BCU reforça segurança e IA em instrumentos eletrônicos

O Banco Central do Uruguai alterou as regras de segurança para instrumentos eletrônicos e, a partir de 1º de outubro de 2026, passou a exigir autenticação reforçada para acessar canais digitais, fazer transferências ou pagamentos a partir de contas bancárias, solicitar empréstimos não presenciais e acessar, alterar ou atualizar dados sensíveis. A mudança foi comunicada na Circular Nº 249, que informou alterações introduzidas pela Resolução Nº 2025-744 da Superintendência de Serviços Financeiros.

O que mudou nos controles de segurança?

A nova redação dos artigos 364 e 364.1 da Recopilação de Normas de Regulação e Controle do Sistema Financeiro traz exigências mais rígidas para os emissores. Além da autenticação reforçada, o artigo 364 passa a exigir um sistema de monitoramento e controle capaz de detectar fatos irregulares ligados ao uso do instrumento ou ao seu entorno, incluindo mudanças e tentativas de mudança de senhas e dados de contato.

Quais sanções o BCU prevê?

O descumprimento dos artigos 364 e 364.1 pode resultar em multa de entre 1/10.000 e 2/1.000 da responsabilidade patrimonial básica para bancos, segundo a cobertura consultada. Esse regime de punição acompanha o reforço regulatório aplicado pelo órgão uruguaio sobre os instrumentos eletrônicos.

Que outros movimentos recentes tomou o regulador?

O BCU também aprovou um Marco de Governança para o uso de inteligência artificial, que contempla segurança da informação, cumprimento da norma aplicável, robustez, resiliência, monitoramento contínuo e resposta a falhas ou vulnerabilidades, segundo Búsqueda. O marco também determina que todo sistema de IA implantado ou em desenvolvimento no órgão deve ser registrado em um inventário institucional como controle mínimo obrigatório, independentemente do nível de risco. A cobertura acrescenta que o marco prevê mecanismos de rastreabilidade para reconstruir as decisões e os resultados gerados ao longo do ciclo de vida dos sistemas de IA que o órgão desenvolva ou contrate.

Em paralelo, El Observador informou que o BCU aplicou uma multa de 325.000 Unidades Indexadas à Avenida S.A., após rejeitar suas defesas. Segundo a nota, a empresa entregava em dinheiro valores recebidos do exterior a uma pessoa que não era procuradora nem tinha vínculo formal com o cliente, sem aplicar a devida diligência.

Como contexto de compliance no setor público, El Observador informou que apenas 10 de 244 órgãos estatais cumpriam o decreto que exige autenticação de dois fatores, de acordo com dados divulgados anteriormente por Búsqueda.