As expectativas de supervisão da FINMA

Do Risk Monitor 2023 às Orientações 08/2024

A Autoridade Suíça de Supervisão do Mercado Financeiro (FINMA) não emitiu uma circular sobre inteligência artificial. Optou por formular suas expectativas dentro do quadro existente de governança e gestão de riscos, em consonância com sua abordagem baseada em princípios e tecnologicamente neutra. Em seu Risk Monitor 2023, descreveu quatro áreas de expectativa: governança e responsabilidade, robustez e confiabilidade, transparência e explicabilidade, e igualdade de tratamento. A FINMA explicou que sua preocupação era que os resultados gerados pela IA pudessem não ser compreendidos ou explicados por humanos, que erros ou tratamentos desiguais pudessem infiltrar-se despercebidos e que a responsabilidade por decisões tomadas com base em IA pudesse permanecer indefinida. A partir do quarto trimestre de 2023, a FINMA realizou inspeções in loco e diálogos de supervisão com instituições que utilizavam a IA de forma extensa ou em áreas relevantes para a supervisão.¹

Em 18 de dezembro de 2024, a FINMA publicou as Orientações 08/2024 sobre governança e gestão de riscos no uso de inteligência artificial. As orientações resumem as observações da FINMA em sua atividade de supervisão e afirmam que a maioria das instituições ainda se encontrava em estágio inicial, com as estruturas de governança e de gestão de riscos ainda em construção. Identificam riscos operacionais, em especial riscos de modelo, como a falta de robustez, de correção ou de explicabilidade e os vieses. Enumeram também riscos relacionados aos dados, envolvendo segurança, qualidade e disponibilidade, riscos de TI e cibernéticos, a crescente dependência de terceiros e riscos jurídicos e reputacionais.²

O conteúdo das orientações

As orientações descrevem as medidas que a FINMA considera adequadas e com base nas quais avalia as instituições em sua supervisão. Espera-se que as instituições estabeleçam uma governança clara, com responsabilidades definidas pelo desenvolvimento, implementação, monitoramento e uso da IA. Devem criar um inventário dos sistemas de IA utilizados na organização e classificá-los de acordo com o risco. A qualidade dos dados deve ser assegurada, pois em muitas aplicações a qualidade dos dados importa mais do que a escolha do modelo. Os sistemas devem ser testados antes da implantação e monitorados continuamente, com o apoio de documentação abrangente e de fácil acesso. A explicabilidade deve ser garantida quando as decisões tiverem de ser justificadas a clientes, funcionários ou supervisores, e devem ser realizadas revisões independentes quando apropriado. Por fim, o pessoal deve ser treinado para que a IA seja utilizada de forma adequada e ética. A FINMA enquadra tudo isso de modo proporcional: a intensidade das medidas deve depender da relevância dos sistemas de IA e da probabilidade de que os riscos associados se materializem.³

Duas características das orientações merecem destaque. A primeira é o tratamento dado a terceiros. Quando uma instituição utiliza modelos, hardware ou serviços de nuvem de fornecedores externos, continua responsável pelos riscos, e a FINMA espera uma abordagem integrada que siga a lógica das regras sobre terceirização. A segunda diz respeito à natureza jurídica do documento. As orientações da FINMA não são normas vinculantes, mas descrevem a prática de supervisão que a FINMA aplica ao avaliar se uma instituição cumpre o requisito legal de organização e gestão de riscos adequadas. Uma instituição que se afaste das orientações deve poder explicar por que sua própria abordagem alcança a mesma proteção. Na prática, o inventário, a classificação de riscos e a documentação dos testes são os elementos que os auditores e a FINMA solicitam primeiro.

Prioridades de supervisão após 2024

O Risk Monitor 2025 da FINMA não inclui a inteligência artificial como risco principal autônomo. Ele indica nove riscos principais, dos quais a terceirização, os ataques cibernéticos e a complexidade da tecnologia da informação e comunicação são diretamente relevantes para a IA. A FINMA exigiu controles mais robustos sobre a terceirização de funções críticas e observou que quase metade de todos os incidentes comunicados envolvia terceiros.⁴ A classificação é lógica. Do ponto de vista da supervisão, a maioria dos riscos de IA se materializa como risco operacional, de terceirização ou cibernético, podendo assim ser captada dentro das categorias existentes. Um modelo de IA que falha é um incidente operacional; um que vaza dados levanta uma questão cibernética e de proteção de dados; e a dependência de um único fornecedor norte-americano de modelos de linguagem é um risco de terceirização e de concentração. A abordagem da FINMA insere, portanto, a IA em um quadro que as instituições suíças já conhecem, o que reduz a incerteza, mas significa também que as regras pertinentes estão dispersas por vários instrumentos.

Notas

1. FINMA, “Künstliche Intelligenz: Die FINMA formuliert ihre Erwartungen” (dossiê Fintech), https://www.finma.ch/en/documentation/dossier/dossier-fintech/kuenstliche-intelligenz/ (acesso em setembro de 2026). Segundo o dossiê, o setor acolheu favoravelmente a neutralidade tecnológica e a abordagem baseada em risco da FINMA. ↩
2. FINMA, “FINMA guidance on governance and risk management when using artificial intelligence”, comunicado à imprensa de 18 de dezembro de 2024, https://www.finma.ch/en/news/2024/12/20241218-mm-finma-am-08-24/. ↩
3. Pestalozzi, “FINMA guidance on governance and risk management when using AI”, https://pestalozzilaw.com/en/insights/news/legal-insights/finma-guidance-on-governance-and-risk-management-when-using-ai/ (acesso em setembro de 2026), que resume as Orientações 08/2024 da FINMA. ↩
4. FINMA, “FINMA Risk Monitor 2025: accentuated geopolitical risks – cyber and real estate risks continue to grow”, 17 de novembro de 2025, https://www.finma.ch/en/news/2025/11/20251117-mm-risikomonitor/. ↩

Apenas para fins de informação geral. Este artigo não constitui assessoria jurídica ou tributária, não substitui a análise de um caso concreto e não estabelece relação entre advogado e cliente. Reflete a situação jurídica em outubro de 2026.