Singapura estabelece regras de risco de IA para instituições financeiras, com prazos em 2027 e 2028

Dois prazos colocam a supervisão de IA na agenda do setor financeiro

As instituições financeiras de Singapura têm até 7 de outubro de 2027 para atender às principais expectativas de supervisão da inteligência artificial, seguidas por um segundo prazo, em 7 de outubro de 2028, para controles, capacidades e infraestrutura mais abrangentes. A Autoridade Monetária de Singapura (MAS) publicou suas Diretrizes sobre Gestão de Riscos de Inteligência Artificial em 7 de outubro de 2026, aplicáveis a todas as instituições financeiras e a todas as formas de tecnologia de IA.

O marco vai além de chatbots e softwares que ajudam funcionários a redigir documentos. Ele abrange o aprendizado de máquina tradicional, a IA generativa que produz conteúdo e agentes de IA capazes de tomar decisões ou executar ações por meio de ferramentas conectadas. A MAS alerta que agentes com acesso a ferramentas podem executar autonomamente ações errôneas ou não autorizadas, o que torna a autoridade para agir tão importante quanto a precisão de uma resposta.

As diretrizes de risco de IA do órgão regulador estabelecem expectativas de supervisão, e não uma lei à parte que prescreva requisitos técnicos idênticos para todas as empresas. Seu princípio central é a proporcionalidade: as instituições devem identificar como usam a IA, avaliar a importância e os riscos de cada aplicação e implementar controles compatíveis com essa exposição.

Isso cria um amplo limite regulatório sem tratar todas as aplicações da mesma forma. Um sistema que influencia recomendações de investimento ou avaliações de risco de clientes exige um nível de escrutínio diferente do de uma ferramenta usada para revisar um e-mail interno. A distinção depende das possíveis consequências, incluindo danos a clientes e outras instituições, e não apenas de o produto ser identificado como IA.

Quem está abrangido pelo marco?

O escopo inclui bancos, gestores de fundos, consultores financeiros, seguradoras, instituições de pagamento, bolsas, câmaras de compensação, custodiante, agências de classificação de crédito e empresas que negociam produtos do mercado de capitais. Corretoras isentas de futuros e derivativos de balcão também estão explicitamente incluídas.

A cobertura se estende a todas as tecnologias de IA. Portanto, o marco não é apenas um conjunto de regras para IA generativa nem uma medida voltada somente aos maiores bancos. A MAS permite que as instituições adaptem a implementação a seus perfis de risco, considerando a escala e a natureza do uso de IA.

As diretrizes também complementam requisitos e princípios já existentes da MAS, incluindo Justiça, Ética, Responsabilização e Transparência, conhecidos como FEAT. Elas acrescentam um marco de gestão de riscos de IA, sem substituir as obrigações mais amplas que já regem os serviços financeiros.

Para as instituições que avaliam o volume de trabalho necessário, a principal distinção está entre a abrangência da cobertura e a intensidade dos controles. Estar abrangida não significa que toda empresa precise criar a mesma estrutura de governança. Significa que cada instituição precisa ter uma compreensão justificável de onde usa IA e do que pode acontecer se esses sistemas tiverem desempenho ruim ou ficarem indisponíveis.

O que muda até outubro de 2028?

A publicação sucede uma consulta lançada em novembro de 2025. Em resposta parlamentar de agosto de 2026, a MAS afirmou que as diretrizes propostas seriam finalizadas em breve e confirmou que abrangiam a IA agêntica. O anúncio de outubro estabeleceu então duas etapas de implementação.

• Novembro de 2025: A MAS lançou consulta pública sobre as diretrizes propostas de gestão de riscos de IA.
• 5 de agosto de 2026: Uma resposta parlamentar confirmou que as propostas abrangiam todos os casos de uso de IA por instituições financeiras, incluindo a IA agêntica.
• 7 de outubro de 2026: A MAS publicou as diretrizes finais.
• 7 de outubro de 2027: As diretrizes entram em vigor, e as expectativas das Seções 3 e 4 passam a valer nessa data.
• 7 de outubro de 2028: As instituições devem atender às expectativas das Seções 5 e 6.

O cronograma dá às empresas um ano a partir da publicação para estabelecer a supervisão básica e o marco de gestão de riscos e políticas, seguido de mais um ano para implementar as medidas operacionais mais abrangentes. O prazo posterior não adia todo o marco para 2028.

Um breve relatório informa a data de entrada em vigor como 7 de outubro, sem especificar o ano. A publicação e o anúncio da MAS são explícitos: a data de entrada em vigor é 7 de outubro de 2027, com a implementação em etapas prosseguindo até 2028.

Conselhos mantêm a responsabilidade sem precisar criar um novo comitê

A MAS espera que conselhos de administração e a alta administração supervisionem efetivamente os riscos de IA. Isso inclui definir responsabilidades, estabelecer o apetite a risco e criar marcos, políticas e procedimentos de gestão de riscos. Apetite a risco é o nível e os tipos de risco que uma instituição está disposta a aceitar.

O anúncio da publicação do órgão regulador aborda uma preocupação prática levantada durante a consulta: as empresas podem usar estruturas de governança existentes, desde que elas proporcionem supervisão e coordenação adequadas entre as áreas relevantes. Não é necessário criar um comitê de IA dedicado apenas para atender a essa expectativa.

Essa distinção é importante para a implementação. A exigência é de responsabilização efetiva, não de um nome específico para o comitê ou de um organograma determinado. As estruturas existentes podem atender à expectativa, mas somente se forem capazes de supervisionar os riscos de IA e coordenar as pessoas responsáveis por eles.

As instituições devem gerir esses riscos em dois níveis: em toda a organização e em cada aplicação. Uma aplicação pode parecer administrável isoladamente, enquanto a expansão do uso de IA pela empresa exige maior supervisão, capacitação ou infraestrutura. Por isso, a MAS espera que as instituições desenvolvam suas capacidades à medida que a adoção cresce.

Inventários tornam concreta a avaliação de riscos

As instituições financeiras devem identificar como usam a IA e manter inventários com um nível de detalhamento adequado. O inventário serve de base para avaliar quais aplicações são mais importantes e decidir quais controles elas exigem. Sem esse ponto de partida, a alta administração não consegue determinar com segurança a exposição da instituição.

A MAS também espera uma avaliação da relevância do risco de cada aplicação. Em termos simples, isso significa julgar se falhas, desempenho ruim ou indisponibilidade podem ter consequências significativas para a instituição, seus clientes ou outras partes interessadas, incluindo outras instituições financeiras.

O marco identifica riscos financeiros, operacionais, de conduta, de crimes financeiros e de reputação. A IA generativa também apresenta riscos de segurança, privacidade e riscos associados a provedores externos. Essas categorias tornam a avaliação mais ampla do que uma verificação para saber se um modelo costuma produzir respostas precisas.

A MAS permite políticas e procedimentos básicos quando o desempenho ruim ou a indisponibilidade de serviços de IA provavelmente não tiverem impacto significativo. Controles mais sofisticados devem acompanhar uma exposição maior. O critério prático é o efeito potencial de uma falha, e não o caráter inovador da tecnologia.

Os controles devem continuar após a implementação de um sistema de IA

As diretrizes exigem controles proporcionais ao longo de todo o ciclo de vida da IA, ou seja, desde o desenvolvimento e os testes até a implementação, o uso e as mudanças posteriores. Entre esses controles, a MAS cita governança de dados, testes, supervisão humana, cibersegurança, monitoramento e gestão de mudanças.

A governança de dados diz respeito à maneira como as informações são gerenciadas e usadas. Os testes avaliam se um sistema é adequado à finalidade pretendida. O monitoramento verifica o desempenho durante a operação, enquanto a gestão de mudanças trata de alterações que podem modificar o comportamento ou o risco. São responsabilidades interligadas, não apenas uma etapa de aprovação antes do lançamento.

A supervisão humana também faz parte do marco. No caso de um sistema de IA capaz de influenciar ou executar uma decisão financeira, a questão não é apenas se uma pessoa pode ler o resultado. As instituições devem considerar como a supervisão se ajusta aos riscos da aplicação e às ações que ela pode realizar.

A MAS espera que os controles sejam revisados regularmente à medida que o uso da IA se expande e as tecnologias evoluem. Uma estrutura concebida para uma ferramenta que redige textos pode precisar ser reavaliada se essa ferramenta passar a ter acesso a sistemas que lhe permitam agir. As diretrizes relacionam especificamente as revisões regulares ao uso crescente de agentes autônomos.

Contratar soluções de IA não transfere a responsabilidade

As instituições financeiras continuam responsáveis pela IA usada nos serviços que oferecem, inclusive por sistemas desenvolvidos, operados ou fornecidos por empresas externas. Terceirizar a tecnologia não significa terceirizar a responsabilidade pelos riscos que ela cria.

A MAS espera que as empresas obtenham garantias suficientes dos provedores e avaliem se a IA é adequada ao uso pretendido. Quando houver limitações práticas ou lacunas nas garantias, as instituições devem aplicar controles compensatórios. São medidas destinadas a reduzir os riscos quando a garantia ou o controle preferencial não está disponível.

O órgão regulador também estabelece o que fazer quando essas medidas forem insuficientes. Se não for possível manter os riscos dentro do apetite a risco de uma instituição, ela deve considerar limitar, suspender ou substituir o serviço de IA. Portanto, a continuidade do uso não se justifica apenas porque um provedor é comercialmente atraente ou porque o sistema já está integrado às operações.

Isso aborda outra preocupação levantada durante a consulta: a IA incorporada a produtos e serviços. A questão relevante é como a instituição usa essa funcionalidade e administra suas consequências, e não se ela própria desenvolveu o modelo. A avaliação deve relacionar as garantias do provedor ao uso que a empresa realmente pretende fazer da tecnologia.

IA agêntica já está abrangida, antes de novas diretrizes

A IA agêntica pode fazer mais do que gerar uma resposta. Ela pode usar ferramentas para realizar tarefas e agir com maior autonomia. Nos serviços financeiros, isso torna as permissões, a intervenção e os registros de decisões elementos centrais para gerir o risco de ações errôneas ou não autorizadas.

Na resposta parlamentar de agosto, Gan Kim Yong, vice-primeiro-ministro, ministro do Comércio e da Indústria e presidente da MAS, confirmou que as diretrizes propostas se aplicavam a todos os casos de uso de IA por instituições financeiras, incluindo a IA agêntica. A resposta foi dada a uma pergunta de Mariam Jaafar, deputada pelo distrito eleitoral de Sembawang, sobre agentes autônomos e possíveis exigências de supervisão.

Gan também descreveu recursos práticos desenvolvidos com o setor. No âmbito do Project MindForge, o setor desenvolveu um kit de ferramentas de gestão de riscos de IA para ajudar as instituições a implementar as diretrizes. O framework Safeguards for Agentic Finance at Runtime, conhecido como SAFR, apresenta uma possível abordagem para autorizar as ações dos agentes, acionar a supervisão humana e registrar o que ocorre em cada decisão relevante.

Esses recursos têm finalidade diferente da do marco de supervisão. O kit de ferramentas apoia a implementação, enquanto o SAFR descreve uma possível abordagem operacional. A resposta parlamentar não anunciou que o próprio SAFR se tornaria obrigatório.

A MAS pretende consultar o setor financeiro em 2027 sobre quais orientações adicionais para IA agêntica seriam úteis. Não informou uma data específica para a consulta nem anunciou o conteúdo de eventuais diretrizes resultantes. Os agentes já estão abrangidos pelas diretrizes, portanto a consulta planejada não é motivo para adiar a gestão de seus riscos.

Clareza regulatória, com limites para os riscos aceitáveis

A MAS apresenta o marco como um incentivo à adoção responsável, e não como uma proibição da IA. Os participantes da consulta apoiaram a abordagem baseada em princípios e controles proporcionais, mas pediram esclarecimentos sobre estruturas de governança existentes, IA incorporada e em quais casos políticas básicas seriam suficientes. O marco final mantém as principais expectativas e, ao mesmo tempo, aborda essas preocupações.

Ho Hern Shin, vice-diretora-gerente da MAS, relacionou os possíveis benefícios da IA à necessidade de as instituições compreenderem sistemas cada vez mais capazes. Ela afirmou:

A concretização sustentável desses benefícios exige que as instituições financeiras compreendam e gerenciem os riscos associados a sistemas de IA cada vez mais capazes.

Sua declaração identifica o equilíbrio que está no centro das diretrizes. As instituições podem buscar ganhos de produtividade, uma gestão de riscos mais robusta e novos serviços, mas devem continuar responsáveis pelos sistemas usados para oferecê-los.

Os próximos marcos definidos são os prazos de implementação de outubro de 2027 e outubro de 2028. A consulta adicional sobre IA agêntica está planejada para 2027, e a MAS também afirmou que continuará revisando e atualizando as expectativas de supervisão quando necessário. Não foi anunciado nenhum prazo separado para novas exigências relativas à IA agêntica.

Principais pontos

• A MAS publicou suas diretrizes de gestão de riscos de IA em 7 de outubro de 2026, abrangendo todas as instituições financeiras e tecnologias de IA.
• As principais expectativas das Seções 3 e 4 passam a valer em 7 de outubro de 2027; as Seções 5 e 6 devem ser implementadas até 7 de outubro de 2028.
• Conselhos de administração e a alta administração devem exercer supervisão efetiva, mas não é necessário criar um comitê de IA dedicado.
• As instituições devem inventariar o uso de IA, avaliar a relevância dos riscos e aplicar controles proporcionais aos danos potenciais.
• As empresas continuam responsáveis pela IA fornecida por provedores externos e devem considerar restringir ou substituir serviços cujos riscos sejam inaceitáveis.
• A IA agêntica já está abrangida. A MAS planeja uma nova consulta sobre possíveis orientações adicionais em 2027.