Um agente de IA que atende clientes de um banco no Brasil ou no México responde a três marcos: a LGPD para dados pessoais e decisões automatizadas, a Resolução CMN 4.893 do Banco Central do Brasil para a contratação de nuvem e dados, e as regras da CNBV para os fornecedores dos bancos mexicanos.
Este artigo resume o que cada um pede, o que isso significa na prática para um agente conversacional e quais perguntas vale fazer a qualquer fornecedor antes de levar o projeto à revisão de Riscos.
LGPD: revisão e critérios claros nas decisões automatizadas
O artigo 20 da LGPD dá ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, inclusive as que definem seu perfil de consumo e de crédito (Confidata). O controlador também deve fornecer informações claras e adequadas sobre os critérios e procedimentos usados, respeitados os segredos comercial e industrial (DIO).
Para um agente de cobrança ou de originação, isso vira três capacidades:
- Cada decisão fica registrada com os dados e a versão do agente que a tomaram.
- O agente consegue explicar em quais critérios se baseou, como saldo vencido, histórico de pagamentos e política vigente.
- Existe um caminho para uma pessoa revisar a decisão quando o cliente pede.
Banco Central do Brasil: Resolução CMN 4.893
A Resolução CMN 4.893 de 2021 regula a política de segurança cibernética e a contratação de processamento, armazenamento de dados e nuvem. Ela dá orientações sobre confidencialidade e segurança, relatórios de auditoria, monitoramento do serviço, locais de processamento, controle de acesso, recuperação de dados e direitos de auditoria (Google Cloud). Também pede a identificação e a segregação dos dados dos clientes da instituição por meio de controles físicos ou lógicos (Convergência Digital).
A atualização de dezembro de 2025 incluiu autenticação, criptografia, rastreabilidade e controles de acesso entre os requisitos mínimos (OKAI), com prazo de adequação até 1º de março (Monitor Mercantil).
CNBV: um conjunto de normas e a aprovação de terceiros
O México não tem uma lei geral de inteligência artificial: o setor financeiro opera com um conjunto de normas (Excelsior). Para os fornecedores, a CNBV exige que certas entidades obtenham sua aprovação antes de contratar um terceiro para executar atividades operacionais ou de gestão de bancos de dados ou sistemas (AWS).
O que elas têm em comum
As três regras chegam à mesma lista, que é a que um time de Riscos revisa antes de aprovar um agente:
| Requisito | O que o agente precisa conseguir mostrar |
|---|---|
| Rastreabilidade | O que aconteceu em cada conversa, com qual versão e quais ferramentas usou |
| Acesso | Quem pode ver e mudar o quê, com registro de cada ação |
| Localização do dado | Onde os dados são processados e guardados, separados de outros clientes |
| Revisão humana | Como uma pessoa revisa ou assume uma decisão quando necessário |
Como a Coru resolve
Na ADI Platform, cada turno de conversa fica registrado com a versão publicada do agente; o acesso é controlado por papéis e permissões, com registro de cada ação administrativa; a implantação pode ser em nuvem dedicada ou dentro da rede do banco, com isolamento por organização; e o agente transfere para uma pessoa conforme as regras que a instituição define. Os guardrails obrigatórios, como o bloqueio de exfiltração de dados pessoais, rodam em código, fora do modelo.
Cinco perguntas para qualquer fornecedor
- Como reconstruo uma conversa de seis meses atrás, com a versão do agente que respondeu?
- Como o agente explica os critérios de uma decisão e como se pede a revisão?
- Onde os dados são processados e como ficam separados dos de outros clientes?
- Quais controles de autenticação, criptografia e acesso a plataforma aplica?
- Que documentação vocês entregam para a revisão do Banco Central ou a aprovação da CNBV?
O seu time de Riscos está revisando um agente? Traga o checklist de vocês e mostramos cada controle na plataforma. Ver segurança e guardrails ou agende uma conversa.
Perguntas frequentes
O que a LGPD exige de um agente de IA que toma decisões?
Se uma decisão é tomada apenas com tratamento automatizado e afeta o titular, como um perfil de crédito, a LGPD dá a ele o direito de pedir a revisão e de receber informações claras sobre os critérios e procedimentos usados.
Qual norma do Banco Central do Brasil vale para fornecedores de nuvem e dados?
A Resolução CMN 4.893 de 2021, que define a política de segurança cibernética e os requisitos para contratar processamento e armazenamento de dados e computação em nuvem. Ela foi atualizada em dezembro de 2025.
O México tem uma lei de inteligência artificial para bancos?
Não há uma lei geral de IA. Vale um conjunto de normas, e a CNBV pede a aprovação de certos terceiros antes da contratação para atividades operacionais ou de gestão de bancos de dados e sistemas.
O que as três regras têm em comum?
Pedem saber o que aconteceu em cada interação, controlar quem acessa, definir onde os dados ficam e poder revisar uma decisão. São os quatro pontos que um time de Riscos revisa antes de aprovar um agente.
Para continuar
- Por que Riscos congela os projetos de agentes de IA em bancos
- O limite de capacidade da sua central de cobrança
Conteúdo informativo. Não constitui assessoria jurídica. Consulte a norma vigente e o seu time jurídico para cada caso.