IA em Programas de PLD: O que Muda e o que Permanece

Última atualização: outubro de 2026

A IA nos programas de AML muda a forma como o trabalho dentro do programa é feito: como os alertas são triados, como as evidências são reunidas, como as narrativas são elaboradas, como os resultados de triagem são revisados e como o monitoramento é ajustado. Ela não muda quem responde pelo programa. O oficial do BSA designado, a avaliação de risco da instituição, a decisão de registrar um relatório de atividade suspeita (SAR) e os testes independentes continuam a cargo de pessoas. Os examinadores avaliarão um programa apoiado por IA com base em se a instituição compreende os seus sistemas, se consegue mostrar onde as pessoas decidem e se pode reconstruir cada resultado.

Resumo prático

• A IA muda o trabalho dentro de um programa de AML: triagem de alertas, investigação, elaboração de narrativas de SAR, revisão de triagem, ajuste de monitoramento e controle de qualidade.

• A responsabilidade não muda de lugar. A regulamentação nomeia uma pessoa responsável pela conformidade no dia a dia, não um sistema, e a decisão de registrar o SAR continua sendo da instituição.

• Quando uma pessoa revisa cada entrega da IA, essa revisão funciona como controle de qualidade sobre a IA. A garantia de qualidade de segunda linha e os testes independentes ainda são necessários como uma camada adicional.

• As orientações sobre risco de modelo mudaram em 17 de abril de 2026. As normas SR 26-2, OCC Bulletin 2026-13 e FDIC FIL-15-2026 substituíram a SR 11-7; os modelos de monitoramento de machine learning estão incluídos, e a IA generativa e a de agentes estão explicitamente fora do escopo.

• A FinCEN retirou a sua proposta de programa de AML de 2024 e propôs uma nova regra em abril de 2026. Essa regra não é definitiva até outubro de 2026, pelo que a regra atual de cinco elementos ainda se aplica.

O que a IA muda em um programa de AML?

A IA muda a forma como o trabalho dentro de um programa de AML é feito, enquanto a responsabilidade por esse trabalho continua onde estava. Modelos de machine learning e agentes de IA podem assumir a coleta de evidências, a revisão de primeira linha e a elaboração de rascunhos na triagem de alertas, investigações, narrativas de SAR, revisão de triagem e monitoramento. Cada decisão que envolva responsabilidade regulatória continua sob a responsabilidade de uma pessoa designada na instituição.

Um programa de AML, sob a regra bancária atual (31 CFR 1020.210), tem cinco elementos: um sistema de controles internos, testes independentes, uma ou mais pessoas designadas responsáveis por coordenar e monitorar a conformidade no dia a dia, treinamento para a equipe apropriada e procedimentos baseados em risco para a devida diligência contínua do cliente. O Manual de Exame FFIEC BSA/AML chama o indivíduo designado de oficial de conformidade do BSA. A maior parte do que a IA toca fica dentro dos controles internos. Os outros elementos descrevem quem é responsável e como o programa é verificado.

A segunda coluna é onde a IA muda o trabalho; a terceira é o que o examinador continuará esperando que uma pessoa designada assuma.

Algumas decisões continuam sob a responsabilidade de humanos em quase todos os programas que usam IA hoje: decisões finais de SAR, aprovações de integração de alto risco e confirmações de correspondência real de sanções. A velocidade é apenas parte do argumento a favor da IA. Um chefe de operações de triagem de um grande banco disse que a consistência na execução importa mais, e que essa consistência é o ponto onde o alto volume faz as equipes falharem.

O trabalho que muda: triagem, investigação, narrativas e monitoramento de sanções

A triagem de alertas é onde a IA muda o trabalho primeiro. Um agente de IA pode revisar um alerta, reunir o contexto da conta e da transação e recomendar uma resolução com a devida justificativa, para que o analista então decida. Os compradores costumam definir o limite no mesmo ponto.

Um oficial do BSA em um banco colocou a questão desta forma: "Não acho que chegaríamos ao ponto de a IA fazer o caso e o SAR por completo, pelo menos no futuro próximo. Mas sei que muita gente está avançando para usar IA de agentes para substituir a parte de triagem." Como a triagem muda quando um analista aprova cada recomendação é o assunto do nosso artigo sobre revisão de alertas L1.

Nas investigações, a IA muda a forma como as evidências são organizadas. Reunir transações, alertas anteriores e registros de clientes em uma única pasta de caso é um trabalho que um sistema de IA pode preparar. O que a atividade significa, e se é suspeita, continua sendo uma decisão do investigador.

A elaboração de narrativas de SAR também muda, pois um primeiro rascunho pode ser gerado a partir das evidências do caso. Os papéis em torno da narrativa não mudam. Um oficial do BSA em um banco parceiro descreveu a divisão habitual: analistas investigam, preparam o SAR e escrevem a narrativa, e os gerentes do BSA fazem o controle de qualidade, assinam e enviam à FinCEN. A IA pode assumir parte da redação, enquanto o controle de qualidade, a assinatura e o envio continuam onde estavam.

Os compradores também perguntam se a elaboração automatizada é juridicamente segura, e as equipes de controle de qualidade definem um limite firme. Um líder de garantia de qualidade de AML em uma fintech disse: "a última coisa que quero ver é um monte de SARs gerados por IA sem nenhum retorno ou revisão humana no processo." Nosso artigo sobre narrativas de SAR aborda como a redação e a aprovação humana se encaixam.

A revisão de triagem de sanções muda da mesma forma. Um sistema de IA pode apresentar as evidências a favor e contra uma correspondência em potencial, e o analista confirma ou descarta. Um oficial sênior de conformidade de sanções em um banco apontou que um sistema que prepara a narrativa para a decisão de um analista ainda faz parte do processo de triagem, mesmo que não faça a busca dos nomes diretamente, de modo que ainda está inserido no risco de modelo. Nosso artigo sobre revisão de alertas de triagem cobre esse processo.

Nem todo programa tem problemas com excesso de volume. Um oficial do BSA em um banco comunitário sem acúmulo de alertas, casos ou SARs disse que isso torna o caso de uso da IA mais difícil de justificar. Para um programa assim, o que a IA oferece é consistência e um registro melhor de cada decisão.

Modelos de monitoramento e ajuste: o que muda no controle de alterações

Modelos de monitoramento de machine learning e o ajuste assistido por IA mudam a forma como os limites e cenários são definidos. Eles não eliminam a etapa de aprovação. No BSA, uma mudança de regra passa por revisão antes de entrar em produção: um oficial do BSA de um banco comparou isso com as equipes de prevenção a fraudes, que primeiro alteram as regras e só depois as enviam para revisão de risco de modelo.

O responsável pelo programa ainda precisa explicar cada alteração. Um responsável por programa de BSA em uma cooperativa de crédito descreveu o teste que ocorre uma ou duas vezes por ano: "Vou precisar falar de forma clara para explicar como meu sistema está gerando alertas e, se mudou nesse período, como garanto que essa mudança é consistente." Algumas equipes preferem não ajustar alertas de forma a eliminá-los. O oficial do BSA citado anteriormente sobre triagem questionou se deixar os alertas dispararem e ter um agente para analisá-los funcionaria melhor com os examinadores.

As orientações de risco de modelo mudaram este ano. Em 17 de abril de 2026, o Federal Reserve (SR 26-2), o OCC (Bulletin 2026-13) e o FDIC (FIL-15-2026) publicaram orientações conjuntas revisadas de gestão de risco de modelo. Elas substituem a SR 11-7 e a declaração conjunta de 2021 sobre gestão de risco de modelo para sistemas de BSA/AML. Um modelo de monitoramento ou triagem de transações com machine learning enquadra-se na definição geral de modelo das orientações revisadas.

Já a IA generativa e a de agentes não se enquadram. O boletim do OCC afirma: "Modelos de IA generativa e de IA de agentes são inovadores e evoluem rapidamente. Sendo assim, não estão no escopo destas orientações." Os órgãos reguladores disseram que planejam publicar um pedido de informações sobre gestão de risco de modelo, com atenção especial ao uso de IA pelos bancos, incluindo IA generativa e de agentes. Até outubro de 2026, esse pedido não foi publicado.

Ficar fora da orientação não significa que um agente opere sem regras. O mesmo responsável pelo programa da cooperativa de crédito disse que a validação independente de modelo é uma orientação e não uma lei, mas parece um requisito que os examinadores vão cobrar se estiver faltando. O funcionamento da validação após abril de 2026 é detalhado em nosso artigo sobre validação de modelos de AML, e a escolha entre regras e modelos em nosso artigo sobre regras de monitoramento e machine learning.

Controle de qualidade e garantia de qualidade

Quando uma pessoa revisa cada entrega da IA antes de dar andamento, essa revisão é um controle de qualidade sobre a IA. Não se trata da garantia de qualidade do programa. Um MLRO de uma empresa de pagamentos, pensando em como apresentar a implementação de um agente a um regulador, fez exatamente essa distinção: a revisão humana de cada entrega é um controle de qualidade sobre os agentes, e uma visão de garantia de qualidade de segunda linha ainda é necessária como camada adicional.

A garantia de qualidade sobre o trabalho assistido por IA deve testar em ambas as direções. Um diretor de conformidade de AML em um banco descreveu a garantia de qualidade sobre casos descartados que busca alertas encerrados que deveriam ter sido escalados, e alertas escalados que deveriam ter sido fechados. Ambos os erros importam para um examinador, e a IA pode mudar o equilíbrio entre eles.

Algumas instituições adicionam uma camada de teste entre as operações e a auditoria. Um chefe de tecnologia de BSA/AML e garantia de programa de um banco parceiro descreveu a criação de uma estrutura assim para que, quando os auditores ou reguladores chegarem, a equipe possa demonstrar os testes específicos e temáticos que já realizou. Os problemas que essa camada procura são comuns: o MLRO da empresa de pagamentos disse que os reguladores apontam informações ausentes, números inconsistentes e relatórios que deixam de fora transações presentes no alerta.

A IA exige limites mais rigorosos no controle de qualidade. Um diretor do BSA em um banco parceiro disse: "Mesmo se pudéssemos automatizar todo o processo até o envio do SAR, só porque podemos, não significa que devamos fazer. Do ponto de vista regulatório, eles vão querer ver que temos limites rígidos sobre como fazemos o controle de qualidade disso."

O que a IA não muda

Cinco coisas em um programa de AML continuam onde estão com a chegada da IA: quem é o responsável final, como a instituição avalia o seu risco, quem decide registrar um SAR, quem testa o programa e os encaminhamentos que as pessoas fazem por iniciativa própria.

• A responsabilidade do oficial do BSA. A regulamentação exige a designação de uma ou mais pessoas responsáveis por coordenar e monitorar a conformidade no dia a dia. Ela nomeia uma pessoa, não um sistema, e a IA não altera essa responsabilidade.

• A avaliação de risco. A proposta de abril de 2026 da FinCEN integraria a avaliação de risco às políticas, procedimentos e controles internos do programa. Ela continuará a ser uma decisão da instituição, embasada por dados melhores, mas não terceirizada para uma ferramenta.

• A decisão do SAR. Decidir se uma atividade é suspeita e fazer o registro continua a cargo da instituição. Um diretor de conformidade e BSA em um banco comunitário queria a garantia de que a IA não classificaria uma atividade como suspeita por conta própria, pois, no entendimento desse diretor, essa marcação iniciaria o prazo limite para o registro, e a decisão final cabe à equipe.

• Testes independentes. Os testes continuam independentes das pessoas e ferramentas testadas. Um oficial do BSA em um banco comunitário observou que os reguladores preferem ver um terceiro testando o programa, e que a documentação gerada pelo próprio sistema avaliado não substitui isso.

• Encaminhamentos que as pessoas fazem por iniciativa própria. Os revisores continuam identificando atividades que nunca geraram alertas. O diretor de conformidade de AML mencionado acima queria manter justamente isso: analistas que notam algo errado durante outro trabalho e o encaminham para investigação.

Um regulador solicitará ver onde essas decisões ocorrem. O mesmo MLRO disse que a pergunta para a qual se preparar é como a instituição exerce a supervisão: onde as pessoas de fato tomam as decisões sobre escalonamento e envio de SAR, e como a instituição pode demonstrar esses pontos de decisão. Para ver como esses pontos de revisão são projetados, consulte o que significa a revisão humana no processo de prevenção a fraudes e AML.

Como os examinadores avaliarão um programa de AML apoiado por IA

Os examinadores avaliarão um programa de AML apoiado por IA da mesma forma que avaliam qualquer programa: testando se ele funciona e se a instituição sabe explicá-lo. Com a IA integrada ao processo, três perguntas ganham mais relevância.

A instituição compreende o seu próprio sistema?

O diretor de conformidade e BSA do banco comunitário citado acima disse, em outra conversa, que um sistema que a equipe não consegue entender será muito difícil de defender perante os reguladores, pois estes prezam pelo conhecimento que a instituição tem sobre o funcionamento de suas ferramentas. Esse teste se aplica a cada modelo e agente no programa, incluindo os fornecidos por parceiros externos.

É possível reconstruir cada resultado?

O mesmo diretor foi direto ao ponto sobre a dúvida do examinador: "como o sistema determinou isso? E se eu não tiver isso por escrito, não poderei defender." Os auditores exigem o mesmo do trabalho manual. Um gerente de conformidade de uma instituição financeira de crédito para o consumidor disse que, após uma auditoria de BSA/AML, os auditores olharam para as constatações documentadas e perguntaram onde estava a prova física.

O sistema foi validado e testado?

O oficial sênior de conformidade de sanções citado anteriormente espera que cada sistema, incluindo IA, passe por validação sob a política de risco de modelo da instituição, com testes amplos para demonstrar ao regulador que o banco está seguro com a ferramenta. Muitas equipes rodam a IA em paralelo com o processo existente no início; um líder de gestão de risco em um banco parceiro descreveu o uso em paralelo para dar segurança aos reguladores ao longo do tempo. Um diretor de operações de um banco disse que a equipe prefere agir com cautela até saber onde os examinadores vão definir os limites.

O panorama das regras em outubro de 2026

• Risco de modelo. As normas SR 26-2, OCC Bulletin 2026-13 e FDIC FIL-15-2026 aplicam-se desde 17 de abril de 2026. Modelos de monitoramento de machine learning estão incluídos no escopo, IA generativa e de agentes estão fora, e o pedido de informações planejado sobre IA em risco de modelo ainda não foi publicado.

• A regra do programa de AML. A proposta da FinCEN de 10 de abril de 2026 (91 FR 18704) estabelece que a entidade não concluirá a sua proposta de julho de 2024, a qual é retirada e substituída pela nova proposta. Para os bancos, a nova proposta estabelece quatro componentes: políticas, procedimentos e controles internos baseados em risco (que absorvem a avaliação de risco e a devida diligência contínua do cliente), testes independentes, um indivíduo designado localizado nos EUA responsável pelo programa e treinamento contínuo. O período para comentários encerrou em 9 de junho de 2026, e a regra não é definitiva até outubro de 2026, pelo que o artigo 31 CFR 1020.210 e os seus cinco elementos originais continuam em vigor.

• Inovação. A declaração conjunta de dezembro de 2018 sobre esforços inovadores no combate à lavagem de dinheiro (SR 18-10, OCC Bulletin 2018-44, FIL-79-2018) incentiva os bancos a considerar, avaliar e, quando apropriado, implementar de forma responsável abordagens inovadoras. O preâmbulo da proposta de 2026 da FinCEN incentiva as instituições a avaliar se novas tecnologias poderiam ajudar a combater crimes financeiros de forma mais eficaz, mencionando o machine learning e a IA generativa como exemplos. O preâmbulo de uma proposta não é uma regra oficial, e nenhum dos documentos aprova ferramentas específicas.

Onde os programas apoiados por IA costumam falhar

• Ausência de um registro por escrito do que o sistema de IA analisou e por que recomendou o que fez.

• Alterações de modelos, limites ou cenários que chegam à produção antes de serem aprovadas.

• Tratar a revisão de cada entrega da IA como a garantia de qualidade do programa, deixando de lado os testes de segunda linha.

• Tratar os testes do próprio fornecedor como os testes independentes do programa.

• Permitir que um sistema de IA classifique uma atividade como suspeita por conta própria, o que exige um julgamento que cabe unicamente à instituição.

• Descrever um agente como enquadrado na norma SR 26-2 quando a orientação coloca a IA de agentes fora do seu escopo.

Perguntas frequentes

A IA pode registrar um SAR?

A decisão de registrar um SAR, e o registro em si, continuam sob a responsabilidade da instituição. A IA pode ajudar a reunir as informações do caso e criar o rascunho da narrativa, e as pessoas revisam, assinam e enviam o relatório. Nosso artigo sobre narrativas de SAR explica como a elaboração se alinha à aprovação humana.

O uso de IA altera as responsabilidades do oficial do BSA?

Não. O oficial do BSA continua sendo a pessoa responsável por coordenar e monitorar a conformidade no dia a dia, e isso inclui os sistemas de IA do programa. O que muda é o escopo da supervisão: modelos, agentes e os controles ao redor deles passam a fazer parte do programa pelo qual o oficial responde.

As orientações de gestão de risco de modelo se aplicam à IA em AML?

Aplicam-se aos modelos de machine learning usados em AML, tais como modelos de triagem e monitoramento de transações. As orientações conjuntas revisadas publicadas em 17 de abril de 2026 (SR 26-2, OCC Bulletin 2026-13, FDIC FIL-15-2026) substituíram a SR 11-7 e a declaração de BSA/AML de 2021, colocando a IA generativa e a de agentes fora de seu escopo. As instituições ainda necessitam de validação e controles para esses sistemas, e o pedido de informações planejado pelos órgãos reguladores sobre IA em risco de modelo não foi publicado até outubro de 2026.

A regra do programa de AML da FinCEN está mudando?

Pode mudar. A FinCEN propôs uma regra revisada de programa de AML/CFT em 10 de abril de 2026, substituindo a sua proposta de 2024 que havia sido retirada, o que daria aos bancos quatro componentes de programa em vez dos cinco elementos atuais. O período de comentários encerrou em 9 de junho de 2026 e a regra não é definitiva até outubro de 2026, por isso a regra 31 CFR 1020.210 continua em vigor.

Qual trilha de auditoria um programa de AML apoiado por IA deve manter?

O suficiente para reconstruir cada resultado: quais dados o sistema de IA analisou, o que recomendou e por quê, qual modelo ou versão gerou o resultado, quem revisou e o que essa pessoa decidiu. Mudanças em modelos e limites precisam de seu próprio registro de aprovação. Um examinador que perguntar como o sistema chegou a uma conclusão deve receber uma resposta por escrito.

Onde a Oscilar se encaixa

A Oscilar é construída para que uma pessoa confirme cada recomendação. A plataforma mantém uma trilha de auditoria completa por decisão com justificativas armazenadas e traz a revisão humana integrada por padrão, permitindo que a instituição mostre a um examinador onde as pessoas de fato decidiram. A plataforma foi projetada para se adequar às orientações conjuntas de gestão de risco de modelo. Como essas orientações colocam a IA generativa e a de agentes fora do escopo, qualquer agente de IA no programa é controlado por meio dos próprios pontos de revisão e controles da instituição, e não por meio dessas diretrizes externas.

Para entender o que é e o que não é um agente de IA no trabalho de risco, consulte o que é um agente autônomo de IA no trabalho de risco. Se você estiver avaliando fornecedores, nosso guia para avaliar uma plataforma de AML baseada em IA traz as perguntas que devem ser feitas.

Para uma visão prática de como a IA é implementada nas funções de AML e FRAML hoje, leia nosso guia prático de IA em AML, desenvolvido em parceria com a FS Vector.