Governança de IA no Escritório de Investimentos

Por Equipe AAWZ | Atualizado em setembro de 2026

No mercado de capitais brasileiro, 92% das instituições já usam alguma forma de inteligência artificial e 67% usam IA generativa. Só 12% têm infraestrutura de governança: governança de dados, uso responsável e avaliação de risco de modelos (Finsiders Brasil (citando ANBIMA/Datafolha), 2026). A amostra são 177 associadas e aderentes à ANBIMA, instituições médias e grandes com área de tecnologia; os números vêm de cobertura de imprensa, não do relatório primário, e são autorrelato de "alguma forma de IA", que inclui recursos embutidos em software. Consultorias CVM e escritórios de 2 a 200 pessoas quase não estão lá. O gap, porém, descreve bem a firma menor: a ferramenta chegou antes da regra.

Este artigo não discute se o escritório deve usar IA. A equipe já usa. A decisão real é se isso acontece com ou sem governança. O texto cobre o que os reguladores já disseram e um modelo de política de uso de IA de uma página. Ele complementa o guia de compliance para consultoria de investimentos CVM sobre os controles gerais da Resolução CVM 19.

A IA já entrou no escritório. A governança, não

Entre 71 gestoras pesquisadas pela XP em fevereiro de 2026, cerca de metade da indústria, 97% já usam IA generativa no cotidiano (XP Investimentos — Análise de Fundos, 2026). O número agrega qualquer nível de uso (só 58% relatam uso diário pela maioria da equipe), a amostra pende para casas grandes e parceiras da plataforma, e é autorrelato. Gestora não é consultoria; o que transfere são relatórios (62%), e-mails (49%) e automação interna (46%).

Nas assessorias e consultorias, o padrão tem nome. Reportagem da agência Broadcast, do Estadão, republicada pelo BB Investalk em agosto de 2026, descreve a "shadow AI": profissionais em contas privadas de ChatGPT ou Claude, sem a governança da empresa e sem os dados dos clientes contextualizados (BB Investalk / Broadcast (Estadão), 2026). A fala é do fundador de um fornecedor de plataforma de IA para assessorias, que descreve o problema que o próprio produto resolve, e a matéria não traz pesquisa nem número: é relato qualitativo, não medição de prevalência. A cena: extrato colado num chat pessoal, sem registro do que entrou ou saiu.

O espelho americano: 80% adotaram, 37% validam

Nos Estados Unidos, o gap aparece com número maior. Na pesquisa anual de compliance das investment advisers de 2026, com 411 firmas, 80% já adotaram ferramentas de IA formalmente e 85% apontam IA como o tema de compliance mais quente do ano (Investment Adviser Association / ACA Group / Yuter Compliance Consulting, 2026). Há viés para firmas maiores, "tema mais quente" é percepção e a fonte é press release de consultoria de compliance. Item por item:

Item de governança	Firmas que têm (2026)
Política de uso aceitável de IA	86%
Inventário de ferramentas de IA	86%
Comitê formal de governança de IA	59%
Política de supervisão humana dos outputs	48%
Política de teste e validação dos outputs	37%
Política para IA de terceiros	30%
Plano de resposta a incidentes atualizado para IA	14%

Os percentuais medem existência declarada, não eficácia, e comitê e plano de incidentes são estruturas de firma grande. Em 2025, entre as firmas que tinham adotado IA, 44% não tinham nenhum teste ou validação formal dos outputs (Investment Adviser Association / ACA Group / Yuter Compliance Consulting, 2025); o número é do subconjunto que adotou, não do total.

É espelho, não retrato do Brasil: aqui a pressão virá de auditoria interna, de clientes e da LGPD antes de vir de norma da CVM. Quem escreve a política já com validação e plano de incidente pula dois anos de fila.

O que o regulador diz e o que ainda não disse

Nos Estados Unidos: regras neutras e multa por "AI washing"

A FINRA, autorreguladora dos broker-dealers, lembrou em junho de 2024 que suas regras são tecnologicamente neutras: supervisão e comunicação com o público valem para o que é gerado por humano ou por ferramenta (FINRA, 2024). É lembrete, não regra nova, cobre broker-dealers e não a consultoria independente, e os pilares de governança que cita são recomendação, não exigência. O relatório de supervisão para 2026 descreve as práticas das firmas que fazem certo: aprovação formal, testes e monitoramento de prompts e outputs com logs, versão do modelo e checagem de viés (FINRA, 2025); práticas observadas, não exigidas. Em julho de 2026, a FINRA propôs supervisão baseada em risco no lugar da aprovação prévia de comunicações, por causa do volume de conteúdo gerado por IA (FINRA, 2026); proposta em consulta, não regra.

A SEC olha se a IA declarada é a IA usada. As prioridades de exame do ano fiscal 2026 mantêm a revisão da exatidão do que os registrados dizem sobre IA e das políticas de supervisão do uso (U.S. Securities and Exchange Commission — Division of Examinations, 2025); são intenções de exame, não regras. A sanção já aconteceu: em março de 2024, a Delphia (US$ 225 mil) e a Global Predictions (US$ 175 mil) fecharam acordo por declarações falsas sobre uso de IA (U.S. Securities and Exchange Commission, 2024). Em outubro de 2024, a Rimar Capital e seus dirigentes somaram US$ 310 mil em multas por uma plataforma "AI-driven" que não existia (U.S. Securities and Exchange Commission, 2024); fraude deliberada em firma minúscula, o extremo do espectro.

No Brasil: não existe norma específica de IA

A CVM não publicou ofício circular, consulta pública ou orientação sobre uso de IA por consultores ou assessores. O que a CVM fez em 2026 foi adotar IA na própria supervisão: o Plano Emergencial de Reestruturação da Atividade Fiscalizatória prevê IA generativa para instrução e julgamento de processos, "sempre preservada a responsabilidade decisória humana"; a Resolução CVM 246 criou a Divisão de Tecnologia Financeira (Ditec) para a governança de IA na autarquia (CVM (gov.br), 2026). São entregas previstas, não concluídas, e dizem respeito ao regulador, não ao regulado.

A ANPD também não tem norma de IA. A Nota Técnica 12/2025 consolidou contribuições sobre decisões automatizadas (art. 20 da LGPD) e registrou convergências em supervisão humana, relatório de impacto, transparência e explicabilidade, sem posições definitivas (ANPD (gov.br), 2025-2026).

Sem norma específica, vale o dever geral. A Resolução CVM 19/2021 põe a responsabilidade pela recomendação no consultor registrado, exige controles internos e guarda de documentos por no mínimo cinco anos. A Resolução CVM 30/2021 exige recomendação adequada ao perfil, não importa quem ou o que a rascunhou. A Resolução CVM 50/2021 mantém o dever de conhecer o cliente e monitorar operações atípicas. A LGPD rege todo dado pessoal que entra num prompt. Para o escritório de assessoria vale o mesmo, com a supervisão do intermediário e da ANBIMA por cima, como detalha o artigo sobre a Resolução CVM 178 e 179.

Dois frameworks prontos para adotar

Não é preciso partir do zero. O guia orientativo da ANBIMA para uso de sistemas de IA, de julho de 2024, recomenda os cinco princípios da OCDE em todo o ciclo de vida do sistema, inclusive comprado de terceiros (entre eles transparência e explicabilidade, robustez e segurança, e responsabilidade), mais governança com papéis formais e transparência com clientes (ANBIMA (Rede ANBIMA de Inovação), 2024). É orientativo, não vinculante, dirigido a associados e aderentes; uma consultoria CVM não é necessariamente aderente, mas os princípios servem.

O segundo é o guia do FPSB sobre uso de IA no planejamento financeiro, de junho de 2026, que a Planejar vai disponibilizar em português (InfoMoney (citando Planejar / FPSB), 2026). A regra: IA é apoio, a responsabilidade pela recomendação é integral do profissional e toda saída exige revisão crítica, porque o modelo pode errar e omitir informação material sem avisar.

A política de IA de uma página

O modelo abaixo cabe numa página e uma firma de 5 a 50 pessoas o aprova numa reunião de sócios, que numa consultoria de dez pessoas é o "comitê de governança de IA", com ata e um responsável nomeado.

Conta corporativa, nunca pessoal. Toda ferramenta de IA com dado de trabalho roda em plano empresarial contratado pela firma, com cláusula de não treinamento com os dados. Dado de cliente (CPF, extrato, posição, gravação) só entra em ferramenta homologada, de preferência já dentro do sistema, não colado num chat. A firma mantém inventário de ferramentas, com fornecedor, uso e local dos dados (LGPD, arts. 6 e 46).
O que a IA faz sozinha e o que exige assinatura. A linha é a da Resolução CVM 19: tudo que chega ao cliente como recomendação, perfil ou relatório tem um consultor que revisou, assinou e responde.

A IA pode fazer sem revisão prévia	Só sai com revisão e assinatura do consultor
Transcrever e resumir reunião para uso interno	Qualquer recomendação de investimento
Rascunhar e-mail e pauta de reunião	Classificação de perfil de risco (suitability)
Primeira leitura de extrato e conferência de posição	Relatório de carteira enviado ao cliente
Preencher rascunho de formulário cadastral	Texto de publicidade e material de captação

Gravação de reunião. Gravar e transcrever com IA é tratamento de dado pessoal. A política fixa a base legal (LGPD, art. 7), o aviso antes de gravar e o registro de que o cliente foi informado; quem recusa tem reunião sem gravação. A transcrição vai para o histórico do cliente no CRM da consultoria, não para a pasta de quem gravou.
Transferência internacional e due diligence do fornecedor. Quase todo fornecedor de IA generativa processa dados fora do Brasil: transferência internacional nos termos do art. 33 da LGPD. A política registra, por ferramenta, qual hipótese do artigo autoriza a transferência e onde isso está no contrato. Antes de homologar, o responsável responde por escrito: onde os dados ficam, por quanto tempo, quem acessa, se treinam modelos e em quanto tempo o fornecedor avisa um incidente (LGPD, arts. 46 e 50).
Decisão automatizada revisável. Se a ferramenta classifica perfil de risco, sugere alocação ou pontua clientes, o titular pode pedir revisão (LGPD, art. 20). O consultor revisa e assina toda classificação de suitability; o artigo sobre suitability digital automatizado mostra como manter essa trilha.
Log de prompts e saídas. Em todo processo em que a IA toca algo que chega ao cliente, a firma guarda o que entrou, o que saiu, ferramenta, versão do modelo e quem revisou. Num chat avulso isso não existe; numa plataforma em que a IA opera sobre os dados já consolidados do cliente, o log é subproduto, e é esse o desenho da camada de IA do Hub de Gestão da AAWZ.
Guarda de cinco anos. A Resolução CVM 19 exige manter documentos por no mínimo cinco anos; o log do item 6 entra no mesmo prazo e arquivo. Plano que apaga o histórico em poucos dias quebra o requisito.
Plano de incidente e disclosure. Se um dado vazou por uma ferramenta de IA, ou uma saída errada chegou ao cliente sem revisão, a política diz quem avisa quem e em que prazo; a LGPD, art. 48, exige comunicar incidente relevante à ANPD e ao titular. O contrato e a política de privacidade dizem onde a firma usa IA, onde não usa e como protege os dados.

Para implantar: segunda, inventário ("qual IA você usou na última semana e com que dado?"); terça, plano corporativo e contas pessoais encerradas; até sexta, política aprovada em reunião de sócios; semana seguinte, retenção, log e uma hora de treino.

O cliente já presume que você usa IA

Globalmente, 60% dos clientes de wealth management esperam que o gestor incorpore IA às atividades centrais e 71% acreditam ou suspeitam que a firma já usa (EY, 2025). É expectativa declarada e genérica de cerca de 3.600 clientes em 30 geografias; na América do Norte cai para 48%, não há recorte Brasil, e "acreditam ou suspeitam" junta duas respostas fracas.

A confiança tem limite. Nos EUA, 79% dos adultos têm ao menos alguma confiança na expertise de financial advisors, contra no máximo três em dez em IA e 3% com muita confiança (Gallup (em parceria com Edward Jones), 2026). É população geral, não cliente assessorado, patrocinada por uma corretora com interesse na tese "humano acima da IA", e "alguma confiança" é régua baixa. Entre investidores afluentes americanos, só 38% se dizem ao menos razoavelmente confortáveis com IA no aconselhamento, e 16% acima dos 70 anos (Cerulli Associates, 2026); é press release sem amostra nem definição de "afluente", e conforto é opinião. A aceitação recai sobre agenda, notas de reunião e revisão de documentos: a coluna da esquerda da tabela acima.

No Brasil, o Raio X do Investidor 2026 da ANBIMA com o Datafolha mediu o canal pela primeira vez: 9% dos investidores usam assistentes de IA para se informar sobre investimentos, 13% na classe AB e 14% no perfil que diversifica (ANBIMA / Datafolha, 2026). São 5.832 entrevistas presenciais com a população investidora em geral; sem tendência, por ser a primeira medição, e o cliente de consultoria está nos recortes AB e Diversifica, não nos 9%.

Conclusão prática: dizer ao cliente que a firma usa IA, onde, e como protege os dados dele é vantagem competitiva, não risco. O artigo sobre os limites da IA na consultoria de investimentos mostra onde a linha passa, e o texto sobre IA com dados consolidados na consultoria explica por que o contexto muda a resposta.

Perguntas frequentes

Existe alguma norma da CVM sobre uso de inteligência artificial por consultores e assessores?

Não. Até setembro de 2026 a CVM não publicou norma ou orientação sobre uso de IA por consultores ou assessores. Vale o dever geral: Resolução CVM 19 (responsabilidade e controles internos), Resolução CVM 30 (suitability), Resolução CVM 50 (prevenção à lavagem) e LGPD. A ANPD também não tem norma de IA.

Posso usar minha conta pessoal de ChatGPT ou Claude com dados de cliente?

Não deveria. Dado de cliente em conta pessoal é tratamento sem controle da firma, sem cláusula de não treinamento, sem log e quase sempre com transferência internacional não documentada. A política resolve isso com plano corporativo e inventário de ferramentas.

Preciso do consentimento do cliente para gravar e transcrever reuniões com IA?

Precisa de uma base legal da LGPD e de avisar antes de gravar. Consentimento é uma das bases do art. 7; a política diz qual a firma usa, como o aviso é dado e onde fica registrado. Cliente que recusa tem reunião sem gravação.

Quem responde se a IA errar numa recomendação?

O consultor registrado. A Resolução CVM 19 não distingue quem ou o que rascunhou a recomendação, e o guia do FPSB que a Planejar traz ao Brasil diz o mesmo: IA é apoio, responsabilidade integral do profissional, revisão crítica obrigatória. Por isso a política separa o que a IA faz sozinha do que só sai com assinatura.

Governança de IA começa com uma página de regras e termina com uma ferramenta que as cumpre por desenho: dado do cliente dentro do sistema, log de cada saída, revisão do consultor. É assim que a camada de IA do Hub de Gestão da AAWZ foi construída, sobre a carteira consolidada, o perfil e o histórico que o escritório já mantém. Para ver como isso se encaixa na sua política, Agendar reunião.

Este artigo tem caráter exclusivamente informativo e educacional. As informações apresentadas não constituem recomendação de investimento, consultoria financeira ou oferta de produtos. Dados regulatórios referem-se à legislação vigente em setembro de 2026 e podem sofrer alterações. Consulte sempre um profissional habilitado pela CVM antes de tomar decisões de investimento.