O setor de serviços financeiros está rapidamente se consolidando como um dos líderes na adoção de IA para personalizar serviços, automatizar decisões e otimizar operações. Essas inovações trazem novos riscos, especialmente à medida que a IA interage com dados confidenciais de contas e transações em ambientes híbridos complexos. Devido à rápida evolução da IA, o desafio não é apenas identificar os riscos, mas também mitigá-los com agilidade.
Os ambientes de serviços financeiros são moldados por políticas específicas e estruturadas em várias camadas, que regem o acesso a dados, a privacidade, os resultados permitidos e as restrições regionais ou baseadas em funções. Essas políticas são orientadas por regulamentações, estruturas internas de gestão de riscos e pelo contexto de negócios, e muitas vezes variam conforme o caso de uso, mesmo quando envolvem o mesmo modelo ou aplicativo de IA. Quando a IA opera de forma dinâmica, respondendo a prompts e entradas à medida que surgem, essas políticas precisam ser aplicadas de acordo com o contexto, em vez de serem presumidas antecipadamente.
"Para as organizações de serviços financeiros, a governança de IA deve ser uma preocupação operacional que acompanhe a expansão do uso da IA."
Por que controles personalizados são importantes para a governança de IA
Ao contrário das aplicações empresariais tradicionais, a IA é inerentemente não determinística, o que significa que o mesmo prompt ou dado de entrada pode gerar resultados diferentes. Portanto, quando a IA é usada em produção, o risco é determinado por quem interage com o sistema, quais dados estão envolvidos e como os resultados são utilizados ou orientam ações. No setor de serviços financeiros, o mesmo recurso de IA pode atender a cenários muito distintos, cada um com suas próprias expectativas de governança e tolerância a riscos. Em um setor altamente regulamentado, isso cria novos níveis de complexidade.
Essa complexidade é agravada pelo ritmo de adoção da IA agêntica. De acordo com uma pesquisa de 2026 da NVIDIA, 42% das organizações de serviços financeiros estão atualmente usando ou avaliando agentes.
É por isso que controles personalizáveis para sistemas de IA — frequentemente chamados de mecanismos de proteção — tornam-se importantes. Em vez de aplicar um conjunto único e uniforme de restrições, as organizações precisam ter a capacidade de adaptar a forma como as políticas são aplicadas durante interações com a IA em tempo real. A personalização permite que os controles reflitam fatores contextuais, como função, jurisdição, sensibilidade dos dados ou finalidade de uso, ajudando a garantir que a governança permaneça alinhada às políticas institucionais sem considerar que todas as interações com a IA apresentam o mesmo nível de risco.
Essa abordagem também ajuda a evitar concessões comuns. Guardrails rígidos demais podem limitar a utilidade da IA, enquanto aqueles excessivamente permissivos aumentam a probabilidade de violações de políticas ou de exposição não intencional. A personalização oferece uma maneira mais equilibrada de lidar com essa tensão.
Um exemplo da prática no setor de serviços financeiros
Considere o exemplo de uma grande organização de serviços financeiros que está avaliando como ampliar o uso da IA em toda a empresa. Os projetos-piloto iniciais demonstraram valor, mas a liderança identificou uma preocupação central: os mesmos sistemas de IA estavam sendo acessados por usuários com funções, permissões e obrigações regulatórias muito diferentes.
Em vez de tratar a IA como uma capacidade única e uniforme, a organização se concentrou em aplicar políticas no ponto de interação. Guardrails foram adaptadas para refletir as regras de governança interna, garantindo que o acesso a dados confidenciais e as respostas permitidas variassem adequadamente de acordo com a função e a jurisdição. Essa abordagem permitiu ampliar o uso da IA sem enfraquecer os modelos de acesso existentes nem criar novos pontos cegos de conformidade.
A organização também analisou como essas proteções se comportavam em condições reais. Ao submeter seus sistemas de IA a testes de red team, foi possível identificar casos extremos em que os prompts poderiam levar à divulgação não intencional de informações ou ao desalinhamento com as políticas, especialmente em interações com várias etapas. Essas descobertas orientaram melhorias na aplicação das proteções, reforçando a supervisão sem comprometer a usabilidade.
Aplicando proteções à medida que o uso da IA evolui
À medida que a adoção da IA se amplia, os padrões de uso raramente permanecem inalterados. Novos fluxos de trabalho surgem, as responsabilidades mudam e os sistemas de IA são introduzidos em áreas com diferentes perfis de risco. Controles desenvolvidos com base em premissas iniciais podem rapidamente deixar de corresponder à forma como a IA está sendo usada na prática.
Mecanismos de proteção personalizáveis permitem ajustes graduais à medida que essas realidades mudam. As políticas podem ser aprimoradas para refletir novos casos de uso, novas áreas de negócios ou interpretações de risco em constante evolução, sem exigir que as organizações reformulem seus sistemas de IA ou interrompam os fluxos de trabalho existentes. Essa adaptabilidade é particularmente importante no setor de serviços financeiros, em que as estruturas de governança são frequentemente reavaliadas à medida que as regulamentações amadurecem e as expectativas de supervisão se tornam mais claras.
Aprendendo com o comportamento no mundo real
Mesmo políticas bem elaboradas podem se comportar de maneira diferente quando expostas ao uso no mundo real. Solicitações ambíguas, casos extremos e interações em várias etapas frequentemente revelam lacunas entre o funcionamento esperado das medidas de proteção e a forma como os sistemas de IA realmente respondem.
A avaliação estruturada e os testes adversariais ajudam a identificar essas lacunas ao analisar o comportamento sob pressão. Com o tempo, os aprendizados obtidos nesse processo orientam o aprimoramento dos controles, permitindo que as organizações ajustem sua aplicação com base no comportamento observado, e não apenas nos riscos presumidos. Em ambientes regulamentados, esse ciclo de feedback contribui para uma abordagem de governança mais defensável, ao demonstrar que os controles são mantidos ativamente e fundamentados em evidências.
Apoio à IA responsável em escala
Para as organizações de serviços financeiros, a governança de IA deve ser uma questão operacional capaz de acompanhar a expansão do uso da IA. Contar com mecanismos de proteção que possam ser personalizados e aprimorados ao longo do tempo ajuda as instituições a manter a supervisão sem limitar a inovação ou a usabilidade.
Ao se concentrarem na aplicação contextual, no aprendizado contínuo com base no comportamento no mundo real e na redução do tempo de resposta a vulnerabilidades, as organizações podem adotar a IA de forma flexível e defensável. Dessa forma, novos casos de uso podem ser viabilizados à medida que surgem, mantendo a confiança, a responsabilização e o controle.
Entre em contato com nossos especialistas em segurança de IA em tempo de execução para entender como as proteções podem ser aplicadas hoje ao seu caso de uso específico.
Sobre o autor
Publicações relacionadas no blog
IA agêntica em cibersegurança: promessas e riscos
Saiba por que o uso de IA agêntica na cibersegurança é essencial para combater ameaças impulsionadas por IA e por que os agentes também criam novos riscos para as empresas.
Como os clientes da F5 no setor financeiro lidam com a soberania digital sem desacelerar a inovação
Como é a soberania digital na prática? Dois projetos recentes da F5 com clientes mostram como diferentes empresas estão enfrentando esses desafios.
Soberania operacional: construindo resiliência em um mundo imprevisível
Para muitas organizações, a questão já não se resume apenas a controlar os dados. Trata-se de manter a capacidade de operar, adaptar-se e se recuperar à medida que as leis e as condições evoluem.
Segurança de IA com evidências: o que levaremos ao Gartner SRM
Antes de sua sessão no Gartner SRM, o vice-presidente sênior de Marketing de Produtos da F5 explica como a F5 ajuda as organizações a proteger a IA em três etapas práticas.
Gestão de riscos de IA: como as proteções podem ajudar a mitigá-los
O risco da IA é impulsionado por comportamentos probabilísticos e pela explicabilidade limitada, não apenas por falhas de segurança. Uma gestão eficaz exige controle operacional contínuo.
Lei de IA do Colorado (SB 205): o que as empresas precisam saber antes de 2026
A SB 205 do Colorado, a lei pioneira do estado sobre inteligência artificial, foi sancionada pelo governador Jared Polis em 17 de maio de 2024. O projeto de lei estabelece requisitos para que as empresas que utilizam IA implementem controles destinados a proteger os cidadãos do Colorado.