Tributário e Regulatório · Análise
A governança que a inteligência artificial vai exigir, o setor financeiro passou trinta anos aprendendo a fazer
Enquanto o Congresso ainda decide como o país vai regular a IA, a disciplina de controle, risco e auditoria que qualquer marco legal vai cobrar já existe madura dentro de bancos e seguradoras. O trabalho que se abre é transportá-la para um objeto novo, sob uma arquitetura regulatória que nasce distribuída e coloca o Banco Central no centro.
A inteligência artificial já opera no coração do sistema financeiro latino-americano. Modelos concedem crédito, calibram preço de seguro, vasculham transações atrás de fraude e lavagem, orientam cobrança e decidem o que cada cliente enxerga. Boa parte dessa infraestrutura foi erguida nos últimos anos sem que existisse, no Brasil, uma única linha de lei escrita especificamente para ela. A tecnologia correu na frente da norma, como quase sempre acontece.
Agora a norma tenta alcançar a tecnologia. Quando alcançar, vai cobrar das empresas uma capacidade que poucas áreas dominam de verdade: governar um sistema que decide, provar como ele decide e responder pelas suas consequências. Essa capacidade tem nome antigo no mundo corporativo. Chama-se governança, controle e auditoria. E há uma área que passou as últimas três décadas construindo exatamente isso, sob pressão de reguladores, com metodologia madura e cicatrizes reais. É a área financeira.
O que a regulação vai cobrar
O Brasil está perto de ter sua primeira lei geral de IA, embora perto já tenha se provado uma palavra traiçoeira nesse caso. O PL 2338/2023 foi aprovado por unanimidade no plenário do Senado em dezembro de 2024 e seguiu para a Câmara dos Deputados, onde tramita desde então em comissão especial, sob relatoria do deputado Aguinaldo Ribeiro. A votação foi remarcada mais de uma vez. Ficou para o fim de 2025, escorregou para 2026 e segue disputando espaço num calendário congestionado. Pontos sensíveis continuam abertos, entre eles o tratamento de direitos autorais no treinamento de modelos e uma dúvida constitucional de peso: parte da estrutura de governança prevista cria autoridades e despesas, o que pela Constituição costuma exigir iniciativa do Executivo. Até o fechamento desta análise, o texto ainda aguardava avanço na Câmara e não havia virado lei.
A direção, no entanto, já está desenhada e dificilmente muda no essencial. O projeto adota um modelo baseado em risco: proíbe usos de risco excessivo e impõe obrigações pesadas aos sistemas de alto risco, categoria em que entram, pela letra do artigo 17, os sistemas que avaliam capacidade de endividamento e definem classificação de crédito de pessoas. Todo sistema de alto risco passa a exigir uma avaliação de impacto algorítmico antes de entrar em operação, um relatório que documenta finalidade, origem dos dados de treino, desempenho entre grupos e medidas de mitigação de risco. Garante ainda à pessoa afetada o direito de saber que uma decisão foi automatizada, de receber explicação sobre os critérios usados e de contestar o resultado. Cria o Sistema Nacional de Regulação e Governança de Inteligência Artificial, o SIA, uma arquitetura distribuída em que a ANPD coordena e os reguladores setoriais já existentes cuidam de seus domínios. As multas chegam a R$ 50 milhões por infração e, para empresas privadas, ficam limitadas a 2% do faturamento do grupo no Brasil.
Nenhuma empresa séria vai esperar a promulgação para se organizar. Multinacionais que operam na região já respondem ao AI Act europeu, cujas obrigações para sistemas de alto risco entraram em vigor em 2026, com multas que chegam a 35 milhões de euros ou 7% do faturamento global. E, na prática, o mercado já convergiu para dois instrumentos que independem de qualquer lei local: o AI Risk Management Framework do NIST, americano, que organiza a gestão de risco em quatro funções (governar, mapear, medir e gerir), e a ISO/IEC 42001, norma internacional de 2023 que define um sistema de gestão de IA certificável por auditoria de terceira parte. Quem quer demonstrar maturidade adota os dois: o NIST pela metodologia de risco, a ISO pela estrutura auditável.
Uma disciplina que o setor financeiro já domina
Aqui está o ponto que quase ninguém conecta. Vale ler a lista do que esses frameworks exigem com olhos de quem trabalhou em controladoria. Inventário de sistemas classificado por risco. Papéis e alçadas de decisão definidos. Documentação de como cada modelo funciona, suas limitações e sua origem. Trilha de auditoria. Supervisão humana nos pontos críticos. Monitoramento contínuo. Revisão periódica pela alta gestão. Auditoria independente que garante ao conselho que tudo isso opera como deveria.
Não há uma linha nova nessa lista para quem construiu controles internos sobre demonstrações financeiras. É o mesmo esqueleto. A ISO 42001 segue o mesmo ciclo de melhoria contínua da ISO 27001 e da ISO 9001, e a própria norma reconhece que quem já mantém essas certificações consegue estender boa parte dos mecanismos para o novo sistema de gestão, poupando esforço. O modelo das três linhas de defesa, vocabulário nativo de qualquer área de compliance bancário, é a espinha da governança de IA madura: a primeira linha é dona do risco na operação, a segunda supervisiona, e a auditoria interna, na terceira linha, presta garantia independente ao comitê de auditoria. O Instituto dos Auditores Internos publica orientação sobre auditoria de IA desde 2017.
O próprio texto do projeto reforça o ponto. A avaliação de impacto algorítmico exigida dos sistemas de alto risco precisa ser conduzida por profissionais com conhecimento técnico, científico e jurídico e com independência funcional, e a lei prevê que a autoridade competente possa determinar que essa avaliação, ou sua auditoria, seja feita por profissionais externos ao fornecedor. Traduzido para o vocabulário de quem já vive de assurance, a lei está descrevendo uma terceira linha de defesa e uma auditoria independente, sem usar essas palavras.
A nova regulação vai pedir que as empresas façam com seus modelos de IA o que os bancos já são obrigados a fazer com seus números há décadas. A tecnologia é nova. A disciplina não é.
Por que o Banco Central muda o jogo no Brasil
A arquitetura distribuída do PL 2338 tem uma consequência prática que passa batida no debate público, concentrado em ética e criatividade. O texto não cria uma autoridade única e onipotente de IA. Ele determina, no artigo 34, que a autoridade central coordene sua atuação com os reguladores setoriais já existentes, cada um no seu domínio. Levada a sério, essa lógica coloca a IA dos bancos sob o olhar do regulador que eles já conhecem, o Banco Central, do mesmo modo que a IA da saúde tende a gravitar para a ANS e a das telecomunicações para a Anatel. É o regulador que já lhes cobra gestão de risco e cujas exigências eles já sabem cumprir.
Isso inverte a ordem que se costuma imaginar. O setor financeiro tende a ser o mais rápido a se adaptar à regulação de IA, e não o mais lento, justamente por ser o mais regulado. A cultura de controle já está instalada, o interlocutor regulatório já é conhecido, e a musculatura de compliance já existe, faltando apenas apontá-la para um objeto novo. Enquanto boa parte da economia vai descobrir governança de IA do zero, o sistema financeiro vai adaptar o que já pratica todos os dias.
O ponto cego que a região não pode importar pronto
Há um risco silencioso em cima de tudo isso, e ele é mais latino-americano do que técnico. Os frameworks que estruturam a governança de IA no mundo nasceram no hemisfério norte, para mercados, históricos e populações diferentes dos nossos. Copiá-los pela forma é fácil. Adotá-los pelo conteúdo sem tradução é onde mora o erro.
Discriminação algorítmica não carrega o mesmo peso num país com a composição racial e as desigualdades do Brasil e num país europeu. Um modelo de crédito calibrado com dados de uma sociedade grava o passado dela nas suas decisões futuras, e o passado brasileiro tem marcas que um framework redigido em Bruxelas não enxerga. O PL 2338 traz aqui uma particularidade que merece atenção e quase não recebe: pela própria justificação do projeto, suas definições de discriminação direta e indireta incorporam a Convenção Interamericana contra o Racismo, promulgada pelo Brasil em 2022. É uma escolha de fundo, e cobra de quem for auditar esses sistemas no país um repertório que nenhuma certificação internacional ensina.
A competência puramente técnica não dá conta, e a puramente jurídica também não. O momento pede uma leitura que reúna três coisas que raramente andam juntas: entender o negócio por dentro, entender a regra que está sendo escrita e entender o território onde ela vai cair. É trabalho de tradução entre mundos que não costumam se falar, e a América Latina vai precisar dele em escala.
O que vem antes da lei
Quando a lei brasileira de IA finalmente passar, a corrida por quem sabe governar esses sistemas já terá começado. As empresas vão procurar gente capaz de montar o inventário, classificar o risco, desenhar o controle, escrever a política e sentar diante do regulador com autoridade. No sistema financeiro latino-americano, essa gente não precisa ser inventada. Ela já existe, formada na escola mais exigente de governança que o mundo corporativo construiu. Falta reconhecer que a competência que ela desenvolveu a carreira inteira acabou de encontrar seu próximo objeto.
Sobre as fontes. As disposições do PL 2338/2023 citadas aqui (alto risco no art. 17, incluindo classificação de crédito; avaliação de impacto algorítmico nos arts. 22 a 26; medidas de governança nos arts. 19 e 20; sanções no art. 36; e incorporação da Convenção Interamericana contra o Racismo à definição de discriminação, apontada na justificação do projeto) foram conferidas no texto disponível no Senado Federal. A numeração pode variar no substitutivo consolidado. O projeto foi aprovado pelo Senado em dezembro de 2024 e segue em tramitação na Câmara dos Deputados, sem votação final até o fechamento desta análise. Ainda não é lei e o cronograma permanece incerto. Uma vez publicada, a lei entra em vigor um ano depois. Obrigações e sanções do AI Act europeu conforme sua vigência escalonada em 2026. NIST AI RMF e ISO/IEC 42001:2023 conforme os documentos das respectivas instituições. Modelo das três linhas de defesa e auditoria de IA conforme publicações do Instituto dos Auditores Internos (IIA). A identificação do Banco Central como regulador setorial da IA financeira é leitura da arquitetura de coordenação prevista no art. 34, e não designação expressa no texto.