Governança da IA para serviços financeiros: o que a CFPB e a Lei da UE sobre IA exigem das tecnologias de IA voltadas para o cliente

Um órgão regulador pergunta o que sua IA disse a um cliente sobre uma taxa há três meses e de qual fonte essa informação veio. Se a resposta honesta for “não podemos reconstituir isso”, a implantação nunca esteve pronta.

A governança da IA nos serviços financeiros é o conjunto de controles, rastreabilidade e prestação de contas que permite que uma instituição comprove o que sua IA voltada para o cliente disse a um cliente e por quê, seja por voz, chat ou pesquisa.

O CFPB e a Lei de IA da UE estão se alinhando em um mesmo padrão, e nenhum auditor aceita a justificativa de que “foi o que o modelo indicou”. A governança deve ser integrada à arquitetura, e não acrescentada posteriormente.

Pontos principais

• A governança da IA nos serviços financeiros significa que toda resposta de IA direcionada ao cliente deve ser rastreável até uma fonte regulamentada, explicável a um órgão regulador e defensável em uma auditoria.
• Os regimes regulatórios dos EUA e da UE estão convergindo para a mesma expectativa: as interações com o consumidor influenciadas pela IA devem ser específicas, precisas e explicáveis, e certas aplicações da IA em serviços financeiros acarretam obrigações mais rigorosas e de alto risco.
• “Seguro” e “auditável” são padrões diferentes. Os serviços financeiros regulamentados exigem que sejam auditáveis.
• A governança deve ser incorporada à forma como a IA gera respostas, e não adicionada como uma camada de explicabilidade a posteriori.
• Para ver como o “auditable” se compara aos seus próprios controles, agende uma demonstração.

O que é a governança da IA nos serviços financeiros?

A governança da IA nos serviços financeiros é a disciplina que permite comprovar o que sua IA disse a um cliente e por quê. Os compradores tendem a confundir duas camadas.

O primeiro é a governança do risco de modelos internos: os modelos de crédito, fraude e operações de mercado que servem de base às decisões e estão sujeitos a expectativas de supervisão de longa data, como a SR 11-7.

O segundo é a governança das interações com o cliente: a IA respondendo a perguntas no centro de atendimento, no chat e na busca.

Esta página trata da segunda camada. Os mesmos princípios de auditabilidade se aplicam, mas o âmbito é diferente. Uma estrutura de risco de modelo avalia se um modelo é sólido.

A governança da interação verifica se é possível reconstituir e justificar uma resposta específica, oral ou escrita, que um cliente recebeu.

À medida que a IA voltada para o cliente assume cada vez mais interações, essa segunda questão recai diretamente sobre as mesas do diretor de riscos, do diretor de conformidade, do CISO e do responsável pela conformidade, que são os responsáveis por ela.

Por que a IA voltada para o cliente traz consigo seu próprio fardo de governança

O centro de atendimento é agora uma questão de governança. Toda resposta gerada por IA, seja oral ou escrita, sobre uma taxa, uma contestação, uma divulgação ou uma ação relacionada à conta é uma comunicação regulamentada e um registro passível de consulta.

Uma “caixa preta” probabilística que reformula a mesma informação de maneira diferente em três chamadas distintas gera risco em todas as três. Divulgações inconsistentes, respostas que ninguém consegue explicar e a ausência de um histórico justificável não são casos isolados.

Esses são os resultados previsíveis de uma IA voltada para o cliente que não é supervisionada.

Destinado às pessoas que assumem o risco: se o seu CISO, CRO, CCO ou responsável pela conformidade não conseguir obter uma resposta clara para a pergunta “o que exatamente a IA disse a esse cliente e de onde veio essa informação?”, a implantação não está pronta para uma conta sujeita a regulamentação.

O veto deles não é burocracia; é a última etapa antes de uma decisão.

O que o CFPB exige da IA no setor de crédito ao consumidor

Comece pelo princípio da durabilidade, pois a postura de fiscalização em torno dele está em constante evolução. O CFPB tem se mantido coerente ao afirmar que não há nenhuma exceção especial às leis de proteção financeira do consumidor para novas tecnologias.

As regras vigentes se aplicam às interações influenciadas pela IA da mesma forma que se aplicam às interações criadas por seres humanos. A expressão mais concreta disso é a exigência relativa a ações adversas.

Quando um credor toma uma medida adversa, ele deve apresentar motivos específicos e precisos, não podendo se basear em motivos genéricos de uma lista de verificação que não reflitam o fundamento real da decisão.

O CFPB deixou bem claro que não há isenção especial para a inteligência artificial.

O ponto prático a ser considerado na IA voltada para o cliente é a consistência e a especificidade: as interações com o consumidor influenciadas pela IA devem ser específicas, precisas e explicáveis, em vez de genéricas, e as informações divulgadas devem ser consistentes em todos os canais.

A própria abordagem de fiscalização está em evolução em 2026, com o Departamento reajustando partes de seu programa de crédito justo; portanto, considere os detalhes como expectativas do órgão regulador em constante mudança, e não como regras fixas.

Isso não constitui aconselhamento jurídico, e você deve verificar se qualquer requisito específico está de acordo com as orientações atuais do CFPB antes de se basear nele.

O que a Lei da IA da UE exige da IA nos serviços financeiros

A Lei da IA da UE abrange empresas que atendem clientes da UE, e não apenas aquelas sediadas na UE; portanto, instituições dos EUA com operações na UE ou que prestam serviços voltados para a UE estão sujeitas à lei.

A Lei classifica certas utilizações de serviços financeiros como de alto risco, notadamente a avaliação da capacidade de crédito e a pontuação de crédito de pessoas físicas, bem como a avaliação de risco e a fixação de preços em seguros de vida e de saúde. Essas informações podem ser consultadas no Anexo III da própria Lei.

Quando um uso é de alto risco, as obrigações incluem gestão de riscos, governança de dados, documentação técnica, transparência, supervisão humana, precisão e monitoramento contínuo.

O momento certo é importante neste caso, e a situação está realmente em constante mudança. As obrigações de alto risco estavam previstas para entrar em vigor a partir de 2 de agosto de 2026, mas as instituições da UE chegaram a um acordo provisório em 2026 para adiar as obrigações de alto risco baseadas no uso para 2027.

Esse adiamento só entra em vigor após a aprovação formal; portanto, até lá, a data de agosto de 2026 continua válida. Acompanhe a situação por meio de fontes oficiais da UE, em vez de resumos de terceiros.

Mesmo quando um assistente que interage diretamente com o cliente não é, por si só, um sistema de alto risco, a expectativa de transparência — ou seja, que as pessoas sejam informadas quando estiverem lidando com IA — e os critérios mais amplos de governança ainda determinam como uma instituição regulamentada pode implantá-la.

Por que uma IA “segura” não é o mesmo que uma IA “auditável”

Aqui está a distinção que você deve levar em conta em qualquer reunião com fornecedores. “Seguro” significa que a IA não causará danos. “Auditável” significa que você pode comprovar a um órgão regulador o que aconteceu e por quê.

A maioria dos fornecedores se limita à segurança, pois é mais fácil demonstrá-la e comercializá-la. No caso dos serviços financeiros, a auditabilidade é o critério de compra, e não um recurso opcional.

Não é possível defender em uma prova aquilo que não se consegue reconstruir, e um sistema que seja meramente seguro não oferece nenhuma reconstrução, apenas uma sensação de segurança.

É por isso que um complemento de registro não equivale a governança. Registrar que uma caixa preta produziu uma resposta não explica por que ela produziu essa resposta nem qual fonte aprovada a respaldou.

A auditabilidade deve ser uma característica do modo como a resposta é gerada, o que desvia a discussão da questão das políticas para a da arquitetura.

A arquitetura por trás da IA voltada para o cliente e passível de auditoria

Existem duas maneiras de desenvolver IA voltada para o cliente, e apenas uma delas é auditável por natureza.

A primeira é a geração de “caixa preta” com uma camada de explicabilidade pós-hoc, na qual o modelo constrói a resposta de forma probabilística e uma técnica separada aproxima uma explicação posteriormente.

A explicação é uma estimativa do motivo, elaborada a posteriori.

A segunda é a “caixa de vidro” da arquitetura. O conteúdo é pré-processado em intenções reguladas, vinculadas à sua fonte por meio da Engenharia do Conhecimento e da Inteligência Programada, de modo que o caminho da decisão é a própria arquitetura.

O assistente retorna uma resposta validada, vinculada a uma fonte aprovada, e o modelo de linguagem é usado apenas para redigir a resposta.

É graças a esse modelo que prioriza o conhecimento — e em que o uso de LLM é opcional — que o Inbenta Encore atinge uma precisão superior a 98% desde o primeiro dia, com quase zero de respostas inventadas, e é por isso que a resposta recebida por um cliente pode ser rastreada exatamente até a fonte que a produziu.

Governança da IA na prática: voz, chat e pesquisa

Traduza essa arquitetura para os canais que uma equipe de experiência do cliente (CX) e de risco do setor de serviços financeiros realmente utiliza:

Voz

Registros de chamadas auditáveis e informações verbais consistentes em todo o centro de atendimento, para que a mesma pergunta sobre tarifas receba sempre a mesma resposta aprovada.

Bate-papo

Interações escritas rastreáveis e que possam ser justificadas em uma avaliação, com a fonte de cada resposta registrada.

Pesquisar

Respostas de autoatendimento controladas, baseadas em fontes aprovadas, e não em suposições parafraseadas.

A consistência nas informações divulgadas nos três canais, aliada ao encaminhamento com todo o contexto para um atendente ao vivo, é o que transforma a governança de um documento de política em uma realidade operacional.

A Encore administra esses canais a partir de uma única camada de conhecimento padronizada; é por isso que a resposta não muda de forma quando o cliente muda do chat para o telefone.

Para conhecer o principal caso de referência na área de serviços financeiros, veja como o BBVA aprimorou seu atendimento ao cliente com a Inbenta; a OPPLUS reduziu em 84% o número de casos encaminhados para níveis superiores de atendimento ao cliente na área operacional, utilizando a mesma abordagem.

O que se deve exigir de uma plataforma de IA governável

Leve essas perguntas em consideração em qualquer avaliação:

• É possível rastrear todas as respostas fornecidas aos clientes até uma fonte controlada?
• Você consegue reconstruir e justificar o raciocínio por trás das decisões tomadas em uma auditoria?
• As informações divulgadas são consistentes entre as funcionalidades de voz, chat e pesquisa?
• A precisão se mantém após o lançamento ou diminui à medida que o conhecimento se altera?
• Ele oferece suporte às suas regiões de implantação e idiomas, incluindo ambientes locais ou em nuvem privada, quando necessário?

Aplique seus próprios critérios de avaliação a qualquer sistema que você analisar, e não o roteiro idealizado pelo fornecedor.

Como a Encore oferece IA regulamentada e auditável

A Encore é uma plataforma unificada de IA agênica, e não um conjunto de produtos independentes.

Trata-se também de uma categoria diferente das ferramentas de RPA, como o UiPath e o Automation Anywhere, e dos criadores de aplicativos com baixo código, como o Zapier e o Make, que algumas equipes já utilizam. Essas ferramentas transferem dados com base em regras fixas e não levam em conta o que foi dito ao cliente nem o motivo.

A governança não é um recurso do Encore; é a maneira como a plataforma gera respostas: com prioridade no conhecimento, com total transparência e rastreável até a fonte por padrão.

A camada de manutenção autônoma mantém o conhecimento gerenciado atualizado após o lançamento, de modo que a precisão e a rastreabilidade sejam mantidas ao longo do tempo. Os pontos que comprovam isso:

• +98% de precisão desde o primeiro dia
• +35% de melhoria na resolução no primeiro contato
• Melhoria de +30% no CSAT
• Implantação +75% mais rápida

Essa abordagem rendeu ao Inbenta Encore o prêmio TSIA Star Award na categoria “Inovador do Ano em Sucesso Digital do Cliente”.

Para um diretor de riscos, diretor de conformidade ou CISO que esteja decidindo se deve permitir que a IA se comunique com clientes em uma conta regulamentada, o fator decisivo é se é possível comprovar o que foi dito. Com uma arquitetura de “caixa de vidro”, isso é possível.

Agende uma demonstração para ver se a solução atende às suas necessidades.

Perguntas frequentes

O que o CFPB exige da IA utilizada no atendimento ao cliente?

O CFPB aplica as leis vigentes de proteção ao consumidor à IA, sem isenções específicas para essa tecnologia. Na prática, isso significa que as interações influenciadas pela IA devem ser específicas, precisas e explicáveis, com divulgações consistentes. A abordagem de fiscalização está em evolução em 2026; portanto, verifique os detalhes com base nas orientações atuais.

A Lei da IA da UE se aplica às instituições financeiras dos EUA?

Sim, caso atendam clientes da UE ou prestem serviços voltados para a UE. A lei abrange provedores e operadores, independentemente de onde estejam sediados. Certas utilizações, como a avaliação de crédito e a definição de preços de seguros, são classificadas como de alto risco e acarretam obrigações adicionais.

Em que a IA auditável difere da IA segura?

“Seguro” significa que a IA não causará danos. “Auditável” significa que é possível comprovar a um órgão regulador o que ela disse e por quê. “Seguro” é garantia; “auditável” é reconstrução. Os serviços financeiros regulamentados precisam do segundo, pois não é possível se defender em uma fiscalização do que não se pode reconstruir.

De que forma a arquitetura centrada no conhecimento contribui para a conformidade?

Ele vincula cada resposta a uma fonte controlada antes mesmo que o cliente faça a pergunta, de modo que o caminho da decisão é incorporado ao sistema, em vez de ser estimado a posteriori. O modelo de linguagem formula a resposta, não a inventa, o que garante que as respostas sejam precisas, consistentes e rastreáveis para fins de auditoria.

A IA voltada para o cliente pode atender às expectativas da SR 11-7?

A SR 11-7 regula o risco de modelos internos, uma camada distinta das interações com os clientes. Os mesmos princípios — rastreabilidade e prestação de contas — se aplicam. Uma arquitetura transparente e vinculada à fonte facilita muito a documentação e a justificativa de como uma resposta ao cliente foi elaborada.