ESI
O consultor com copiloto generativo
“A equipe usa um assistente de IA para preparar propostas de investimento. Isso nos poupa horas, mas o que acontece se uma recomendação der errado? Basta dizer que foi a ferramenta que sugeriu?”
IA na consultoria financeira e nos serviços de investimento
O AI Act aplica suas obrigações por fases, e a ESMA já avisou em 2024: a responsabilidade não se delega à máquina. Ajudamos você a inventariar os usos de IA da sua entidade, classificar seu risco e montar os controles que a MiFID II já exige hoje.
Usa IA com clientes ou na sua operação? Diagnóstico gratuito
Conte-nos quais ferramentas de IA sua entidade usa (ou quer usar) e devolvemos a você um mapa de riscos e controles priorizado.
- +50 entidades assessoradas
- Resposta em 24 h
- Sem compromisso
- Regulamento de IA (AI Act)
- Reg. 2024/1689
- Proibições do AI Act
- Fevereiro de 2025
- Obrigações dos modelos GPAI
- Agosto de 2025
- Cláusulas com fornecedores de TIC
- Art. 30 do DORA
Serviços
Compliance de IA em serviços de investimento
Do inventário de usos ao contrato com o fornecedor: os seis serviços com os quais aplicamos o AI Act e a MiFID II à sua operação real.
AI Act
Adequação ao AI Act
Classificamos seus sistemas segundo o Regulamento (UE) 2024/1689 (práticas proibidas, alto risco, GPAI), priorizamos pelo calendário de aplicação e desenhamos um plano de conformidade proporcional ao seu uso real.
Saiba mais →
Regulamento 2024/1689Alto riscoCalendárioGPAI
MiFID II
MiFID II com IA integrada
As normas de serviços de investimento não esperam por 2026: se a IA interfere na adequação, nas recomendações ou na informação ao cliente, a entidade já responde pelo seu controle e explicabilidade. Integramos a IA às suas políticas.
Saiba mais →
ControleExplicabilidadeResponsabilidadeESMA
Automação
Robo-advisors
Se a IA não apenas apoia, mas recomenda ou faz a gestão, revise o enquadramento completo da plataforma e a licença dela.
Saiba mais →
LicençaAlgoritmo
Idoneidade
Teste de adequação
Perfilamento com IA: útil para detectar incoerências, perigoso sem rastreabilidade. O teste continua sendo seu, não do modelo.
Saiba mais →
PerfilamentoRastreabilidade
DORA
Resiliência e fornecedores de TIC
A IA costuma chegar por meio de um fornecedor: registro de informações, cláusulas do art. 30 e gestão de incidentes no âmbito do DORA.
Saiba mais →
Art. 30Fornecedores
Terceiros
Terceirização de funções
Modelos de terceiros em processos críticos: o que a entidade deve reservar para si por contrato e o que deve poder auditar.
Saiba mais →
ContratosAuditoria
Perfis
Como a IA está entrando nas entidades
Quatro conversas reais dos últimos meses. A IA já está dentro; a questão é se ela está sob governança.
Bancos
O scoring que decide créditos
“Nosso modelo pontua a solvência de clientes pessoas físicas. Disseram-nos que isso é alto risco no AI Act e que agosto de 2026 é para valer. Precisamos de um plano com marcos.”
Marketing
O growth que segmenta com IA
“Geramos criativos e públicos com IA para captar investidores. O compliance barrou uma campanha nossa: queria saber quem revisava as mensagens antes de serem publicadas.”
Operações
O COO que automatiza o back office
“Usamos IA para conciliações, alertas e resumos de ligações. Parece de baixo risco, mas queremos critérios claros sobre o que ela pode decidir sozinha e o que não pode.”
Antes de implementar
Os três erros ao levar a IA para uma entidade regulada
Nenhuma dessas falhas é tecnológica. As três são de governança: quem responde, o que se explica e como se classifica.
Delegar a responsabilidade à ferramenta: a ESMA disse isso publicamente em 2024: a entidade responde pelas decisões, ainda que sejam geradas por uma IA. “Foi o modelo que disse” não funciona perante o cliente nem perante o supervisor.
Usar IA na adequação sem conseguir explicá-la: se o perfilamento ou a proposta saem de um modelo que ninguém sabe justificar, seu teste de adequação perde o valor probatório justamente onde você mais precisa dele.
Classificar mal (ou tarde) segundo o AI Act: confundir um uso de alto risco, como o credit scoring de pessoas físicas, com um de risco menor, ou descobrir o calendário escalonado quando ele já está em cima, transforma um projeto ordenado em um incêndio.
| Uso de IA | Nível de risco regulatório | Controle esperado |
|---|---|---|
| Credit scoring de pessoas físicas | Alto risco segundo o AI Act; o grosso das obrigações se aplica a partir de agosto de 2026 | Gestão de riscos do sistema, qualidade dos dados, documentação técnica, supervisão humana e transparência. |
| Perfilamento de adequação e geração de recomendações | Não é alto risco por si só, mas a MiFID II já exige da entidade pleno controle, explicabilidade e responsabilidade | Rastreabilidade do perfilamento, validação do modelo, revisão humana das propostas e enquadramento nas políticas MiFID II. |
| Marketing, comunicação e automação interna | Risco regulatório menor, em geral, sem ficar fora do marco regulatório | Revisão prévia das mensagens publicitárias, critérios de uso interno e supervisão proporcional ao impacto nos clientes. |
Vamos estruturar a governança da IA da sua entidade?
Inventariamos seus usos de IA, classificamos esses usos segundo o AI Act, enquadramos tudo nas suas políticas MiFID II e fechamos contratos e controles com os fornecedores. Compliance proporcional: nem frear a inovação, nem assinar cheques de risco em branco.
Perguntas frequentes
IA e serviços de investimento: dúvidas frequentes
O AI Act proíbe usar IA na consultoria financeira?
Não. O Regulamento (UE) 2024/1689 regula a IA por níveis de risco: proíbe algumas poucas práticas extremas, impõe obrigações reforçadas aos sistemas de alto risco e deixa o restante sujeito a exigências muito mais leves.
A consultoria financeira não figura entre os usos de alto risco por si só. Isso não significa liberdade total: significa que o seu marco exigente não é (ainda) o AI Act, mas a regulação setorial que já se aplica a você: a MiFID II e todo o seu aparato de conduta e controle. Explicamos isso em detalhe no nosso serviço de adequação ao AI Act.
Qual é o calendário de aplicação do AI Act?
É escalonado, e vale a pena memorizar as três datas:
- Fevereiro de 2025: proibições das práticas vedadas.
- Agosto de 2025: obrigações para os modelos de finalidade geral (GPAI).
- Agosto de 2026: o grosso das obrigações para sistemas de alto risco.
A consequência prática: em 2026 já não há margem para inventários pendentes. Se algum sistema da sua entidade puder ser de alto risco, a classificação deveria ter sido feita ontem.
Quais usos financeiros o AI Act considera de alto risco?
O caso paradigmático no setor é a avaliação de solvência ou credit scoring de pessoas físicas, expressamente incluída entre os usos de alto risco. Um sistema assim deve cumprir o pacote completo: gestão de riscos, governança de dados, documentação técnica, supervisão humana e transparência.
A consultoria de investimento, o perfilamento de adequação ou a geração de propostas não estão listados como alto risco por si só, mas a classificação é feita sistema a sistema e uso a uso: a mesma tecnologia pode cair em categorias diferentes conforme a finalidade para a qual você a utiliza.
O que a ESMA disse em 2024 sobre a IA?
Em uma declaração pública de 2024 sobre o uso de IA nos serviços de investimento, a ESMA fixou o critério que orienta todo o resto: as obrigações da MiFID II se aplicam integralmente quando há IA envolvida, e a responsabilidade perante o cliente continua sendo da entidade, não da ferramenta nem do seu fornecedor.
Traduzindo: agir no melhor interesse do cliente, controlar a tecnologia que você usa e poder explicar os resultados não são boas práticas voluntárias, são o padrão exigível hoje. É a lente com que revisamos cada caso em compliance MiFID II.
Posso usar IA generativa no atendimento ao cliente?
Pode, com controles proporcionais ao impacto. Três regras práticas: nada gerado por IA chega ao cliente sem revisão humana definida (quem aprova e com quais critérios); os limites de uso estão por escrito (o que a ferramenta pode fazer e o que é vedado); e tudo fica registrado para poder ser reconstruído.
E uma fronteira que não admite nuances: se a ferramenta acaba formulando recomendações personalizadas sobre instrumentos concretos, você está prestando consultoria de investimento, uma atividade reservada com todo o seu regime. O enquadramento das plataformas está em robo-advisors.
Quem responde se a IA gerar uma recomendação ruim?
A entidade. Perante o cliente e perante o supervisor não há transferência possível: a recomendação é sua, tenha sido redigida por um funcionário, por um algoritmo próprio ou por um modelo contratado de um terceiro.
O contrato com o fornecedor serve para repartir custos internamente (garantias, indenizações, níveis de serviço), mas não move nem um milímetro a responsabilidade regulatória. Por isso, os contratos de IA são negociados com a lógica da terceirização de funções: informação, auditoria e saída ordenada.
Como a IA se encaixa no teste de adequação?
Como apoio, tudo bem; como substituto opaco, não. A IA pode ajudar a detectar incoerências nas respostas, a manter os perfis atualizados ou a preparar propostas para revisão. O que ela não pode é transformar o teste de adequação em uma caixa-preta: o perfil e a recomendação devem poder ser justificados com critérios compreensíveis e reconstituíveis.
Regra de ouro: se amanhã a CNMV pedir que você explique por que aquele cliente recebeu aquela proposta, a resposta tem de existir por escrito, com datas e versões. Se depender de perguntar ao modelo, você não tem evidência: tem um problema.
Qual o papel do DORA e dos fornecedores em tudo isso?
Um papel central, porque a maior parte da IA entra nas entidades por meio de terceiros. O DORA, aplicável desde janeiro de 2025, obriga a manter o registro de informações dos fornecedores de TIC, a incorporar as cláusulas contratuais do art. 30 e a gerir incidentes; e, se o modelo apoia uma função crítica, soma-se o regime de terceirização, com controle efetivo por parte da entidade.
Na prática: antes de conectar um modelo externo a um processo relevante, revise o contrato, as informações disponíveis sobre o sistema e o plano de saída. Ajudamos você por meio dos nossos serviços DORA.
Guia operacional
Governança da IA em três camadas
Você não precisa de um departamento novo: precisa de inventário, classificação e controles com um responsável. Nessa ordem.
Inventário honesto
Liste todos os usos reais de IA, inclusive os não oficiais: o assistente que a equipe comercial usa por conta própria conta tanto quanto o modelo corporativo. O que não está no inventário não pode ser governado.
Classificação com duas lentes
Cada uso é analisado com a lente do AI Act (proibido, alto risco, demais usos?) e com a da MiFID II (afeta o cliente, a adequação, a informação?). Do cruzamento saem a prioridade e o nível de controle exigível.
Controles e evidências
Validação antes de implementar, supervisão humana com autoridade, registro de decisões e revisão periódica. Tudo documentado: no dia em que chega o requerimento do supervisor, não há espaço para improviso.
Checklist de IA responsável em 10 passos
- Inventário de usos: mapeie cada ferramenta de IA da entidade, oficial ou não, com sua finalidade, seus dados e seus usuários.
- Classificação AI Act: identifique práticas proibidas, casos de alto risco (como o credit scoring de pessoas físicas) e os demais usos.
- Calendário aplicável: cruze cada uso com as fases do AI Act: proibições desde fevereiro de 2025, GPAI desde agosto de 2025 e alto risco, no essencial, desde agosto de 2026.
- Lente MiFID II: determine quais usos afetam a adequação, as recomendações ou a informação ao cliente: ali o controle é exigível hoje, sem esperar por nada.
- Explicabilidade: garanta que cada resultado relevante possa ser justificado em termos compreensíveis para o cliente, o auditor e o supervisor.
- Supervisão humana: designe responsáveis com capacidade real de revisar, corrigir e desligar o sistema, e documente suas intervenções.
- Validação e monitoramento: teste os modelos antes de usá-los e acompanhe seu comportamento depois: desvios, erros e reclamações de clientes.
- Fornecedores e contratos: aplique o DORA e o regime de terceirização: informações sobre o modelo, auditoria, incidentes e plano de saída.
- Treinamento da equipe: ensine a quem usa a IA o que pode pedir a ela, o que deve verificar e o que não pode assinar sem revisão.
- Registro e revisão: documente decisões, incidentes e mudanças de modelo, e revise todo o marco com uma periodicidade definida.
Para o detalhe normativo, veja nosso serviço de adequação ao AI Act; para o encaixe na sua operação de investimento, compliance MiFID II.
Glossário prático
Vocabulário da IA regulada
Nove termos que cruzam o AI Act com as normas de serviços de investimento. Você vai vê-los em questionários de supervisores, contratos de fornecedores e comitês internos.
AI ActNorma
Regulamento (UE) 2024/1689
O marco europeu da inteligência artificial: regula por níveis de risco, das práticas proibidas aos usos de risco mínimo, com aplicação escalonada.
Fases-chave: 2025 (proibições, GPAI) e 2026 (alto risco).
Alto riscoCategoria
Os usos sob a lupa
Sistemas listados pelo AI Act com obrigações reforçadas: gestão de riscos, dados de qualidade, documentação e supervisão humana. O credit scoring de pessoas físicas está incluído.
Grosso das obrigações a partir de agosto de 2026.
GPAICategoria
Modelos de finalidade geral
Os grandes modelos que servem para múltiplas tarefas. Suas obrigações específicas se aplicam desde agosto de 2025 e recaem sobretudo sobre os fornecedores.
Se você os usa, exija informações do fornecedor.
Práticas proibidasLimite
O que é vedado desde 2025
Categorias de uso que o AI Act proíbe diretamente desde fevereiro de 2025. Nenhum projeto de uma entidade financeira deveria sequer chegar perto delas.
Primeiro filtro de qualquer inventário.
ExplicabilidadeMiFID II
Poder justificar o resultado
Capacidade de explicar por que o sistema perfilou, recomendou ou descartou algo, em termos que o cliente e o supervisor entendam.
Sem explicação, a recomendação não se sustenta.
Supervisão humanaControle
A pessoa acima da máquina
Responsáveis com autoridade e meios para revisar os resultados da IA, corrigi-los e interromper o sistema se necessário.
Exigência transversal: AI Act e MiFID II.
Declaração da ESMA de 2024Critério
A responsabilidade não se delega
Pronunciamento público da ESMA sobre a IA em serviços de investimento: as obrigações MiFID continuam integralmente aplicáveis e a responsabilidade é da entidade.
Vale para IA própria e de terceiros.
PerfilamentoUso
IA aplicada ao cliente
Uso de modelos para classificar clientes e estimar seu perfil de investidor. Útil como apoio; delicado se substitui o teste sem rastreabilidade.
O teste de adequação continua sendo da entidade.
Fornecedor de TICTerceiros
Por onde a IA entra
A maioria dos modelos chega por meio de terceiros. O DORA exige registro de informações, cláusulas contratuais e gestão de incidentes; a terceirização, controle efetivo.
Art. 30 do DORA para as cláusulas.
Playbook da IA
Usos típicos, risco e controle: a matriz de trabalho
Perfilamento e adequação
Marco MiFID II pleno: o apoio da IA não reduz as exigências do teste nem seu valor probatório.
Rastreabilidade do perfil, validação documentada do modelo e revisão humana dos casos-limite.
Geração de recomendações
Responsabilidade integral da entidade por cada proposta, com explicabilidade e revisão antes de chegar ao cliente.
Fluxo de aprovação humana, registro das propostas geradas e justificativa reproduzível de cada recomendação.
Marketing e comunicação
Mensagens geradas com IA submetidas ao mesmo filtro de qualquer publicidade financeira: clareza, equilíbrio e aprovação prévia.
Procedimento de revisão publicitária, versões aprovadas e registro de campanhas.
Credit scoring de pessoas físicas
Tratamento de alto risco segundo o AI Act, com o grosso das obrigações aplicável a partir de agosto de 2026.
Classificação formal do sistema, plano de adequação com marcos e documentação técnica do modelo.
Automação interna
Uso proporcional: critérios claros sobre o que a máquina decide sozinha e supervisão compatível com o impacto.
Política de uso interno de IA, matriz de decisões automatizáveis e registro de incidentes.
Sinais de que a sua IA está fora de controle
Cinco sintomas que encontramos em quase todos os diagnósticos iniciais. Nenhum se resolve sozinho.
- Não existe um inventário de ferramentas de IA: cada equipe usa a sua e ninguém tem a foto completa.
- As propostas geradas por IA chegam ao cliente sem que ninguém as revise nem fique registro de quem as aprovou.
- Ninguém verificou se algum sistema da casa se enquadra nas categorias de alto risco do AI Act.
- O contrato com o fornecedor do modelo não dá direito a informação, auditoria nem saída ordenada.
- O discurso interno é “a ferramenta errou”: ninguém assume a titularidade das decisões.
Decisões relacionadas
O ecossistema de controle em torno da IA
A IA não é governada no vácuo: ela se apoia na função de controle de riscos, na gestão de fornecedores e no marco de dados pessoais. Estas peças completam seu sistema de governança.
Controle
Controle de riscos em empresas de investimento
A segunda linha também deve vigiar o risco de modelo: como integrar a IA ao mapa de riscos da entidade.
Ver a função →
RiscosESI
Inovação
Sandbox financeiro
Para projetos inovadores com IA, o ambiente controlado de testes da Lei 7/2020 pode ser a porta de entrada.
Ver o sandbox →
Lei 7/2020Testes
Dados
DPO terceirizado
A IA se alimenta de dados pessoais: o encarregado de proteção de dados faz parte do sistema de governança.
Ver o serviço →
RGPDDados
Marco
Compliance financeiro
Integre a IA ao seu programa geral de compliance em vez de tratá-la como um projeto isolado.
Ver a abordagem →
ProgramaIntegração
Comece pelo diagnóstico AI Act e seu encaixe com o compliance MiFID II. Se o seu caso é uma plataforma automatizada completa, veja robo-advisors; se a IA entra por meio de fornecedores, DORA.
Contato
Agendar uma ligação
Conte-nos quais processos a IA apoia na sua entidade (perfilamento, propostas, marketing, back office) e explicamos o que o AI Act exige e o que a MiFID II já exige.
IA na consultoria financeira e nos serviços de investimento: AI Act, MiFID II e o critério da ESMA
A inteligência artificial já trabalha dentro das entidades de investimento espanholas: perfila clientes, prepara propostas, gera campanhas e automatiza o back office. O Regulamento (UE) 2024/1689 (AI Act) dá a ela um marco com aplicação escalonada, mas o erro mais caro é acreditar que existe um vazio até esse calendário se completar: uma entidade supervisionada nunca parte do zero, porque a MiFID II já exige controle, explicabilidade e responsabilidade plena sobre qualquer tecnologia que afete o cliente. Esta página organiza os dois planos e os transforma em um mapa de trabalho.
O calendário escalonado do AI Act
O AI Act se aplica por fases: as proibições de práticas vedadas vigoram desde fevereiro de 2025; as obrigações dos modelos de finalidade geral (GPAI), desde agosto de 2025; e o grosso das obrigações para sistemas de alto risco, desde agosto de 2026. No setor financeiro, o caso de alto risco por excelência é a avaliação de solvência ou credit scoring de pessoas físicas, que traz consigo gestão de riscos, governança de dados, documentação técnica, supervisão humana e transparência. A classificação é feita sistema a sistema: a mesma tecnologia pode ser de alto risco em um uso e não ser em outro.
A consultoria não é alto risco por si só... mas a MiFID II já está aqui
A consultoria financeira não figura entre os usos de alto risco do AI Act. Seria um erro ver nisso uma zona franca: a ESMA publicou em 2024 uma declaração sobre o uso de IA nos serviços de investimento com uma mensagem inequívoca: as obrigações da MiFID II se aplicam integralmente e a responsabilidade não se delega à IA nem ao seu fornecedor. Se um modelo participa do teste de adequação, da geração de recomendações ou da informação ao cliente, a entidade deve controlá-lo, poder explicar seus resultados e responder por eles como se tivessem sido produzidos por um funcionário. É o padrão que aplicamos em compliance MiFID II.
Mapa de usos: do perfilamento ao back office
Na prática, organizamos os usos em quatro famílias com exigências decrescentes. O perfilamento e a adequação: cuidado máximo, porque afetam o núcleo probatório da consultoria. A geração de recomendações: revisão humana prévia e justificativa reproduzível; se o sistema recomenda de forma autônoma, você está em território de robo-advisor e a análise inclui a licença. O marketing: as mensagens geradas com IA passam pelo mesmo filtro de qualquer publicidade financeira. E a automação interna: risco menor, mas com critérios escritos sobre o que pode ser decidido sem intervenção humana e registro de incidentes.
Governança: fornecedores, DORA e evidências
Quase toda a IA entra por meio de terceiros, então a governança se decide nos contratos. O DORA, aplicável desde janeiro de 2025, exige manter o registro de informações dos fornecedores de TIC, incorporar as cláusulas do art. 30 e gerir incidentes; quando o modelo apoia uma função relevante, soma-se o regime de terceirização, com direitos de informação, auditoria e saída. O fechamento do sistema são as evidências: inventário vivo, classificações documentadas, validações, intervenções humanas registradas e revisão periódica. Quando o supervisor perguntar (e vai perguntar), a resposta deve estar escrita de antemão.
IA e tecnologia regulada
Compliance MiFID II
Fontes oficiais
Normas de referência, com link para o texto oficial:
- Regulamento (UE) 2024/1689, de 13 de junho de 2024, que cria regras harmonizadas em matéria de inteligência artificialEUR-Lex · Jornal Oficial da UE
- Lei 7/2020, de 13 de novembro, para a transformação digital do sistema financeiroBOE · texto consolidado
Normas e links revisados em .