Fora do escopo não é fora do risco: a revisão de 2026 do risco de modelo deixou de fora os modelos que os bancos realmente estão implantando

Quinze anos de doutrina de risco de modelo foram reescritos em abril, e o parágrafo mais consequente é o que diz o que a orientação supervisória não cobre. Em 17 de abril de 2026, o Federal Reserve, o OCC e a FDIC emitiram orientação supervisória revisada sobre gestão de risco de modelo, substituindo o arcabouço de 2011 em torno do qual o setor se organizou por uma década e meia. A revisão é criteriosa, baseada em risco e, em larga medida, bem-vinda. Ela também afirma, com todas as letras, que modelos de IA generativa e de IA agentic não estão no seu escopo — com uma consulta pública a seguir. Os bancos estão, portanto, em um intervalo: implantando os modelos que o arcabouço exclui, sob um arcabouço que ainda não foi escrito.

Resumo executivo

O acordo de 2011 foi aposentado. O SR 26-2 e o OCC Bulletin 2026-13, ambos datados de 17 de abril de 2026, substituem a longeva orientação supervisória de 2011 e sua companheira de 2021. A arquitetura de três pilares — desenvolvimento sólido, questionamento efetivo, monitoramento contínuo — segue adiante.

A proporcionalidade agora é explícita. As agências dizem que a orientação supervisória deve ser mais relevante para organizações bancárias com mais de US$ 30 bilhões em ativos totais, mantendo-se relevante para instituições menores com risco de modelo significativo. É uma mudança de ênfase substantiva, não uma dispensa.

A questão da IA foi adiada, não respondida. A IA generativa e a IA agentic estão excluídas desta orientação supervisória, com uma consulta pública a seguir tratando da gestão de risco de modelo em geral e do uso de IA pelos bancos em particular.

Adiamento não é permissão. A leitura correta é que as agências ainda não decidiram como supervisionar esses modelos — o que é materialmente diferente de decidir que eles não precisam de governança.

O que as agências de fato mudaram

Tirado o comentário de lado, a revisão de abril faz três coisas.

Ela aposenta o acordo de 2011. A orientação supervisória revisada substitui a orientação de risco de modelo emitida em 2011 e sua companheira de 2021, encerrando um capítulo de quinze anos durante o qual o SR 11-7 se tornou a referência global de fato para governança de modelos muito além das instituições que vinculava.

Ela torna a proporcionalidade explícita. A orientação supervisória deve ser mais relevante para organizações bancárias com mais de US$ 30 bilhões em ativos totais e permanece relevante para organizações menores com exposição significativa a risco de modelo em razão da prevalência e da complexidade de seus modelos ou de atividades fora do banco comunitário tradicional. A sofisticação deve acompanhar porte, complexidade e perfil de risco.

Ela mantém a arquitetura. Solidez conceitual no desenvolvimento, questionamento efetivo por revisão independente e monitoramento contínuo contra limiares documentados sobrevivem todos. Instituições que construíram bem sob o arcabouço de 2011 não estão recomeçando.

Tabela 1: O que mudou e o que foi mantido

Elemento	Arcabouço de 2011	Orientação revisada de 2026
Status	SR 11-7 e sua companheira de 2021	Substituídos, em 17 de abril de 2026
Arquitetura central	Desenvolvimento, validação, governança	Mantida substancialmente intacta
Proporcionalidade	Implícita, aplicada via supervisão	Explícita: ajustada a porte, complexidade e perfil de risco
Relevância declarada	Ampla	Mais relevante acima de US$ 30 bi em ativos totais; ainda relevante abaixo disso, onde o risco de modelo é significativo
IA generativa e IA agentic	Anterior à questão	Expressamente fora do escopo, com uma consulta pública a seguir

A frase que importa

A maior parte da revisão é evolução. Uma passagem não é:

Modelos de IA generativa e de IA agentic são novos e evoluem rapidamente. Como tal, não estão no escopo desta orientação supervisória.

Lida ao lado do compromisso de emitir uma consulta pública tratando da gestão de risco de modelo em geral e do uso de IA pelos bancos, incluindo IA generativa e agentic em particular, a intenção é clara o suficiente. As agências não estão dizendo que esses sistemas são de baixo risco. Estão dizendo que ainda não definiram como supervisioná-los e preferem consultar a legislar um arcabouço que uma tecnologia veloz ultrapassa dentro de um ciclo.

Isso é ofício regulatório defensável. Também é uma posição desconfortável para um banco que já tem IA generativa em produção.

Porque a pergunta prática que um comitê de risco faz não é "isto está no escopo da orientação de abril?". É "se isto der errado, o que nos será perguntado?". E a resposta à segunda pergunta não mudou.

Fora do escopo não é fora do risco

A leitura equivocada mais cara disponível em 2026 é a de que a exclusão da orientação de risco de modelo significa exclusão da supervisão. Não significa. Um modelo que fica fora deste arcabouço específico continua assentado dentro de vários outros.

Tabela 2: Onde um sistema de GenAI fora do escopo ainda aterrissa

O modelo faz isto	Arcabouço ao qual ainda responde	A pergunta que lhe será feita
Roda sobre um modelo de fundação de fornecedor	Risco de terceiros e de terceirização	Você consegue evidenciar due diligence, saída e análise de concentração sobre o provedor?
Toca uma decisão de crédito ou de precificação	Proteção ao consumidor e concessão equitativa de crédito	Você consegue demonstrar que o resultado não foi discriminatório e reconstruir por que se chegou a ele?
Fica em um processo operacional ou voltado ao cliente	Risco operacional e resiliência	O que acontece quando ele degrada, e quem percebe?
Produz saídas nas quais a equipe confia	Governança e responsabilização da alta administração	Quem é o dono deste sistema, e o que lhe foi dito sobre os limites dele?
Está implantado na UE ou no Reino Unido	EU AI Act; PRA SS1/23	A resposta de escopo aqui é outra — veja abaixo

Nenhuma dessas é obrigação nova. É exatamente esse o ponto: a orientação de abril estreitou o que ela cobre e não retirou nada de nenhum outro lugar.

Há também uma assimetria de expectativas supervisórias que vale nomear com clareza. Quando um arcabouço se cala, os examinadores não se calam. Eles recorrem às expectativas gerais de segurança e solidez, que são mais amplas e menos previsíveis do que um padrão escrito de risco de modelo. Estar fora do escopo de uma regra específica frequentemente significa ser julgado por uma mais vaga.

A divisão transatlântica que um banco de grupo agora precisa operar

Para uma instituição que opera nos dois lados do Atlântico, a decisão de abril cria uma divergência viva.

A declaração supervisória do Reino Unido sobre princípios de gestão de risco de modelo para bancos, a SS1/23, entrou em vigor em 17 de maio de 2024. Ela se apoia em cinco princípios — identificação e inventário de modelos, governança, desenvolvimento e implementação e uso, validação independente e mitigantes para modelos com deficiências — e é deliberadamente neutra quanto à tecnologia. Inteligência artificial e aprendizado de máquina não ficam de fora; são contempladas.

Assim, o mesmo modelo generativo, implantado no mesmo grupo, na mesma linha de negócio, está dentro do perímetro de risco de modelo do Reino Unido e fora do perímetro norte-americano recém-revisado. Some as obrigações do EU AI Act para uma implantação europeia e são três respostas, não duas.

As instituições têm exatamente duas respostas coerentes.

Operar um único arcabouço no padrão mais rigoroso. Governar a IA generativa como se estivesse no escopo em toda parte, porque ela está no escopo em algum lugar e estará no escopo de forma mais ampla assim que a consulta pública se resolver. Custa mais agora e é defensável em qualquer jurisdição.

Operar perímetros genuinamente separados. Juridicamente possível, operacionalmente miserável. Significa dois inventários, dois padrões de validação e dois conjuntos de evidência para um mesmo modelo — e a exposição reputacional de explicar, depois de um incidente, que a versão do controle que o teria capturado era a aplicada na outra jurisdição.

A primeira é a resposta certa para quase toda instituição grande o bastante para que isso seja uma questão. A segunda é o que acontece por padrão quando ninguém decide.

O que fazer com o intervalo

A consulta pública está a caminho. A janela entre agora e um arcabouço definido é a parte que precisa ser gerida deliberadamente, porque é o período em que a implantação continua e a documentação não.

Três compromissos tornam esse intervalo sobrevivível.

Inventarie agora, classifique depois. O artefato mais valioso é um registro completo de onde os sistemas generativos e agentic estão de fato rodando — incluindo os adquiridos como funcionalidades dentro de produtos SaaS, que é onde a maioria se esconde. Se cada um é formalmente um "modelo" sob alguma definição futura é uma pergunta que você pode responder depois de saber que eles existem. Não se classifica o que não se encontrou.

Escreva a abordagem de validação que você defenderia. O backtesting tradicional não se transfere de forma limpa para um sistema não determinístico, e é precisamente por isso que as agências adiaram. Isso não é razão para não ter abordagem alguma. Testes de geração contra casos reservados, rastreamento de overrides humanos, análise paralela de resultados contra o processo vigente e limiares de aceitação documentados estão todos disponíveis hoje e são todos legíveis para um supervisor.

Responda à consulta pública. A instituição que construiu uma abordagem funcional no intervalo tem algo concreto a dizer, e a consulta é onde o padrão futuro é moldado. Firmas que ficam caladas herdam o que as vocais negociam.

O manual de operação

Refaça a linha de base contra a orientação revisada agora. Confirme quais dos seus modelos existentes se deslocam sob a linguagem explícita de proporcionalidade, nas duas direções. Alguns exigirão menos; outros exigirão mais.
Não remova nada do inventário de modelos por causa da exclusão de IA. A remoção é uma decisão que envelhecerá muito mal, e redescobrir custa mais do que reter.
Marque todo sistema generativo e agentic no inventário como pendente de classificação. Torne o intervalo visível no registro em vez de ausente dele.
Mapeie cada um para os arcabouços aos quais ele de fato responde — terceiros, operacional, proteção ao consumidor, concessão equitativa de crédito — e confirme que cada um tem um dono nomeado sob esses arcabouços.
Adote o padrão transatlântico mais rigoroso como política do grupo. Um inventário, uma régua de validação, um pacote de evidências.
Prepare uma resposta à consulta pública. É a influência mais barata disponível sobre o padrão contra o qual você será examinado.

As agências fizeram algo razoável em abril: recusaram-se a escrever uma regra para uma tecnologia que ainda não entendem bem o suficiente para delimitar. O ato razoável correspondente para um banco é recusar-se a tratar isso como permissão.

Perguntas frequentes

A orientação de abril de 2026 significa que a IA generativa não é regulada no setor bancário dos EUA?
Não. Significa que modelos de IA generativa e de IA agentic estão fora do escopo daquela orientação específica. Esses sistemas continuam sujeitos à gestão de risco de terceiros, ao risco operacional, à proteção ao consumidor, à concessão equitativa de crédito e às expectativas gerais de segurança e solidez. As agências também se comprometeram com uma consulta pública tratando do uso de IA pelos bancos, incluindo IA generativa e agentic.

O que exatamente foi substituído?
A orientação revisada, emitida em 17 de abril de 2026 pelo Federal Reserve, pelo OCC e pela FDIC, substitui a orientação de gestão de risco de modelo de 2011 e sua companheira de 2021. A arquitetura central — desenvolvimento sólido, questionamento efetivo, monitoramento contínuo — segue adiante.

O limiar de US$ 30 bilhões significa que bancos menores podem ignorar isso?
Não. A orientação afirma que deve ser mais relevante para organizações acima desse porte e acrescenta que também pode ser relevante para organizações menores com exposição significativa a risco de modelo em razão da prevalência e da complexidade de seus modelos, ou de atividades fora do banco comunitário tradicional. É uma declaração de proporcionalidade, não uma linha de isenção.

Como isso interage com a SS1/23 do Reino Unido?
Diverge dela. A SS1/23, em vigor desde 17 de maio de 2024, é neutra quanto à tecnologia e não exclui IA nem aprendizado de máquina. Um banco de grupo que roda o mesmo modelo nas duas jurisdições enfrenta agora respostas de escopo diferentes, e é por isso que governar pelo padrão mais rigoroso é a rota prática.

Devemos remover as ferramentas de IA generativa do nosso inventário de modelos agora que estão fora do escopo?
Não — e essa é a decisão com maior probabilidade de ser lamentada. A completude do inventário é barata de manter e cara de reconstruir. Marque esses sistemas como pendentes de classificação, para que o registro reflita o que está de fato implantado quando o arcabouço chegar.

Referências

Conselho de Governadores do Sistema da Reserva Federal, 2026. SR 26-2: Revised Guidance on Model Risk Management. Washington, DC: Federal Reserve. Disponível em: Conselho de Governadores do Sistema da Reserva Federal, 2026..
Controladoria da Moeda dos EUA (OCC), 2026. OCC Bulletin 2026-13, Model Risk Management: Revised Guidance. Washington, DC: OCC. Disponível em: Controladoria da Moeda dos EUA (OCC), 2026..
Autoridade de Regulação Prudencial (PRA), 2023. SS1/23, Model risk management principles for banks. Londres: Banco da Inglaterra. Disponível em: Autoridade de Regulação Prudencial (PRA), 2023..
Parlamento Europeu e Conselho da União Europeia, 2024. Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Bruxelas: Jornal Oficial da União Europeia. Disponível em: Parlamento Europeu e Conselho da União Europeia, 2024..

Última revisão 2026-08-08.

Republicar este artigo

Fora do escopo não é fora do risco: a revisão de 2026 e IA generativa — Sebastien Rousseau

A revisão de abril de 2026 do risco de modelo deixou a IA generativa e agentic fora do escopo. Fora do escopo não é fora do risco, e o Reino Unido discorda.

Este artigo está licenciado sob Creative Commons Attribution 4.0 International. A republicação exige atribuição à URL canônica.

Fora do escopo não é fora do risco: a revisão de 2026 e IA generativa — Sebastien Rousseau

A revisão de abril de 2026 do risco de modelo deixou a IA generativa e agentic fora do escopo. Fora do escopo não é fora do risco, e o Reino Unido discorda.

Originally published at https://sebastienrousseau.com/pt-br/2026-07-30-model-risk-management-generative-ai-out-of-scope-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER