Em 10 de junho, o Financial Stability Board publicou um relatório para consulta pública sobre a adoção responsável de IA, estabelecendo doze boas práticas para instituições financeiras. O período para envio de comentários terminou em 22 de julho. A versão final é esperada para outubro.

Vale a pena ler o documento por razões que vão além do calendário de compliance. O FSB faz questão de afirmar que o documento não cria um novo padrão internacional nem prescreve uma abordagem específica para a adoção de IA. O que ele oferece é uma descrição particularmente concreta do que uma instituição deve ser capaz de demonstrar sobre um sistema de IA que já está em produção, escrita para conselhos e alta gestão, e não apenas para equipes de risco de modelos.

Para instituições na América Latina, o momento é mais relevante do que pode ser em outras regiões. O Banco Central do Brasil incluiu o estudo dos riscos e impactos da IA em sua agenda regulatória de 2025/2026 e sinalizou que regras formais não devem chegar antes do final de 2026. Isso deixa vários trimestres nos quais o toolkit do FSB é a referência mais detalhada disponível — e nos quais as instituições que o tratarem como um insumo de design serão aquelas que já terão as evidências reunidas quando a supervisão local avançar.

Esta edição analisa o que as doze práticas realmente exigem, especialmente as partes pensadas para sistemas agênticos, e o que uma operação precisa ter implementado para respondê-las sem precisar reconstruir seu histórico.

Referências: FSB, Sound Practices for Responsible Adoption of Artificial Intelligence (relatório para consulta pública), junho de 2026; Banco Central do Brasil, Agenda de Prioridades Regulatórias 2025/2026.

IA em Finanças: o que o toolkit pede que você comprove

As doze práticas estão organizadas em três blocos. As quatro primeiras tratam da governança em toda a organização. As práticas cinco a dez abordam a gestão de riscos ao longo das etapas de desenvolvimento e implementação da IA. As duas últimas tratam de riscos cibernéticos, de TIC e de terceiros. Em todas elas aparecem, de forma transversal, os princípios de proporcionalidade, responsabilização clara, governança de dados, explicabilidade e supervisão humana.

A seção sobre IA agêntica é a que provavelmente terá maior impacto sobre a configuração de uma operação em produção. O relatório descreve medidas que as instituições já estão adotando: atribuição de identificadores individuais aos agentes de IA, restrição da capacidade de um agente de interagir com sistemas externos sem aprovação humana e controles sobre a execução de transações financeiras, especialmente quando envolvem recursos de clientes.

Essas são decisões de configuração, não declarações de política. Uma instituição que já sabe qual versão de qual agente conduziu determinada conversa, quais endpoints externos aquela versão estava autorizada a acessar e quem aprovou sua publicação já percorreu boa parte do caminho. Uma operação cujos agentes funcionam como uma frota indiferenciada por trás de uma API de fornecedor passará o quarto trimestre reconstruindo esse histórico a partir de logs e threads de e-mail.

Os riscos catalogados pelo FSB são conhecidos por qualquer pessoa que já tenha levado um projeto de IA a um comitê de riscos: dependência crescente de um pequeno número de fornecedores externos, comportamento de mercado correlacionado, exposição cibernética, risco de modelo, qualidade de dados e lacunas de governança. A isso se somam questões de conduta e proteção ao consumidor, incluindo recomendações inadequadas e a dificuldade prática de supervisionar um processo que ninguém acompanha de ponta a ponta.

A direção também é consistente em outras jurisdições. Em maio, o Bank of England, a FCA e o HM Treasury emitiram uma declaração conjunta sobre modelos de fronteira e resiliência cibernética que não adicionou novas regras, mas reforçou expectativas existentes sobre governança, gestão de vulnerabilidades e riscos de terceiros.

Os supervisores regionais estão interpretando os mesmos sinais. O Comitê de Estabilidade Financeira do Brasil destacou modelos de IA capazes de explorar vulnerabilidades no sistema financeiro e indicou interesse em uma atuação coordenada entre os setores público e privado para desenvolver usos defensivos da mesma tecnologia.

Há um contraponto importante à ideia de que governança torna as instituições mais lentas. O primeiro Evident AI Index for Banks in Latin America, publicado no final de julho, coloca Nubank, Itaú Unibanco, Bradesco e Banco do Brasil nas quatro primeiras posições entre as vinte instituições avaliadas, com sete nomes brasileiros no conjunto analisado.

O Nubank se destaca pela densidade de talentos, com mais de 5% de sua força de trabalho em funções relacionadas à IA, aproximadamente três vezes a média regional. O Itaú possui o maior número absoluto de profissionais de IA da amostra e é reconhecido por investimentos em governança e controles de uso responsável. O Bradesco ampliou sua capacidade interna por meio da plataforma Bridge e dos assistentes BIA, enquanto análises de crédito apoiadas por IA teriam contribuído para mais de R$ 1 bilhão em receita adicional. O Banco do Brasil tinha mais de 2.000 soluções de IA em produção no primeiro trimestre, abrangendo machine learning, IA generativa e agentes autônomos.

As instituições que possuem mais IA em produção também são aquelas que possuem mais governança sobre ela. Escala e controle chegaram juntos — e esse é o dado mais interessante do índice.

Uma forma prática de testar a prontidão antes de outubro: escolha uma data de três meses atrás e uma interação específica com um cliente. A operação consegue dizer qual versão do agente estava ativa, quais eram suas instruções, quais sistemas externos ele podia acessar, onde os dados pessoais foram anonimizados, o que aconteceu quando o modelo principal falhou e quem aprovou a versão que estava em execução?

Se reunir essas respostas exige uma semana de trabalho de engenharia, a lacuna está na plataforma, não na política.

Referências: FSB, relatório para consulta pública, junho de 2026; Freshfields, AI in financial services: emerging regulatory expectations, junho de 2026; Bloomberg Professional Services, Global Regulatory Brief, julho de 2026; Evident AI Index for Banks in Latin America, julho de 2026; Banco Central do Brasil, atas do Comef, 2026.

Produto Coru®: ADI Platform

A maior parte do que o FSB descreve como boa prática precisa existir na camada onde os agentes são construídos, publicados e monitorados. A ADI Platform, desenvolvida pela Coru®, foi projetada para atuar exatamente nessa camada.

Identidade e isolamento. Cada agente pertence a uma organização e, quando aplicável, a um cliente dessa organização, com isolamento entre tenants aplicado no lado do servidor. O acesso dos operadores utiliza permissões granulares baseadas em funções, com logs de auditoria. Assim, a pergunta “quem alterou o quê e quando?” tem uma resposta que não depende da memória de ninguém.

Versionamento como processo de release. Qualquer edição transforma o agente em um rascunho. As alterações ficam visíveis antes do salvamento; a publicação gera uma versão numerada; e as versões podem ser comparadas lado a lado ou revertidas imediatamente. Alterações sensíveis podem ser lançadas como canary release para uma porcentagem do tráfego enquanto as métricas são monitoradas. É esse mecanismo que transforma a pergunta “qual versão estava ativa naquela data?” em uma consulta, e não em uma investigação.

Guardrails em duas camadas. Uma camada obrigatória, que não pode ser desativada, cobre prompt injection, bloqueio de exfiltração de dados pessoais e detecção de sinais de crise de saúde mental, com alerta operacional. Uma camada configurável permite que cada instituição determine quais filtros aplicar e com qual nível de rigor, incluindo foco temático para manter a conversa dentro dos assuntos autorizados, com uma resposta definida ou transferência automática para um humano em cada limite.

Aprovação humana sobre o que um agente pode acessar. As ações externas são declaradas explicitamente: ferramentas do sistema, como transferência para um humano e encerramento da chamada; integrações HTTP com os sistemas da instituição; e servidores MCP habilitados para aquele cliente. O que um agente pode acessar fora da conversa é uma lista enumerada e revisável, e não uma propriedade emergente de um prompt.

Rastreabilidade de cada interação. Transcrições completas, resumos gerados por IA ao final da conversa, campos de extração definidos para cada interação, eventos de webhook assinados e dashboards que cobrem operação dos agentes, custos e segurança. As evidências que um supervisor poderia solicitar são acumuladas como consequência natural da operação, sem necessidade de um projeto separado de exportação.

Concentração de terceiros e continuidade. A orquestração dos modelos é independente de fornecedor, com modelos de fallback acionados em ordem quando o principal falha. A implementação pode ser compartilhada em ambiente multi-tenant ou dedicada em uma nuvem específica por instituição, com arquitetura multicloud por design e observabilidade que pode ser separada para outra região ou provedor. As práticas onze e doze do toolkit do FSB tratam, em grande parte, desse tipo de dependência.

Gerenciado ou self-service, a mesma plataforma. Instituições que preferem que a Coru® construa e opere seus agentes têm esse ciclo gerenciado. Instituições que desejam construir seus próprios agentes utilizam a mesma plataforma, os mesmos controles e o mesmo histórico de auditoria, sem lock-in.

Coru Weekly Picks

Filme recomendado: Margin Call (2011)

Uma única noite dentro de um banco de investimentos, enquanto um resultado analítico percorre o caminho entre a equipe que o produziu e as pessoas com autoridade para agir sobre ele. O filme é particularmente preciso ao retratar a escalada de decisões: o que cada nível compreende, o que é simplificado ao longo do caminho e quanto depende da capacidade de alguém na cadeia de explicar o resultado que está sendo solicitado a aprovar.

Tudo o que o FSB diz sobre responsabilização e supervisão humana fica mais fácil de operacionalizar depois de assistir a uma versão ficcional desse processo falhar.

Livro recomendado: The Checklist Manifesto, Atul Gawande

Gawande aborda o que acontece em trabalhos complexos e de alto risco quando conhecimento especializado existe em abundância, mas consistência não. Seu argumento é que práticas documentadas, aplicadas em momentos definidos, superam o julgamento individual sob pressão — e que a resistência a elas geralmente está mais relacionada à identidade profissional do que às evidências.

As doze boas práticas de um organismo internacional serão percebidas ou como um exercício burocrático ou como uma disciplina operacional. A diferença está próxima do que este livro descreve.

Entre agora e outubro, existe tempo para construir as evidências, em vez de construir a explicação. As instituições que utilizarem o período de consulta como uma especificação descobrirão que o relatório final descreve algo que elas já têm em operação.

Na Coru, não construímos apenas tecnologia; construímos contexto. Entendemos que, na América Latina, inteligência financeira é inseparável da nuance cultural. Ao combinar IA em escala global com precisão para os mercados locais, ajudamos sua operação a transformar dados complexos em ações decisivas e rentáveis.

Explore mais em coru.com

Posso também  adaptar essa tradução para um português mais natural de newsletter B2B, mantendo o conteúdo técnico, mas deixando o texto mais fluido e comercial.