BofA contratou 1.000 terceiros para fechar falhas expostas por IA

Brian Moynihan deu nesta quarta-feira (14) um número que nenhum outro grande banco havia posto na mesa: o Bank of America contratou 1.000 terceirizados no segundo trimestre para corrigir falhas de software expostas por modelos avançados de IA como o Claude Mythos, da Anthropic. "Colocamos 1.000 terceirizados para ajudar no trabalho de correção no segundo trimestre, e essas pessoas continuam aqui, somando-se às 3.000 que temos nessa área", disse o CEO à CNBC, depois da teleconferência de resultados do terceiro trimestre.

O esforço cobre o código desenvolvido pelo próprio banco e o software comprado de fornecedores. Segundo Moynihan, o BofA gastou "algumas centenas de milhões de dólares, ou mais" no trimestre com remediação de software e com adequação às regras de prevenção à lavagem de dinheiro, somadas. O banco não separou as duas linhas, e por isso o número não serve como o custo isolado do Mythos.

A IA que corta e a IA que custa

O mesmo balanço traz a outra face da conta. O quadro de funcionários terminou setembro em 209.911 pessoas, quase 3.500 a menos que um ano antes, segundo o material de resultados, que atribui a queda à automação de processos e à simplificação do trabalho. Moynihan explicou que o banco não precisa mais repor todas as vagas abertas por saídas naturais e que começou 2026 com cerca de 3.000 pessoas a mais do que tem hoje.

Na sessão de perguntas, o CEO disse que os benefícios dos projetos de IA devem passar de cerca de US$ 300 milhões neste ano para algo como US$ 700 milhões em 2027. A comparação com os 1.000 terceirizados deixa claro que a mesma tecnologia que reduz a folha administrativa abre uma despesa nova na segurança, e que as duas aparecem no mesmo trimestre.

Moynihan aposta que a segunda é transitória. "Depois que você corrige, não precisa corrigir tanto. O fluxo vai passando", afirmou. É uma tese razoável para a dívida acumulada de código legado, mas ela pressupõe que os modelos não continuarão encontrando falhas novas no ritmo atual, o que ninguém no setor consegue garantir hoje.

O fornecedor do outro lado da mesa

A frase mais incômoda da entrevista não foi sobre custo. "Temos de estar à frente deles, e temos de lembrar que quem desenvolve o software é quem está tentando nos vender os serviços", disse Moynihan. Para um CIO, a observação desloca o risco: parte relevante das falhas está em pacotes de terceiros, e o banco precisa auditar fornecedores que, ao mesmo tempo, oferecem a solução.

O trimestre veio pesado por outros motivos. Na véspera, o Tesouro americano anunciou penalidade de US$ 1,2 bilhão contra o banco por falhas no combate à lavagem de dinheiro, com o OCC aplicando US$ 750 milhões creditados contra a cobrança da FinCEN. O lucro líquido ficou em US$ 6,9 bilhões, ou US$ 0,91 por ação; sem o encargo regulatório, seriam US$ 1,08, dois centavos abaixo do consenso. As ações chegaram a recuar mais de 7% na quarta-feira.

Onde a conta aterrissa fora dos EUA

No Japão, o efeito já tem endereço. MUFG Bank, Sumitomo Mitsui Banking Corp. e Mizuho Bank negociaram acesso ao Mythos em maio, segundo Bloomberg e Nikkei, depois de uma reunião com o secretário do Tesouro americano, Scott Bessent, e o Ministério das Finanças montou um grupo de trabalho público-privado sobre o risco cibernético desses modelos. Se o padrão do BofA se repetir, os megabancos japoneses terão a mesma fila de correções em sistemas legados, com uma diferença: dependem em grande parte de integradores locais para mexer nesse código.

Na Índia, o canal é a oferta de mão de obra. O comentário de Moynihan sobre fornecedores vale diretamente para as integradoras indianas, que mantêm sistemas bancários americanos e europeus em contratos de longo prazo. A HCLTech anunciou no último dia 12 uma parceria com a Anthropic para levar Claude, Cowork e Claude Code a clientes corporativos, e reportou receita de IA avançada de US$ 219 milhões no trimestre, alta de 78% em moeda constante. Remediação em escala é exatamente o tipo de demanda que esses grupos sabem atender, e é também o código que eles mesmos escreveram.

O risco compartilhado entre os três mercados é contratual antes de ser técnico. Quem paga a correção de uma falha descoberta por IA em software de terceiros: o banco, o fornecedor ou o integrador que mantém o sistema? O BofA, por ora, absorveu a conta e contratou gente. A pergunta que os comitês de risco de outros bancos vão levar às renovações de contrato é se essa despesa deve continuar do lado de quem compra.