresa numa eventual fiscalização — o desenho completo está em compliance e IA e o papel específico do conselho nessa governança em o papel do conselho de administração na governança de IA.
- Não espere lei para agir — espere a lei para formalizar o que já deveria existir. A ausência de obrigação regulatória específica de disclosure de IA não é motivo para adiar governança; é o intervalo em que construir a estrutura custa menos, porque ainda não é reação a uma autuação.
FAQ
O que é a Ditec da CVM?
A Ditec (Divisão de Tecnologia Financeira) é a área técnica criada pela Resolução CVM 246, de 31 de julho de 2026, dentro da Superintendência de Desenvolvimento de Inteligência (SDI). Ela define diretrizes de governança e uso ético de IA dentro da própria CVM e assessora temas como tokenização de valores mobiliários e o Sandbox Regulatório.
O que é a Resolução CVM 246?
É a norma que reorganiza a estrutura interna da CVM, extinguindo a antiga Divisão de Desenvolvimento Institucional e criando a Ditec em seu lugar, com mandato para governança de IA e acompanhamento de inovação financeira. Ela não cria, por si só, uma nova obrigação de disclosure de IA para empresas listadas.
A CVM vai fiscalizar empresas com inteligência artificial?
Sim. O presidente da CVM, Otto Eduardo Lobo, anunciou uma plataforma de vigilância de mercado baseada em IA, prevista para os primeiros recursos operarem em dois a três meses a partir do anúncio, funcionando 24 horas por dia sobre todas as companhias listadas e fundos — não mais sobre uma amostra selecionada.
Empresas listadas precisam divulgar o uso de IA à CVM?
Não existe, até a publicação deste artigo, uma lei ou norma específica exigindo relatório formal de governança de IA à CVM ou à B3. O que muda é o risco de detecção de irregularidades já vedadas por norma existente (uso de informação privilegiada, atraso em fato relevante), não uma nova lista de obrigações de disclosure sobre IA em si.
Como a vigilância por IA da CVM afeta empresas que já têm boa governança?
Empresas com política de uso de IA documentada, trilha de decisão auditável e comitê de ética constituído têm posição mais forte numa eventual interação com a Ditec ou num processo aberto a partir de indício encontrado pela nova vigilância — a governança formal vira evidência de controle, não apenas boa prática interna.
Qual a diferença entre a Resolução CVM 246 e o Marco Legal da IA (PL 2338)?
A Resolução CVM 246 é regra interna de um regulador específico — o mercado de capitais — sobre como ele próprio usa IA para fiscalizar. O Marco Legal da IA (PL 2338), ainda em tramitação no Congresso, é lei federal geral que classificaria sistemas de IA por risco para qualquer setor da economia. São instrumentos de naturezas diferentes, com escopos que não se substituem.
Quando o sistema de supervisão por IA da CVM entra em operação?
O presidente da CVM declarou publicamente a meta de ter os primeiros recursos funcionando em dois a três meses a partir do anúncio, com pleno funcionamento visado ainda dentro de 2026. Não há, até a publicação deste artigo, data formal de entrada em produção divulgada em norma.
Conclusão: a obrigação legal ainda não existe, mas o risco de detecção já mudou
A Resolução CVM 246 não adiciona um formulário novo ao calendário de compliance de uma empresa listada — pelo menos não ainda. O que ela sinaliza, com a criação da Ditec e o anúncio da vigilância de mercado por IA, é que o custo de uma governança de IA frágil deixou de ser apenas reputacional ou hipotético: passa a ser o custo de operar sob um regulador que enxerga 100% do mercado, o tempo todo, em vez de uma amostra. Para o conselho e para a diretoria, a decisão não é esperar a lei formalizar a obrigação — é decidir, com clareza de investimento e risco controlado, que grau de governança de IA a empresa quer ter antes que o regulador pergunte. Se sua empresa ainda não tem esse mapa, o diagnóstico gratuito da Jetpacks é uma conversa de 30 a 45 minutos que identifica, com objetividade, onde a governança de IA da empresa está exposta hoje.
Descubra onde a IA gera mais resultado na sua empresa.
Comece com um diagnóstico gratuito: mapa de impacto por área e o desenho de um primeiro piloto medível, sem compromisso.