SR 26-2: A Lacuna de Governança na IA Aplicada ao KYC

Em 17 de abril de 2026, o Federal Reserve, o Office of the Comptroller of the Currency (OCC) e a FDIC publicaram conjuntamente a SR 26-2 — a primeira revisão abrangente das diretrizes de gestão do risco de modelos para instituições financeiras americanas em quinze anos. A orientação substitui a SR 11-7, um documento redigido antes do aprendizado de máquina ser implantado em sistemas bancários em produção, antes dos modelos de fundação existirem e antes de o termo "IA generativa" aparecer fora de publicações acadêmicas.

O momento é revelador. Em 2026, bancos, cooperativas de crédito e fintechs dependem de IA para subscrição de crédito, detecção de fraudes, conformidade BSA/AML e integração de clientes. Os reguladores levavam quinze anos sem atualizar o quadro. A SR 26-2 é tecnicamente rigorosa — e então, em uma única cláusula explícita, traça uma linha ao redor dos sistemas de IA que estão transformando o setor bancário com mais rapidez.

A IA generativa e a IA agêntica são explicitamente excluídas do escopo.

Essa exclusão é a lacuna de conformidade que toda instituição que utiliza KYC com IA precisa gerir agora.

O que a SR 26-2 realmente cobre

A SR 26-2 preserva e amplia a disciplina introduzida pela SR 11-7. Aplica-se a modelos quantitativos usados em decisões de alto impacto: pontuação de crédito, risco de mercado, capital regulatório, análise de empréstimos justos e monitoramento de transações BSA/AML baseado em regras. Os requisitos são substantivos:

• Validação de modelos por equipes independentes com metodologias documentadas
• Monitoramento contínuo com limiares de desempenho e gatilhos de alerta definidos
• Inventário completo de modelos, incluindo os usados para relatórios regulatórios
• Revisão da solidez conceitual, governança da qualidade de dados e controle de mudanças
• Caminhos de escalada definidos quando o desempenho do modelo se deteriora

Esses são os requisitos corretos para os sistemas que governam. Um modelo de regressão logística que gera pontuações de crédito deve ser validado. Um motor de testes de estresse para capital regulatório deve passar por revisão independente. A SR 26-2 codifica boas práticas e fortalece a governança onde a SR 11-7 era ambígua.

A lacuna está no que ela não aborda.

A exclusão explícita

A SR 26-2 é inequívoca. A orientação estabelece que a IA generativa e agêntica "requer frameworks de governança separados" e as "coloca fora do escopo desta orientação". As instituições são direcionadas a aplicar seus princípios existentes de gestão de risco — ou seja, o raciocínio da era SR 11-7 — a uma tecnologia que não existia quando esse raciocínio foi desenvolvido.

O problema é estrutural. A gestão de risco da era SR 11-7 foi projetada para sistemas que produzem resultados delimitados e enumeráveis a partir de entradas estruturadas. A IA generativa e agêntica opera de forma diferente:

• Gera resultados que não podem ser completamente enumerados de antemão
• Raciocina sobre texto não estruturado, documentos e imagens
• Sistemas agênticos executam sequências de ações autônomas em múltiplas ferramentas conectadas
• Muda de comportamento com base no contexto e no histórico de interações
• Não pode ser completamente validada por meio de backtesting com dados históricos rotulados

Uma pesquisa de junho de 2026 revelou que 72% dos bancos não estão preparados para uma falha de IA. Essa estatística ocorre num ambiente regulatório em que os sistemas de IA mais consequentes — os mais propensos a causar uma falha visível — são precisamente os que não têm nenhum padrão formal de governança.

A pilha de KYC que vive na lacuna

As instituições financeiras avançaram mais rápido em IA generativa e agêntica em KYC do que os reguladores antecipavam. Em 2026, o fluxo de verificação numa instituição tecnologicamente avançada não se parece com o inventário de modelos estatísticos que a SR 26-2 foi projetada para reger:

Função KYC	Tipo de sistema	No escopo da SR 26-2?
Pontuação de crédito no onboarding	Modelo estatístico	Sim
Classificação de documentos e OCR	ML tradicional	Depende
Triagem de mídia adversa	Resumo com LLM	Não
Análise de PEP e sanções	Síntese com IA generativa	Não
Monitoramento de transações (regras)	Modelo estruturado	Sim
Monitoramento contínuo agêntico	Fluxo de trabalho com IA agêntica	Não
Geração de narrativas SAR	IA generativa	Não
Reclassificação de risco do cliente	LLM com recuperação aumentada	Não

As decisões mais expostas a alucinações, inconsistências e escrutínio regulatório — síntese de mídia adversa, análise de PEP, reclassificação agêntica, geração de narrativas SAR — ficam todas fora do escopo da SR 26-2. Não têm nenhum padrão de documentação validado, nenhum limiar de monitoramento obrigatório, nenhum processo de contestação independente exigido.

O que os reguladores esperam apesar da exclusão

A exclusão do escopo da SR 26-2 não significa que os reguladores sejam indiferentes à forma como os bancos governam esses sistemas. A própria linguagem da orientação sinaliza o que os examinadores avaliarão: "os princípios existentes de gestão de riscos — materialidade, monitoramento contínuo, contestação efetiva — devem guiar a governança de qualquer ferramenta ou sistema fora do escopo deste documento."

Essa frase tem peso nos contextos de exame. Os examinadores bancários não estão limitados pelo escopo formal da SR 26-2 quando observam que o sistema KYC agêntico de uma instituição gera narrativas SAR sem critérios de revisão documentados, ou que uma ferramenta de mídia adversa baseada em LLM produz avaliações de risco inconsistentes sem monitoramento.

Há também a dimensão europeia. Sob a Lei de IA da UE — cujas disposições sobre IA de alto risco se aplicam à identificação biométrica, pontuação de crédito e detecção de fraudes independentemente das mudanças de prazos introduzidas pelo Omnibus Digital da UE — instituições que operam na Europa enfrentam requisitos legalmente vinculantes de documentação técnica, supervisão humana e monitoramento pós-mercado. Uma instituição que reivindica maturidade de governança perante os reguladores europeus enquanto opera IA agêntica sem governança em sua operação nos EUA enfrenta um problema de credibilidade que atravessa fronteiras jurisdicionais.

O problema do inventário do OCC

A exposição regulatória não é apenas prospectiva. Os resultados de inspeção do OCC do início de 2026 revelaram que a maioria dos bancos americanos tem cobertura apenas parcial do inventário de IA, com modelos de autoaprendizagem e camadas de orquestração de agentes frequentemente ausentes dos inventários apresentados aos examinadores.

Isso cria exposição composta. Sob a SR 26-2, um inventário completo para os sistemas no escopo é obrigatório. Mas como os sistemas generativos e agênticos estão fora do escopo, as instituições não tiveram nenhuma obrigação formal de inventariá-los. O resultado prático: muitas não conseguem responder à pergunta de governança mais básica — quais sistemas de IA estão tomando decisões KYC consequentes?

A abordagem de monitoramento contínuo que a AMLA e os reguladores europeus cada vez mais esperam não é alcançável se as instituições não conseguem enumerar os sistemas de IA que realizam esse monitoramento.

Como é um framework de governança paralelo

A disciplina que a SR 26-2 traz aos modelos quantitativos — validação, documentação, monitoramento, contestação independente — representa um modelo sólido que as instituições devem estender voluntariamente à sua IA generativa e agêntica, antes que uma orientação formal o exija. Uma governança mínima viável para IA generativa e agêntica em KYC deve incluir:

Inventário de IA e classificação de risco. Todo sistema de IA que contribui para uma decisão de KYC ou AML deve ser enumerado e classificado por nível de risco. Sistemas agênticos que orquestram outras ferramentas requerem tratamento separado.

Documentação comportamental. A IA generativa não pode ser documentada com tabelas de coeficientes. A documentação deve capturar os casos de uso pretendidos, os modos de falha conhecidos, as classes de resultado proibidas e as condições que exigem revisão humana.

Auditoria de resultados. Todo resultado consequente — avaliação de mídia adversa, pontuação de risco, narrativa SAR — deve ser registrado com contexto suficiente para reconstruir o raciocínio do sistema. Isso não é opcional para sistemas que contribuem para relatórios regulatórios.

Limiares de revisão humana. Definir as condições sob as quais as decisões agênticas exigem revisão humana antes da execução. Os fluxos de trabalho de KYC agêntico construídos com protocolos de escalada explícitos abordam esse requisito diretamente.

Monitoramento de desempenho adaptado a resultados generativos. Coeficientes Gini e estatísticas KS não se aplicam a resultados de IA generativa. Os frameworks de monitoramento devem avaliar consistência, precisão factual e variância de resultados em diferentes contextos de entrada.

Governança de IA de terceiros. Instituições que usam LLMs ou sistemas agênticos de fornecedores em sua pilha KYC devem obter documentação equivalente dos fornecedores e avaliá-la com o mesmo rigor aplicado a sistemas internos.

O problema agêntico é mais difícil que o problema generativo

A IA generativa introduz imprevisibilidade na camada de resultados. A IA agêntica — sistemas autônomos que executam sequências de ações em múltiplas ferramentas conectadas — introduz imprevisibilidade na camada de ações.

Um sistema KYC agêntico poderia recuperar o histórico de transações, consultar um banco de dados de mídia adversa, avaliar uma correspondência de sanção, atualizar uma pontuação de risco e acionar um alerta — tudo sem intervenção humana. Cada etapa cria questões de governança que nenhum framework existente resolve completamente.

O framework Know Your Agent (KYA) captura uma dimensão disso — validar que o agente operando em um contexto financeiro está autorizado e é rastreável. Mas o KYA aborda a identidade, não a governança. A lacuna que a SR 26-2 deixa em aberto é a governança do que o agente faz, não apenas quem é o agente.

A abordagem da Joinble para agentes KYC autônomos incorpora trilhas de auditoria, lógica de escalada e pontos de controle de supervisão humana na própria arquitetura agêntica — em vez de tratar a governança como uma camada aplicada após a implantação.

A responsabilidade não se moveu com a exclusão

A exclusão da IA generativa e agêntica do escopo da SR 26-2 não transfere responsabilidade para os reguladores nem estabelece um porto seguro. Os bancos continuam responsáveis pelos resultados de cada decisão orientada por IA em seus fluxos de trabalho de KYC e AML, independentemente de esses sistemas aparecerem no inventário formal de modelos.

Se um sistema KYC agêntico gerar um falso negativo em uma correspondência de sanção, a ação de cumprimento não fará referência à SR 26-2. Fará referência às obrigações BSA, aos requisitos da OFAC e ao fracasso da instituição em manter controles adequados.

A exclusão cria uma lacuna de documentação, não uma lacuna de responsabilidade.

---

Perguntas frequentes

O que é a SR 26-2 e quando entrou em vigor?

A SR 26-2 é uma orientação conjunta de gestão do risco de modelos emitida pelo Federal Reserve, OCC e FDIC em 17 de abril de 2026. Ela substitui a SR 11-7 — a orientação anterior, emitida em 2011 — e é a primeira atualização abrangente dos requisitos de governança de modelos para instituições financeiras americanas em quinze anos.

Por que a IA generativa e agêntica está excluída da SR 26-2?

A orientação afirma que esses sistemas requerem frameworks de governança separados e os coloca fora de seu escopo. Os reguladores reconheceram que as metodologias de validação desenvolvidas para modelos estatísticos quantitativos não são diretamente aplicáveis a sistemas cujos resultados não podem ser completamente enumerados. Nenhuma orientação específica para esses sistemas foi publicada ainda.

A exclusão da SR 26-2 significa que a IA generativa no KYC não é regulamentada?

Não. As instituições continuam sujeitas às obrigações BSA/AML, aos requisitos de sanções da OFAC, às leis de empréstimos justos e às expectativas de supervisão, independentemente do escopo da SR 26-2. Os examinadores bancários avaliam a governança de IA sob a autoridade de supervisão existente. A exclusão cria uma lacuna de documentação, não uma lacuna de responsabilidade.

O que os bancos devem fazer agora sobre a governança de IA generativa no KYC?

O caminho mais defensável é construir um framework de governança no estilo SR 26-2 para IA generativa e agêntica — inventário, documentação comportamental, auditoria de resultados e contestação independente — antes que uma orientação formal o exija. Isso posiciona as instituições como pioneiras quando requisitos específicos chegarem e lhes dá uma resposta crível às perguntas dos examinadores enquanto isso.

Como a SR 26-2 interage com os requisitos da Lei de IA da UE?

Os requisitos da Lei de IA da UE para sistemas de IA de alto risco — abrangendo identificação biométrica, pontuação de crédito e detecção de fraudes — aplicam-se às instituições que operam na Europa independentemente do escopo da SR 26-2. O Omnibus Digital da UE estendeu alguns prazos para dezembro de 2027, mas as obrigações de transparência do Artigo 50 já são aplicáveis. Instituições que atendem tanto mercados americanos quanto europeus precisam de um framework que satisfaça ambos os conjuntos de expectativas simultaneamente.

Qual é o primeiro passo prático para uma instituição com IA sem governança em sua pilha de KYC?

Construir o inventário. Enumerar todos os sistemas de IA — incluindo sistemas generativos e agênticos — que contribuem para qualquer decisão de KYC ou AML. Classificar cada um por nível de risco e atribuir um responsável. Essa etapa revela a exposição real de governança e torna cada esforço de remediação subsequente gerenciável.