Instituições financeiras convivem com gestão de risco operacional, controles internos e supervisão há décadas. Isso é uma vantagem quando a IA chega: a estrutura de governança já existe e o trabalho é estendê-la, não criá-la.
A dificuldade está em outro lugar — a IA generativa entrou pela porta do dia a dia (atendimento, redação, análise de documento) antes de entrar pela porta dos modelos, que já tinha processo formal de validação.
Conteúdo informativo; a aplicação ao seu caso depende do enquadramento regulatório da instituição e deve ser validada com compliance e jurídico.
As duas IAs dentro do banco
Vale separar, porque o tratamento é diferente.
A IA de modelo — escoragem de crédito, detecção de fraude, previsão de inadimplência — normalmente já está sob processo de validação, documentação e monitoramento. É território conhecido.
A IA generativa de uso corrente — resumo de contrato, redação de comunicação, apoio ao atendimento, análise de documento — entrou sem passar por esse crivo, e é onde a governança costuma estar ausente.
O erro comum é aplicar a régua pesada de validação de modelo ao uso corrente e paralisar tudo, ou não aplicar régua nenhuma. Classificação por risco resolve: nem todo uso pede o mesmo controle.
Decisão sobre pessoas e explicabilidade
Quando a IA influencia concessão de crédito, limite, precificação ou encerramento de relacionamento, três exigências se somam.
A primeira é a base legal e a transparência sobre o tratamento — inclusive o direito do titular de solicitar revisão de decisão tomada unicamente com base em tratamento automatizado, previsto na LGPD.
A segunda é a explicabilidade suficiente: conseguir descrever quais fatores pesaram na recomendação, num nível que o cliente entenda e que o regulador aceite. "O modelo decidiu" não é resposta.
A terceira é a vedação à discriminação ilícita. Modelo treinado em histórico reproduz o padrão do histórico, inclusive o que a instituição não quer repetir. Isso exige teste ativo, não boa intenção.
Gestão de terceiros: o provedor de IA é um fornecedor crítico
Instituições financeiras costumam ter processo maduro de contratação e monitoramento de prestador relevante. O provedor de IA entra nessa categoria e deveria seguir o mesmo rito:
- Avaliação prévia de segurança, continuidade e conformidade.
- Cláusulas de tratamento de dados, retenção, uso do conteúdo enviado e auditoria.
- Clareza sobre subcontratação e sobre onde o processamento ocorre.
- Plano para indisponibilidade, mudança de termos ou descontinuidade do serviço.
O detalhe que escapa com frequência: a área que começou a usar a ferramenta raramente passou por esse rito. O inventário costuma revelar provedores em produção que nunca foram avaliados.
O que a auditoria vai pedir
Em instituição supervisionada, a pergunta chega mais cedo e mais detalhada. Vale estar pronto para demonstrar:
- Inventário dos usos de IA, com classificação de risco e responsável por cada um.
- Política aprovada e evidência de que ela está aplicada, não apenas publicada.
- Registro de uso: quem, o quê, quando, sob qual regra, com qual desfecho.
- Onde há revisão humana e prova de que ela é efetiva.
- Avaliação dos provedores e o que os contratos preveem.
- Incidentes registrados e o que mudou por causa deles.
A diferença entre uma instituição preparada e outra não está no volume de documento, e sim na capacidade de produzir evidência do período pedido em prazo razoável.
Onde começar sem parar a operação
A abordagem que costuma funcionar é faseada: inventariar o uso corrente, classificar por risco, aplicar controle técnico primeiro no que toca dado de cliente e decisão sobre pessoas, e só então padronizar o restante.
A implantação de IA conduz essa sequência; o NOBUG STUDIO aplica a política no pré-envio e produz a trilha que a auditoria vai pedir; e o licenciamento resolve o problema paralelo de ferramentas contratadas fora do rito de fornecedor.
