Singapura fixa diretrizes de risco de IA para o setor financeiro

A Autoridade Monetária de Singapura (MAS) publicou nesta quarta-feira (7) a versão final de suas Diretrizes de Gestão de Risco de Inteligência Artificial, que passam a valer em 7 de outubro de 2027 para todas as instituições financeiras sob sua supervisão. O texto cobre todas as formas de tecnologia de IA, inclusive modelos generativos e agentes, e permite implementação em fases até 7 de outubro de 2028.

As diretrizes encerram um processo aberto em 13 de novembro de 2025, quando a MAS publicou o documento de consulta P017-2025, com prazo para comentários até 31 de janeiro de 2026. A versão final saiu acompanhada da resposta da autoridade às contribuições recebidas. Trata-se de expectativa de supervisão, não de lei: o regulador cobra o cumprimento nas inspeções, mas o texto não cria sanções próprias como as previstas no AI Act europeu.

O que os bancos terão de ter

O primeiro pedido é saber onde a IA está. Segundo a MAS, as instituições precisam de processos para identificar o uso de IA em toda a organização, manter inventários atualizados e avaliar a materialidade de risco de cada uso a partir de três dimensões: impacto, complexidade e grau de dependência. Os controles, diz o regulador, devem ser proporcionais a essa avaliação.

O conselho e a alta administração respondem pela supervisão do risco de IA, o que inclui definir papéis, apetite a risco e políticas. A MAS esclareceu, porém, que ninguém é obrigado a criar um comitê de IA apenas para cumprir as diretrizes: estruturas de governança existentes servem, desde que adequadas. Segundo a MAS, os participantes da consulta pediram esclarecimento justamente sobre isso, além de dúvidas sobre como tratar IA embutida em produtos de terceiros.

Sobre fornecedores, a regra é que a responsabilidade não se terceiriza. A instituição precisa obter garantias adequadas sobre a IA comprada, avaliar se ela serve ao uso pretendido e aplicar controles compensatórios. Se o risco não couber no apetite definido, o texto prevê limitar, suspender ou substituir o serviço. A lista de áreas de controle inclui governança de dados, testes, cibersegurança, supervisão humana, monitoramento e gestão de mudanças.

Agentes ficam para depois

O texto final não traz regras específicas para agentes autônomos. Segundo o site Blockhead, a MAS indicou que orientações dedicadas à IA agêntica devem vir em 2027, e as diretrizes publicadas agora pedem revisões periódicas à medida que esse tipo de sistema se espalha.

A leitura em três praças

Em Singapura, as diretrizes valem para bancos locais como DBS, OCBC e UOB e também para as filiais de grupos globais licenciadas pela MAS, o que coloca operações de HSBC, Citi e JPMorgan na cidade sob o mesmo inventário e a mesma avaliação de materialidade. Para um banco global, isso significa ao menos um mapa de uso de IA que precisa conversar com as exigências de outras jurisdições onde opera.

Na zona do euro, o calendário aperta antes. O Banco Central Europeu enviou em 7 de julho uma carta, assinada por Claudia Buch, presidente do Conselho de Supervisão, pedindo aos 110 bancos que supervisiona diretamente planos de ação contra ameaças cibernéticas potencializadas por IA até 31 de outubro de 2026. No AI Act, as obrigações para sistemas de alto risco, categoria em que entra a análise de crédito, foram adiadas para 2 de dezembro de 2027 pela revisão simplificadora aprovada neste ano, segundo a Comissão Europeia. O resultado é que um banco com operações em Frankfurt e em Singapura terá dois regimes de governança de IA entrando em vigor com dois meses de diferença.

A diferença de desenho importa para quem presta serviço. O modelo europeu classifica o sistema por categoria de uso e impõe obrigações a partir disso. O de Singapura parte da avaliação de materialidade feita pela própria instituição e é, por desenho, menos prescritivo. Uma consultoria que vende frameworks de governança de IA a bancos globais não consegue mais entregar uma matriz única: precisa de um inventário que alimente as duas lógicas.

Onde o texto deixa espaço

O principal ponto aberto é o próprio critério de materialidade. A avaliação de impacto, complexidade e dependência fica com cada instituição, e dois bancos podem classificar o mesmo modelo de crédito de forma diferente. A partir de 7 de outubro de 2027, quando as diretrizes passam a ser cobradas, o inventário de cada banco deixa de ser documento interno e vira a base da conversa com o supervisor sobre onde termina o uso de baixo risco.