Supervisão de mercado de IA pela BaFin desde julho de 2026: análise

O documento de IA mais importante em um banco raramente é o model card. É o arquivo de governança que alguém consegue de fato apresentar quando um supervisor pergunta quem aprovou o sistema, o que ele faz e o que acontece quando ele falha. Desde julho de 2026, essa pergunta na Alemanha passou a ter uma responsável institucional mais clara: a BaFin. Para empresas financeiras, a conformidade em IA saiu da arquitetura abstrata da UE e entrou no trabalho mais monótono e caro de inventários, controles, arquivos de fornecedores e responsabilidade em nível de conselho.

A BaFin agora está na sala

A Banking.Vision informou em 27 de outubro de 2026 que a BaFin é responsável pela supervisão do mercado de IA no setor financeiro desde julho de 2026. Isso importa porque bancos e seguradoras já vivem dentro de regimes de supervisão densos, então a supervisão de IA não chegará como uma novidade separada em uma caixinha própria. Ela será interpretada por meio de gestão de riscos, terceirização, controles e responsabilidade documentada. A tradução prática é simples: se um sistema de IA apoia uma atividade financeira regulada, o arquivo de conformidade precisa parecer algo que a supervisão possa examinar.

O momento faz parte de uma sequência jurídica mais ampla. O site do Regulamento de Inteligência Artificial da UE afirma que o EU AI Act foi publicado no Jornal Oficial da União Europeia em 12 de julho de 2024. Em seguida, o Diário Oficial Federal da Alemanha publicou a lei nacional de implementação do Regulamento (UE) 2024/1689 como “BGBl. 2026 I Nr. 223 vom 28.07.2026,” identificando-a como a lei que implementa o regulamento da UE sobre regras harmonizadas de IA. Essa é a parte que o LinkedIn tende a pular: um regulamento da UE diretamente aplicável ainda precisa de uma estrutura nacional para definir quem supervisiona, para onde vão as reclamações e como a fiscalização é encaminhada.

@title Relógio da supervisão de IA financeira
@source EU AI Act Bundesgesetzblatt
@source Banking Vision BaFin speech

  12 July 2024 ··· EU AI Act published
  July 2026 ······ BaFin AI role
  28 July 2026 ··· German law published
  1 Jan 2027 ····· WpI MaRisk applies

@caption Quatro datas que equipes de IA financeira devem colocar no calendário agora.

O que muda antes da primeira carta de inspeção

O relatório alemão da Banking.Vision coloca o ponto desconfortável de forma direta, dizendo “Viele Pflichten gelten für Banken und Versicherer schon heute.” Em português: não espere uma temporada cerimonial de fiscalização começar para fazer o trabalho básico de conformidade. Para bancos e seguradoras, a pergunta útil não é se um modelo é impressionante. É se a instituição consegue classificar seu uso, documentar os controles, demonstrar supervisão humana quando exigida e explicar dependências de fornecedores terceiros.

Isso significa que os inventários de IA precisam se tornar registros operacionais, não teatro de inovação. Um fluxo de crédito com apoio de IA, uma ferramenta de triagem de sinistros de seguros ou um assistente de atendimento ao cliente que toque processos regulados devem ter um responsável, uma finalidade, documentação de entradas e saídas, critérios de monitoramento e procedimentos de escalonamento. Contratos com fornecedores precisam das cláusulas sem glamour: acesso à documentação, reporte de incidentes e desempenho, notificação de mudanças, visibilidade sobre subcontratados e cooperação em auditorias. Se sua equipe de compras não consegue obter esses termos, o modelo ainda pode ser inteligente, mas a implantação não está pronta para um supervisor.

A gestão de riscos é a ponte

A própria linguagem da BaFin sobre empresas de investimento aponta na mesma direção. Em um discurso de 26 de outubro de 2026, o diretor executivo Thorsten Pötzsch disse que o novo WpI MaRisk para empresas de investimento se aplica a partir de 1º de janeiro de 2027. Ele também disse que o framework reúne governança, direção de riscos, funções de controle e terceirização em um único conjunto de regras. Isso não é uma regra de IA em si, mas mostra aos desenvolvedores onde a BaFin espera que os controles estejam.

Para equipes fintech que vendem para o setor financeiro alemão, este é o mapa. Um comprador pedirá com menos frequência um manifesto sobre IA responsável e, com mais frequência, evidências que se encaixem no processo existente de gestão de riscos. O sistema pode ser monitorado? O banco consegue explicar mudanças no modelo? Uma seguradora consegue rastrear um resultado contestado de volta aos dados, ao processo e à função de controle responsável? Se a resposta for “nossos advogados estão analisando isso”, traduza como ainda não implantável em um fluxo de trabalho regulado.

O arquivo de conformidade a construir agora

O Diário Oficial Federal confirma que a lei de implementação da Alemanha está vinculada ao Regulamento (UE) 2024/1689, enquanto a Banking.Vision identifica o papel da BaFin no setor financeiro desde julho de 2026. Junte esses pontos e a obrigação imediata não é prever todas as multas futuras. É tornar o uso de IA legível para o supervisor que já é responsável pelo setor.

O pacote prático mínimo não tem glamour. Mantenha um registro de uso de IA por processo de negócio, não por equipe experimental. Classifique os sistemas de acordo com as categorias do AI Act e o impacto na regulação financeira, com a justificativa salva. Anexe aprovações de governança, termos de fornecedores, métricas de monitoramento, caminhos de incidentes e critérios de desativação. Separe as alegações de marketing das evidências reais de controle, porque supervisores não dão nota para adjetivos.

O próximo ponto a observar é como a BaFin descreverá suas inspeções e conclusões à medida que a supervisão de IA financeira amadurecer. Até lá, bancos, seguradoras e fornecedores fintech devem tratar o escrutínio atual como um roteiro de implementação. As empresas que fizerem a papelada cedo não farão o risco de IA desaparecer. Mas pelo menos saberão onde ele está, quem é responsável por ele e quais evidências podem entregar quando o e-mail educado da supervisão chegar.