Singapura define regras para os riscos da IA nas instituições financeiras, com prazos em 2027 e 2028

Dois prazos colocam a supervisão da IA na agenda do setor financeiro

As instituições financeiras de Singapura têm até 7 de outubro de 2027 para cumprir as principais expectativas de supervisão da inteligência artificial, seguindo-se um segundo prazo, em 7 de outubro de 2028, para controlos, capacidades e infraestruturas mais abrangentes. A Autoridade Monetária de Singapura (MAS) publicou as suas Orientações sobre a Gestão dos Riscos da Inteligência Artificial em 7 de outubro de 2026, aplicáveis a todas as instituições financeiras e a todas as formas de tecnologia de IA.

O quadro abrange mais do que chatbots e programas que ajudam os funcionários a redigir documentos. Inclui aprendizagem automática tradicional, IA generativa que produz conteúdos e agentes de IA capazes de tomar decisões ou executar ações através de ferramentas ligadas. A MAS alerta que os agentes com acesso a ferramentas podem executar autonomamente ações erradas ou não autorizadas, pelo que a autorização para agir é tão importante como a precisão de uma resposta.

As orientações sobre os riscos da IA do regulador estabelecem expectativas de supervisão, em vez de uma lei autónoma que imponha requisitos técnicos idênticos a todas as empresas. O princípio central é o da proporcionalidade: as instituições devem identificar a utilização que fazem da IA, avaliar a importância e os riscos de cada aplicação e implementar controlos adequados a essa exposição.

O resultado é um perímetro regulamentar amplo, sem tratar todas as aplicações da mesma forma. Um sistema que influencie recomendações de investimento ou avaliações de risco dos clientes justifica um nível de escrutínio diferente do de uma ferramenta usada para rever um e-mail interno. A distinção depende das possíveis consequências, incluindo danos para clientes e outras instituições, e não simplesmente de o produto ser apresentado como IA.

Quem está abrangido pelo quadro?

O âmbito inclui bancos, gestores de fundos, consultores financeiros, seguradoras, instituições de pagamento, bolsas, câmaras de compensação, entidades de custódia, agências de notação de crédito e empresas que negoceiam produtos dos mercados de capitais. Os intermediários de futuros isentos e os intermediários de derivados negociados fora de bolsa também estão expressamente incluídos.

A cobertura abrange todas as tecnologias de IA: o quadro não é apenas um código de regras para a IA generativa, nem uma medida dirigida exclusivamente aos maiores bancos. A MAS permite que as instituições adaptem a implementação aos seus perfis de risco, incluindo à escala e à natureza da utilização que fazem da IA.

As orientações complementam também os requisitos e princípios já existentes da MAS, incluindo os princípios de Equidade, Ética, Responsabilização e Transparência, conhecidos como FEAT. Acrescentam um quadro de gestão dos riscos da IA, sem substituir as obrigações mais abrangentes que já regem os serviços financeiros.

Para as instituições que procuram determinar o trabalho necessário, a distinção fundamental é entre a abrangência da cobertura e a intensidade dos controlos. Estar abrangida não significa que todas as empresas tenham de criar a mesma estrutura de governação. Significa, sim, que cada instituição precisa de compreender de forma fundamentada onde utiliza IA e o que poderá acontecer se esses sistemas tiverem um desempenho insuficiente ou ficarem indisponíveis.

O que muda entre agora e outubro de 2028?

A publicação surge na sequência de uma consulta lançada em novembro de 2025. Numa resposta parlamentar de agosto de 2026, a MAS afirmou que as orientações propostas seriam finalizadas em breve e confirmou que abrangiam a IA agêntica. O anúncio de outubro definiu depois duas fases de implementação.

• Novembro de 2025: A MAS lançou a consulta pública sobre as orientações propostas para a gestão dos riscos da IA.
• 5 de agosto de 2026: Uma resposta parlamentar confirmou que as propostas abrangiam todos os casos de utilização de IA por instituições financeiras, incluindo a IA agêntica.
• 7 de outubro de 2026: A MAS publicou as orientações finais.
• 7 de outubro de 2027: As orientações entram em vigor, sendo aplicáveis a partir desta data as expectativas das secções 3 e 4.
• 7 de outubro de 2028: As instituições deverão cumprir as expectativas das secções 5 e 6.

O calendário concede às empresas um ano após a publicação para estabelecerem o quadro essencial de supervisão, gestão de riscos e políticas, seguido de mais um ano para implementarem as disposições operacionais mais abrangentes. O prazo posterior não adia a aplicação de todo o quadro para 2028.

Uma breve notícia indica que a data de entrada em vigor é 7 de outubro, sem especificar o ano. A publicação e o anúncio da MAS são explícitos: a data de entrada em vigor é 7 de outubro de 2027, com a implementação faseada a prolongar-se até 2028.

Os conselhos de administração mantêm a responsabilidade, sem precisarem de criar uma nova comissão

A MAS espera que os conselhos de administração e a gestão de topo supervisionem eficazmente os riscos da IA. Isso inclui definir responsabilidades, estabelecer a apetência pelo risco e criar quadros, políticas e procedimentos de gestão dos riscos. A apetência pelo risco corresponde ao nível e aos tipos de risco que uma instituição está disposta a aceitar.

O anúncio da publicação do regulador aborda uma preocupação prática levantada durante a consulta: as empresas podem recorrer às estruturas de governação existentes, desde que estas assegurem supervisão adequada e coordenação entre as funções relevantes. Não é obrigatório criar uma comissão dedicada à IA apenas para cumprir esta expectativa.

Esta distinção é importante para a implementação. O requisito é uma responsabilização eficaz, não uma comissão com um nome específico ou um determinado organigrama. As disposições existentes podem satisfazer a expectativa, mas apenas se permitirem supervisionar os riscos da IA e coordenar os responsáveis pela sua gestão.

As instituições têm de gerir esses riscos a dois níveis: em toda a organização e em cada aplicação. Uma aplicação pode parecer controlável isoladamente, embora a expansão da utilização de IA pela empresa exija uma supervisão, competências ou infraestruturas mais abrangentes. Por isso, a MAS espera que as instituições desenvolvam as suas capacidades à medida que a adoção aumenta.

Os inventários tornam concreta a avaliação dos riscos

As instituições financeiras devem identificar a utilização que fazem da IA e manter inventários com um nível de detalhe adequado. Um inventário permite avaliar quais as aplicações mais importantes e decidir que controlos exigem. Sem essa base, a gestão de topo não consegue determinar de forma fiável a exposição da instituição.

A MAS espera também que seja avaliada a materialidade do risco de cada aplicação. Em termos simples, isso significa determinar se falhas, um desempenho insuficiente ou a indisponibilidade podem ter consequências significativas para a instituição, os seus clientes ou outras partes interessadas, incluindo outras instituições financeiras.

O quadro identifica riscos financeiros, operacionais, de conduta, de crime financeiro e reputacionais. A IA generativa apresenta também riscos de segurança, privacidade e associados a prestadores externos. Estas categorias alargam a avaliação para além de uma simples verificação da precisão habitual das respostas de um modelo.

A MAS permite políticas e procedimentos básicos quando seja improvável que um desempenho insuficiente ou a indisponibilidade dos serviços de IA tenham um impacto material. Uma maior exposição deve ser acompanhada de controlos mais sofisticados. O critério prático é o impacto potencial de uma falha, não o grau de novidade da tecnologia.

Os controlos têm de se manter após a introdução de um sistema de IA

As orientações exigem controlos proporcionais ao longo de todo o ciclo de vida da IA, ou seja, desde o desenvolvimento e os testes até à implementação, utilização e alterações posteriores. Entre esses controlos, a MAS enumera a governação dos dados, os testes, a supervisão humana, a cibersegurança, a monitorização e a gestão da mudança.

A governação dos dados diz respeito à forma como a informação é gerida e utilizada. Os testes avaliam se um sistema é adequado à finalidade pretendida. A monitorização acompanha o desempenho durante a operação, enquanto a gestão da mudança trata das alterações que podem modificar o comportamento ou os riscos. São responsabilidades interligadas, não uma única aprovação antes do lançamento.

A supervisão humana também faz parte do quadro. No caso de um sistema de IA que possa influenciar ou executar uma decisão financeira, a questão não se limita a saber se uma pessoa pode ler o resultado. As instituições têm de ponderar como adequar a supervisão aos riscos da aplicação e às ações que esta pode executar.

A MAS espera que os controlos sejam revistos regularmente à medida que a utilização da IA se expande e as tecnologias evoluem. Uma solução concebida para uma ferramenta que redige textos poderá ter de ser reavaliada se essa ferramenta passar a ter acesso a sistemas através dos quais pode executar ações. As orientações associam expressamente as revisões regulares à crescente utilização de agentes autónomos.

Comprar IA não transfere a responsabilidade

As instituições financeiras mantêm a responsabilidade pela IA utilizada nos serviços que prestam, incluindo sistemas desenvolvidos, operados ou fornecidos por empresas externas. A externalização da tecnologia não externaliza a responsabilidade pelos riscos que esta cria.

A MAS espera que as empresas obtenham garantias suficientes dos prestadores e avaliem se a IA destes é adequada à utilização pretendida. Quando surjam limitações práticas ou lacunas nas garantias, as instituições devem aplicar controlos compensatórios. São medidas destinadas a reduzir os riscos quando não é possível obter a garantia ou implementar o controlo pretendido.

O regulador define também o que fazer quando essas medidas não são suficientes. Se os riscos não puderem ser reduzidos a um nível compatível com a apetência pelo risco da instituição, esta deve ponderar limitar, suspender ou substituir o serviço de IA. A continuidade da utilização não se justifica apenas porque o prestador é comercialmente atrativo ou o sistema já está integrado nas operações.

Este ponto responde a outra preocupação manifestada na consulta: a IA integrada em produtos e serviços. A questão relevante é a forma como a instituição utiliza essa funcionalidade e gere as suas consequências, e não se foi ela própria a criar o modelo. A avaliação tem de relacionar as garantias do prestador com a utilização efetiva pretendida pela empresa.

A IA agêntica está abrangida antes da chegada de novas orientações

A IA agêntica pode fazer mais do que gerar uma resposta. Pode utilizar ferramentas para realizar tarefas e agir com maior autonomia. Nos serviços financeiros, isso torna as permissões, a intervenção e o registo das decisões elementos centrais para gerir o risco de ações erradas ou não autorizadas.

Na resposta parlamentar de agosto, Gan Kim Yong, vice-primeiro-ministro, ministro do Comércio e da Indústria e presidente da MAS, confirmou que as orientações propostas se aplicavam a todos os casos de utilização de IA por instituições financeiras, incluindo a IA agêntica. A resposta foi dada a uma pergunta de Mariam Jaafar, deputada pelo círculo eleitoral de Sembawang, sobre agentes autónomos e possíveis requisitos de supervisão.

Gan referiu também recursos práticos desenvolvidos em conjunto com o setor. No âmbito do Project MindForge, o setor desenvolveu um conjunto de ferramentas de gestão dos riscos da IA para ajudar as instituições a implementar as orientações. O quadro Safeguards for Agentic Finance at Runtime, conhecido como SAFR, apresenta uma possível abordagem para autorizar as ações dos agentes, ativar a supervisão humana e registar o que acontece em cada decisão com consequências relevantes.

Estes recursos têm uma finalidade diferente da do quadro de supervisão. O conjunto de ferramentas apoia a implementação, enquanto o SAFR descreve uma possível abordagem operacional. A resposta parlamentar não anunciou que o próprio SAFR se tornaria obrigatório.

A MAS tenciona consultar o setor financeiro em 2027 sobre a utilidade de orientações adicionais para a IA agêntica. Não indicou uma data específica para a consulta nem anunciou o conteúdo de eventuais orientações resultantes. Os agentes já estão abrangidos pelas orientações, pelo que a consulta prevista não é motivo para adiar a gestão dos seus riscos.

Clareza regulamentar, com limites para os riscos aceitáveis

A MAS apresenta o quadro como um apoio à adoção responsável, não como uma proibição da IA. Os participantes na consulta apoiaram a abordagem baseada em princípios e controlos proporcionais, mas pediram esclarecimentos sobre as estruturas de governação existentes, a IA integrada e as situações em que bastariam políticas básicas. O quadro final mantém as principais expectativas e responde a essas preocupações.

Ho Hern Shin, diretora-geral adjunta da MAS, relacionou os potenciais benefícios da IA com a necessidade de as instituições compreenderem sistemas cada vez mais capazes. Afirmou:

A concretização sustentável destes benefícios exige que as instituições financeiras compreendam e giram os riscos associados a sistemas de IA cada vez mais capazes.

A sua declaração identifica o equilíbrio central das orientações. As instituições podem procurar ganhos de produtividade, uma gestão dos riscos mais sólida e novos serviços, mas têm de continuar a ser responsáveis pelos sistemas utilizados para os disponibilizar.

Os próximos prazos fixos são os de outubro de 2027 e outubro de 2028. A consulta adicional sobre IA agêntica está prevista para 2027, e a MAS afirmou também que continuará a rever e atualizar as expectativas de supervisão sempre que necessário. Não foi anunciado qualquer prazo separado para novos requisitos relativos à IA agêntica.

Principais pontos

• A MAS publicou as orientações sobre a gestão dos riscos da IA em 7 de outubro de 2026, abrangendo todas as instituições financeiras e tecnologias de IA.
• As expectativas essenciais das secções 3 e 4 aplicam-se a partir de 7 de outubro de 2027; as secções 5 e 6 deverão ser implementadas até 7 de outubro de 2028.
• Os conselhos de administração e a gestão de topo têm de assegurar uma supervisão eficaz, mas não é obrigatória uma comissão dedicada à IA.
• As instituições devem inventariar a utilização da IA, avaliar a materialidade dos riscos e aplicar controlos proporcionais aos danos potenciais.
• As empresas continuam a ser responsáveis pela IA fornecida por prestadores externos e devem ponderar restringir ou substituir serviços com riscos inaceitáveis.
• A IA agêntica já está abrangida. A MAS prevê uma consulta adicional sobre possíveis orientações em 2027.