FINRA reforça governança de GenAI

Atualização 20 de setembro de 2026: A FINRA incluiu a inteligência artificial generativa em seu 2026 Regulatory Oversight Report e ampliou o detalhamento sobre os riscos operacionais, de compliance e de registros que enxerga nas firmas associadas. O regulador também reforçou suas expectativas sobre governança, testes, revisão humana e monitoramento contínuo das ferramentas de IA.

A FINRA publicou seu 2026 Regulatory Oversight Report e passou a incluir a inteligência artificial generativa, ou GenAI, entre os temas cobertos para as firmas associadas do setor financeiro. O regulador alertou para riscos de autonomia de agentes de IA, atuação fora do escopo previsto, dificuldades de auditabilidade e transparência em tarefas com várias etapas, além de possíveis falhas no tratamento de dados sensíveis.

Governança e controle de modelos

O relatório recomenda que as firmas de investimento adotem um marco específico de supervisão, governança ou gestão de risco de modelos para GenAI. Esse esquema deve incluir políticas e procedimentos claros para desenvolver, implementar, usar e monitorar essas ferramentas, além de documentação completa do ciclo de vida do modelo.

A FINRA também reforçou a necessidade de testar de forma robusta as soluções de GenAI antes de sua implantação em ambientes financeiros regulados. Essa validação deve cobrir privacidade, integridade, confiabilidade e exatidão. A isso se soma o monitoramento contínuo de prompts, respostas e outputs para verificar se o comportamento segue alinhado com a norma.

Em materiais explicativos ligados ao relatório, a liderança da FINRA afirmou que a GenAI pode gerar riscos operacionais e de compliance significativos. Também apontou como práticas eficazes marcos sólidos de governança, monitoramento contínuo, gestão proativa de riscos e supervisão e testes sistemáticos das ferramentas de IA.

A própria FINRA explicou em sua página temática sobre inteligência artificial, atualizada em 2026, que a seção de GenAI do Annual Regulatory Oversight Report foi pensada para orientar os programas de compliance das firmas associadas, com diretrizes anuais sobre obrigações regulatórias aplicáveis, tendências emergentes e práticas atuais.

O que mais viram consultorias e escritórios jurídicos

Diferentes análises publicadas sobre o relatório concordaram que o sinal da FINRA é mais rigoroso do que nos anos anteriores. A Financial Commission destacou a necessidade de testes regulares e monitoramento contínuo das ferramentas de GenAI, incluindo a revisão de prompts, outputs e métricas de desempenho, como parte dos programas de compliance e supervisão.

A Compliance Week classificou a seção de GenAI do relatório como um "wake-up call" para profissionais de compliance e afirmou que as firmas já são esperadas a implementar processos formais de revisão e aprovação antes de implantar GenAI. Também ressaltou testes prévios de privacidade, integridade, confiabilidade e exatidão, além de monitoramento contínuo após a implantação.

A DLA Piper observou que a FINRA espera ao menos certo nível de supervisão humana e controles de qualidade ajustados para demonstrar que os Written Supervisory Procedures, ou WSPs, de uma firma estão razoavelmente desenhados quando se usa GenAI. A análise insistiu que os testes robustos devem abranger privacidade, integridade, confiabilidade e exatidão.

A Troutman Pepper resumiu que a mensagem central da FINRA continua sendo a neutralidade tecnológica de suas regras, mas com maior exigência de supervisão de GenAI em nível corporativo. Entre os pontos destacados estão a revisão de novos casos de uso, a gestão de risco de modelos adaptada à GenAI, testes de exatidão, confiabilidade, privacidade e vieses, registro de prompts e outputs e revisão humana no fluxo.

A Sidley acrescentou que a FINRA espera que as firmas avaliem suas obrigações regulatórias antes de implantar GenAI e estabeleçam marcos de governança para supervisionar seu uso. A análise também incluiu alucinações, vieses, riscos de cibersegurança e uso de IA por atores maliciosos, além da possibilidade de agentes autônomos exigirem esquemas novos de supervisão.

A McGuireWoods afirmou que o relatório recomenda identificar e mitigar riscos como alucinações e vieses, e que a FINRA sugere controles e programas de supervisão especificamente adaptados ao uso de GenAI. Isso inclui testes robustos para agentes de IA, monitoramento contínuo por meio de logs de saída e acompanhamento de modelos, além de garantias de que a governança cubra casos de uso, riscos de modelo, comunicações com clientes, due diligence de fornecedores, captura de comunicações habilitadas por IA em livros e registros e gestão de mudanças tecnológicas.

A Sia Partners traduziu essas expectativas em três eixos, supervisão, testes e monitoramento, e governança corporativa das aplicações de IA. Sua leitura enfatiza processos de revisão e aprovação, marcos de risco de modelos, documentação extensa, testes regulares de confiabilidade, exatidão, privacidade e compliance, e monitoramento contínuo das operações.

Como isso se cruza com livros e registros

Um briefing técnico voltado a broker-dealers explicou que, sob a abordagem de neutralidade tecnológica reforçada no relatório de 2026, obrigações concretas de supervisão e registro como as regras 3110 e 4511 da FINRA, além das regras 17a-4 e 204-2 da SEC, se aplicam quando o conteúdo gerado por ferramentas como AI meeting notetakers constitui comunicações de negócio que precisam ser supervisionadas e preservadas.

Outra nota de análise regulatória sobre bancos e broker-dealers ressaltou que não existe um "rulebook" específico de IA em 2026. Segundo essa leitura, o marco de neutralidade tecnológica se apoia em normas já vigentes de supervisão, comunicações e livros e registros, entre elas as regras 3110, 2210 e 4511 da FINRA e as disposições da SEA 17a-3 e 17a-4, além da atenção da SEC a práticas de "AI-washing" e aos marcos de gestão de risco de modelos de agências bancárias.

Marco federal nos Estados Unidos

Em paralelo, o Departamento do Tesouro dos Estados Unidos publicou o Financial Services AI Risk Management Framework, FS AI RMF, e um AI Lexicon compartilhado para o setor financeiro. As duas peças fazem parte do AI Action Plan presidencial e buscam definir padrões claros, com foco em governança baseada em riscos para o uso seguro e responsável de IA em serviços financeiros.

O movimento da FINRA e do Tesouro ocorre em um contexto de maior formalização regulatória sobre tecnologia aplicada às finanças, com foco em supervisão, rastreabilidade de modelos e controle de riscos operacionais e de segurança associados a sistemas de IA generativa.