Fed de Dallas liga IA e cibersegurança bancária

A Reserva Federal de Dallas disse que as agências bancárias federais dos Estados Unidos, a Federal Reserve, a OCC e a FDIC, supervisionam modelos de IA generativa e agentic com marcos amplos e baseados em princípios. Esse olhar alcança a gestão de cibersegurança em instituições financeiras sob supervisão, inclusive as expostas a ativos digitais e fraude, e se apoia em recursos atualizados publicados pela Junta da Reserva Federal em 2 de setembro de 2026.

¿Qué cambió con la guía de la Reserva Federal?

A Junta da Reserva Federal publicou recursos atualizados para ajudar as instituições financeiras a lidar com os riscos e as oportunidades da IA de fronteira em cibersegurança. O material se encaixa nos marcos de supervisão já existentes e, segundo a análise citada pelo Federal Reserve Bank of Dallas e pela BankingNewsAI, em setembro de 2026 não há regras bancárias específicas voltadas aos "AI agents" como tais.

Na prática, isso faz com que os modelos de IA sejam incorporados aos marcos já vigentes de risco operacional, cibersegurança e governança de terceiros. A leitura regulatória é que a "AI security" não aparece como um regime separado de risco de modelo, mas como parte dos domínios clássicos de segurança da informação e controle de fornecedores.

¿Qué exigen los marcos ya vigentes en EE.UU.?

Os esquemas de referência nos Estados Unidos já exigem controles concretos, como autenticação robusta, criptografia, testes técnicos e gestão de terceiros. No caso do FFIEC, as orientações de segurança da informação definem padrões interagências uniformes para instituições supervisionadas e também alcançam provedores externos de tecnologia e serviços que as apoiam.

A guia do FFIEC exige avaliação contínua de riscos de TI e cibersegurança, além da supervisão do programa de segurança do fornecedor. Ela também prevê que falhas possam resultar em achados formais, Matters Requiring Attention e ações de cumprimento ou sanções civis, por meio do processo de exame das agências membro.

A Regra de Salvaguardas da FTC segue a mesma linha para instituições financeiras não bancárias sob jurisdição da agência. Ela exige um programa de segurança da informação por escrito, supervisionado por uma pessoa qualificada, com base em uma avaliação de riscos documentada e integrado por criptografia, autenticação multifator, resposta a incidentes e supervisão de fornecedores.

¿Qué pasa con Nueva York y los terceros críticos?

A norma 23 NYCRR 500 do NYDFS obriga as entidades cobertas a manter um programa de cibersegurança baseado em riscos, com controles técnicos específicos e relatórios ao regulador. A regra alcança bancos, seguradoras, credores hipotecários e outras empresas financeiras autorizadas ou licenciadas em Nova York, independentemente do país de origem.

Esse esquema inclui autenticação multifator, criptografia de informação não pública, gestão de privilégios de acesso e gestão de vulnerabilidades. Também exige notificar eventos de cibersegurança que cumpram certos critérios, geralmente em até 72 horas, reportar pagamentos de ransomware e apresentar uma certificação anual de conformidade assinada por um alto executivo.

O texto emendado em vigor desde novembro de 2023 acrescenta uma cadência precisa para testes e avaliação de riscos. As entidades reguladas devem fazer testes de intrusão internos e externos pelo menos uma vez por ano, com pessoal qualificado interno ou externo, e complementar com varreduras automatizadas de vulnerabilidades de acordo com a avaliação de riscos e após mudanças materiais nos sistemas. A avaliação de riscos, por sua vez, deve ser atualizada pelo menos uma vez por ano e depois de qualquer mudança material.

¿Cómo impacta esto en bancos y fintech de América Latina?

A lógica de supervisão dos Estados Unidos também alcança bancos e fintechs latino-americanos que operam nos EUA ou dependem de terceiros tecnológicos para onboarding, fraude ou gestão de dados. Segundo a Uptiq, a narrativa regulatória posiciona a segurança de IA dentro dos domínios clássicos de segurança da informação e risco de terceiros, por isso as ferramentas de IA precisam cumprir os mesmos controles de acesso, registro, monitoramento e proteção de dados que outros sistemas críticos.

O foco sobre fornecedores é especialmente sensível em processos de verificação de identidade. A Commerce Security Authority lembrou que o FFIEC exige avaliar como o fornecedor trata, armazena e descarta informações pessoais sensíveis, e remete ao folheto Outsourcing Technology Services para detalhar as expectativas sobre plataformas de IDV.

Esse ponto afeta diretamente fintechs e bancos que terceirizam o onboarding digital, inclusive quando o fornecedor está fora dos Estados Unidos. As análises de incidentes massivos em provedores de verificação de identidade sustentam que a due diligence e a supervisão de terceiros devem revisar como dados como licenças e documentos oficiais são protegidos.

A isso se soma o sinal do Financial Stability Board ao G20, em agosto de 2026, que classificou a IA de fronteira como vetor estrutural de risco para a estabilidade financeira global. Segundo a análise citada, esse critério reforça a probabilidade de que supervisores como a Reserva Federal incorporem cenários de ciberataques potencializados por IA em suas revisões de risco operacional de bancos com exposição internacional, incluindo subsidiárias na América Latina.