Guia regulatórioBrasil · Agentes de IA em bancos
O Brasil ainda não tem uma lei geral de inteligência artificial. O Marco Legal da IA (PL 2338/2023) foi aprovado pelo Senado em dezembro de 2024 e está na Câmara dos Deputados, onde o relator anunciou que a votação fica para depois das eleições de outubro de 2026. Enquanto isso, um agente de IA em um banco é avaliado por três conjuntos de regras que já estão em vigor: as normas do Conselho Monetário Nacional e do Banco Central, o Código de Defesa do Consumidor e a LGPD.
Este guia resume o que cada um exige e quais evidências convém ter prontas antes de colocar um agente em produção.
Atualizado em outubro de 2026. Este guia é informativo e não substitui a análise das áreas jurídica e de compliance de cada instituição.
A Resolução CMN 4.893/2021, atualizada pela Resolução CMN 5.274 de dezembro de 2025, define a política de segurança cibernética e os requisitos para contratar serviços relevantes de processamento, armazenamento de dados e computação em nuvem. Um agente de IA fornecido por terceiros e operado na nuvem costuma se enquadrar nessa categoria.
A contratação de serviços relevantes deve ser comunicada ao Banco Central em até 10 dias. Se o serviço for prestado no exterior sem o convênio previsto na norma, a instituição precisa pedir autorização com 60 dias de antecedência.
O contrato deve garantir à instituição e ao Banco Central acesso aos dados, às informações e aos registros do serviço. O Banco Central pode vetar ou restringir a contratação se esse acesso for limitado.
O serviço entra no plano de continuidade de negócios e na gestão de incidentes, com comunicação tempestiva ao Banco Central das ocorrências relevantes e um plano de saída que permita trocar de fornecedor.
A Resolução CMN 4.949/2021 exige que as instituições conduzam o relacionamento com clientes com ética, responsabilidade, transparência e diligência, e mantenham uma política institucional que cubra, entre outros pontos, a sistemática de cobrança em caso de inadimplência e o treinamento de quem atende, incluindo prestadores de serviço. No Código de Defesa do Consumidor, o artigo 42 proíbe expor o consumidor inadimplente ao ridículo ou submetê-lo a constrangimento ou ameaça. Para um agente de IA, cada uma dessas regras vira um guardrail.
| Exigência | Como implementar no agente |
|---|---|
| Não expor, constranger ou ameaçar o devedor (CDC, art. 42) | Guardrails que bloqueiam essas frases antes que o agente as diga, além das instruções de tom |
| Não revelar a dívida a terceiros | Confirmação de identidade antes de mencionar a dívida; se não é o titular, nenhuma informação é revelada |
| Transparência sobre quem cobra | O agente informa em nome de qual instituição fala e que é um assistente automatizado |
| Cobrança alinhada à política institucional (CMN 4.949) | Regras de negociação, horários e frequência de contato configurados a partir da política aprovada pela instituição |
| Prestadores treinados e supervisionados | Configuração versionada e revisada por Compliance antes de cada mudança, como parte do treinamento do canal |
| Atendimento a reclamações | Transcrição de cada conversa disponível para a Ouvidoria e para responder ao Procon e ao consumidor.gov.br |
A conversa de cobrança envolve dados pessoais e financeiros, e a LGPD se aplica integralmente. O artigo 20 garante ao titular o direito de pedir revisão de decisões tomadas apenas com base em tratamento automatizado que afetem seus interesses, o que é relevante quando o agente define propostas de negociação.
Base legal definida para cada tratamento, minimização dos dados que o agente acessa, mascaramento de dados sensíveis em transcrições e registros, e um caminho claro para o cliente falar com uma pessoa e pedir revisão.
Fornecedor como operador de dados, proibição de usar os dados do banco para treinar modelos, prazos de retenção e eliminação, e transparência sobre onde os dados são processados e se há transferência internacional.
Para a revisão com Riscos e Segurança, use o checklist de due diligence para agentes de IA.
A Coru constrói agentes de IA para instituições reguladas com essas evidências desde o desenho.Configuração versionada, guardrails definidos pela instituição, registro de cada conversa e documentação para Riscos e Compliance.
Ver segurança e guardrailsAinda não. O PL 2338/2023, o Marco Legal da IA, foi aprovado pelo Senado em dezembro de 2024 e aguarda votação na Câmara dos Deputados. Até lá, um agente de IA em um banco segue as normas do Conselho Monetário Nacional e do Banco Central, o Código de Defesa do Consumidor e a LGPD.
Se o agente se enquadra como serviço relevante de processamento, armazenamento de dados ou computação em nuvem, a Resolução CMN 4.893/2021 exige comunicar a contratação ao Banco Central em até 10 dias. Para serviços prestados no exterior sem convênio, é preciso pedir autorização com 60 dias de antecedência.
Pode, desde que siga as mesmas regras que valem para um atendente humano: o artigo 42 do CDC, a política de relacionamento com clientes exigida pela Resolução CMN 4.949/2021 e a LGPD. A instituição continua responsável pela forma de cobrar.
Sim. O artigo 20 da LGPD garante ao titular o direito de pedir revisão de decisões tomadas apenas com base em tratamento automatizado que afetem seus interesses. Por isso o agente precisa de um caminho claro para atendimento humano.
Depende do texto final aprovado pela Câmara. A versão do Senado classifica sistemas por risco e cria obrigações de governança e transparência. Instituições que já registram cada conversa, versionam o agente e documentam guardrails partem de uma base mais próxima do que a lei deve exigir.
Revise o seu caso com a nossa equipe.Qual processo automatizar primeiro, o que a área de Riscos vai pedir e como documentar.
Agendar uma demonstração