A expansão da Inteligência Artificial (IA) elevou o patamar dos ataques digitais e expôs, de forma inédita, os riscos para o sistema financeiro. Ferramentas de IA generativa já são usadas para produzir phishinghiper personalizado, fraudes sofisticadas e deepfakes de voz e vídeo capazes de enganar times de finanças, atendimento e até executivos seniores.
O relatório The Battle Against AI-Driven Identity Fraud (Signicat, 2024) aponta um crescimento acelerado das tentativas de fraude apoiadas em deepfakes e manipulação de identidade. Em alguns mercados europeus, a participação dessas tentativas de fraude de identidade cresceu mais de 2.000% nos últimos três anos, com instituições financeiras entre os alvos mais pressionados.
Esse movimento não passou despercebido pelos C-Levels bancários. Pesquisa da Marsh, referência em gestão de riscos no Brasil, mostra que 70% dos líderes de bancos e instituições financeiras preveem um aumento nos ciber ataques impulsionados pela IA. Outro estudo global da Boston Consulting Group (2025) confirma essa percepção, revelando que 80% dos executivos de segurança já consideram ataques apoiados por IA como a principal ameaça em um horizonte de curto prazo.
Em resumo: criminosos já exploram a IA para ganhar escala e sofisticação, e instituições financeiras precisam da própria IA para proteger, em tempo real, transações, identidades e canais digitais.
Nesse cenário, a Nava propõe uma abordagem em que a IA é tratada como camada essencial de defesa e governança. Para isso, Chief Information Security Officers (CISOs) e lideranças de TI precisam adotar quatro imperativos estratégicos que elevam a segurança ao nível da ameaça. Continue acompanhando para descobrir.
4 estratégias para reduzir os riscos da IA nas instituições financeiras
Para que os riscos sejam tratados de forma estruturada, é necessário transformar essa agenda em direcionadores claros para liderança, tecnologia, dados e risco.
A Nava organiza essa resposta em quatro imperativos estratégicos que se complementam: começar pela liderança e governança, evoluir para a inteligência defensiva, consolidar a base de dados e explicabilidade e, por fim, ancorar tudo em uma arquitetura de segurança e gestão de risco contínua.
A seguir, entenda como esses quatro imperativos se traduzem em decisões concretas para CISOs e instituições financeiras.
1. CISO como protagonista e habilitador da IA
A Inteligência Artificial em segurança hoje é tema de conselho, não apenas uma discussão técnica. No setor financeiro, onde a pressão regulatória é alta, o CISO precisa assumir o protagonismo na governança dos riscos da IA.
Esse papel vai muito além de responder a incidentes. Cabe ao CISO:
- Definir políticas claras de uso de IA, alinhadas à estratégia, ao apetite de risco e às exigências regulatórias;
- Enfrentar o avanço do “bring your own AI” (BYOAI) – quando colaboradores utilizam ferramentas de IA sem validação de TI, expondo código, dados de clientes e informações sensíveis em ambientes fora de controle.
- Estabelecer diretrizes sobre quais dados podem ou não ser processados por modelos de IA, em quais casos de uso e sob quais salvaguardas;
- Garantir que cada novo caso de uso de Inteligência Artificial passe por avaliação conjunta de risco, compliance, jurídico e tecnologia, especialmente em processos críticos como onboarding, concessão de crédito, prevenção a fraudes e Anti-Money Laundering (AML).
Quando a liderança assume esse papel, a discussão sobre IA evolui de um dilema entre “usar ou proibir” para uma conversa sobre “em quais trilhos seguros a IA pode acelerar o negócio”.
O passo seguinte é transformar essa visão em capacidade concreta de defesa, conectando IA diretamente à detecção de ameaças e à resposta a incidentes.
2. Inteligência defensiva com IA para detecção preditiva e resposta orquestrada
Nas instituições financeiras, o impacto mais imediato costuma estar na capacidade de detectar fraudes e incidentes em tempo quase real.
A relação entre ataque e defesa continua desequilibrada: quem ataca precisa encontrar uma brecha; quem defende precisa manter consistência o tempo todo.
A camada de inteligência trazida por modelos de IA, por sua vez, ajuda a reduzir essa assimetria ao ampliar a visão sobre comportamentos, correlações e desvios que seriam difíceis de enxergar apenas com regras estáticas e análise humana.
Na prática, a inteligência defensiva se apoia em três frentes principais:
- Monitoramento contínuo de comportamento: sistemas baseados em aprendizado de máquina acompanham transações, acessos e interações em canais digitais. Eles cruzam dados de transação, contexto e histórico de comportamento de cada cliente, permitindo identificar desvio sutis, como um dispositivo inédito em uma conta, operações em horários atípicos ou valores fora do padrão daquele perfil;
- Detecção de anomalias e priorização por risco: a partir dessa base, modelos de detecção de anomalias apontam comportamentos fora da curva em acessos a mobile e internet banking, tentativas de login, movimentações internas e uso de credenciais. Em vez de uma grande massa de alertas homogêneos, a organização passa a trabalhar com scores de risco dinâmicos, que ajudam a priorizar eventos com maior probabilidade de fraude ou invasão;
- Resposta orquestrada e consistente: essa priorização ganha valor quando está conectada a mecanismos de resposta. Plataformas de orquestração e automação (SOAR), integradas a esses modelos, permitem transformar decisões de risco em ações concretas, como:
- Isolar endpoints ou sessões suspeitas;
- Revogar acessos considerados de alto risco;
- Exigir autenticação multifator (MFA) em operações com score elevado;
- Direcionar casos sensíveis para fluxos de revisão manual estruturados.
O objetivo é garantir que a defesa reaja com velocidade e padrão consistente mesmo em ambientes distribuídos, com múltiplos canais, integrações e nuvens. Em vez de depender exclusivamente da capacidade humana de correlação em meio a milhares de alertas, o time passa a contar com uma camada que filtra, prioriza e orquestra a resposta.
À medida que essa inteligência defensiva ganha protagonismo, cresce a pressão por transparência. Decisões automatizadas sobre bloquear uma transação, exigir Autenticação Multifator adicional ou direcionar um cliente para revisão precisam ser explicáveis para times internos, auditores e reguladores.
Sem a clareza sobre dados usados, critérios considerados e lógica de decisão, o ganho operacional se converte em risco regulatório e de confiança. É esse ponto que conecta diretamente o uso de IA na linha de frente ao próximo imperativo.
3. Governança de dados, privacidade e IA explicável (XAI)
Cada decisão automatizada carrega impacto direto em confiança, relacionamento com o cliente e exposição regulatória. Nesse contexto, a governança de dados e IA explicável (XAI) ocupam lugar central na estratégia de segurança e fraude.
O ponto de partida está nos dados. Sem clareza sobre quais informações são usadas, com que finalidade e sob quais controles, os riscos da IA aumentam em vez de diminuir. Para o setor financeiro, isso significa estruturar três frentes de forma coordenada:
- Dados bem governados ao longo do ciclo de vida: a instituição precisa saber, com precisão:
- Quais dados alimentam modelos de detecção de fraude e ciberataques;
- Onde esses dados estão armazenados e quem pode acessá-los;
- Por quanto tempo são retidos e com que base legal.
Técnicas como minimização, anonimização e pseudoanonimização ajudam a reduzir exposição, mas funcionam de fato quando inseridas em políticas e processos claros de governança de dados.
- Privacidade como requisito de resiliência, não apenas de compliance: em um ambiente regulado, privacidade e sigilo bancário não são só temas jurídicos. Bloqueios indevidos, exposição de informações sensíveis ou uso inadequado de dados em modelos podem gerar:
- Sanções de reguladores;
- Questionamentos de auditoria;
- Desgaste direto com o cliente.
Tratar privacidade como parte da resiliência significa incorporar princípios de Privacy by Design em soluções de segurança e fraude: limitar o uso de dados ao necessário, registrar bases legais, auditar acessos e monitorar o uso em modelos de IA.
- IA explicável (XAI) para decisões críticas: quando um modelo classifica uma transação como suspeita ou decide que uma conta exige revisão adicional, times internos, auditores e reguladores precisam entender os motivos. Isso envolve:
- Documentar quais variáveis têm maior influência nas decisões;
- Ser capaz de reconstruir por que uma operação específica foi sinalizada;
- Demonstrar que não há discriminação injustificada entre grupos de clientes.
Essa capacidade de explicação é o que permite sustentar, na prática, decisões automatizadas em temas sensíveis como fraude, crédito, bloqueio de conta e monitoramento de transações.
Além disso, trilhas de auditoria completas passam a ser exigência prática. Isso inclui registrar versões de modelos, datasets de treinamento, critérios de corte, ajustes feitos ao longo do tempo e resultados de testes de performance. Sem essa rastreabilidade, fica difícil responder a questionamentos de supervisores ou comprovar que uma mudança de modelo não introduziu vieses indesejados.
Na prática, governança de dados e XAI formam a base sobre a qual o restante da arquitetura de segurança se apoia. Sem essa base, iniciativas de detecção avançada e resposta orquestrada ficam vulneráveis a contestações regulatórias e a perda de confiança de clientes e parceiros.
O passo seguinte é consolidar essa visão em uma arquitetura de segurança e gestão de riscos da IA que funcione de forma contínua, conectando identidade, acesso, modelos, dados e monitoramento em um desenho coerente de ponta a ponta.
4. Arquitetura de segurança e gestão de riscos da IA como disciplina contínua
Governança de dados e IA explicável sustentam as decisões na ponta, mas não resolvem sozinhas o problema estrutural: os riscos da IA não são estáticos.
Modelos são atualizados, novos casos de uso aparecem, fornecedores mudam suas soluções, o ambiente de ameaças evolui. Tratar tudo isso como um projeto único ou uma política isolada é, na prática, assumir que a arquitetura vai envelhecer rápido demais.
Por isso, instituições financeiras precisam encarar arquitetura de segurança e gestão de riscos da IA como uma disciplina contínua, que conecta identidade, dados, modelos e monitoramento em um desenho coerente.
Do ponto de vista técnico e organizacional, essa disciplina se apoia em três frentes:
- Arquitetura de segurança alinhada a Zero Trust: em vez de depender de perímetros estáticos, a segurança passa a ser dirigida por identidade, contexto e verificação constante. Isso implica:
- Tratar identidade como novo perímetro;
- Avaliar acessos de forma contínua, não apenas no login;
- Aplicar segmentação e princípio do menor privilégio como padrão.
Para modelos de IA e serviços que os consomem, isso significa controlar com precisão quem pode treinar, ajustar, publicar e chamar cada modelo, e sob quais condições.
- Security by Design e Privacy by Design no ciclo de desenvolvimento: a cada novo caso de uso de IA – seja para fraude, cibersegurança, crédito ou atendimento – requisitos de segurança e privacidade precisam entrar desde a concepção. Na prática, isso envolve:
- Incorporar controles de segurança e privacidade já nas fases de desenho de solução;
- Padronizar revisões de código, testes de modelos e validações de segurança antes da entrada em produção;
- Definir critérios mínimos para exposição de APIs, integração com terceiros e uso de modelos externos.
O objetivo é evitar que soluções com IA nasçam como “caixas paralelas” à arquitetura oficial de segurança e dados.
- Gestão de risco de IA como processo recorrente: modelos não podem ser tratados como estáticos. Eles precisam ser avaliados e ajustados de forma periódica, com uma visão clara de risco. Isso inclui:
- Realizar auditorias técnicas e funcionais dos modelos, verificando desempenho, estabilidade e aderência a requisitos de negócio;
- Revisar regularmente datasets de treino, checando qualidade, representatividade e possíveis vieses;
- Monitorar métricas como falsos positivos, falsos negativos e impacto em jornadas críticas;
- Estabelecer critérios claros para aposentadoria, substituição ou retraining de modelos desatualizados ou com comportamento indesejado.
“É preciso definir limites e direcionadores obrigatórios na arquitetura de segurança para que a IA não se torne uma ‘metralhadora sem gestão’”, destaca Fabiano Oliveira, CTO da Nava. “Sem esse enquadramento, a mesma tecnologia que reduz fraudes pode abrir novas superfícies de ataque e risco regulatório.”
Essa visão de arquitetura precisa ser acompanhada por capacitação contínua. CISOs, times de desenvolvimento, analistas de risco, jurídico e compliance precisam falar a mesma língua quando o tema é IA:
- Entender com clareza quais são os limites e oportunidades dessa tecnologia;
- Evitar decisões motivadas apenas por modismo ou pressão de mercado;
- Tratar os riscos da IA como parte integrante da gestão de risco corporativo, e não como um capítulo à parte.
Assim, a instituição deixa de enxergar IA em segurança como um conjunto de iniciativas pontuais e passa a operar com uma plataforma de proteção e governança viva, que evolui junto com o ambiente de ameaças, a regulação e a própria estratégia de negócio.
Riscos da IA, resiliência e o papel da Nava
A convergência entre Inteligência Artificial e cibersegurança marca um novo capítulo na proteção de ativos digitais no sistema financeiro. A mesma tecnologia que amplia a superfície de risco — com BEC mais sofisticado, deepfakes e engenharia social avançada — também é a que oferece as melhores condições para responder na velocidade e na escala que o ambiente exige.
De um lado, modelos de IA são usados por atacantes para testar credenciais em massa, personalizar fraudes e explorar vulnerabilidades em múltiplos canais. De outro, a aplicação estruturada dessa inteligência permite que instituições financeiras:
- Processem, em tempo quase real, o volume de dados necessário para identificar anomalias relevantes;
- Orquestrem respostas automáticas e consistentes em ambientes complexos, com múltiplos sistemas e nuvens;
- Apoiem decisões de negócio mais rápidas e seguras, com base em evidências e trilhas de auditoria.
O desafio central deixa de ser decidir se a organização vai usar IA e passa a ser como reduzir os riscos da IA enquanto captura o valor que ela oferece – especialmente em ambientes regulados e com alta exposição a fraudes.
A Nava atua justamente nesse ponto de equilíbrio, ajudando instituições financeiras a transformar essa agenda em prática, com foco em resultados mensuráveis. Isso inclui:
- Definir estratégia e governança de IA com protagonismo do CISO e alinhamento aos objetivos de negócio;
- Estruturar arquiteturas de segurança, dados e observabilidade que suportem modelos de IA com confiabilidade, escalabilidade e compliance;
- Aplicar IA de forma pragmática em casos de uso de segurança, fraude e monitoramento de canais digitais, conectando casos de uso a indicadores claros de risco e eficiência.
“Cabe às lideranças adotar uma postura proativa e multidisciplinar, em que tecnologia, compliance e cultura organizacional avancem juntos. A era da IA exige não apenas sistemas mais capazes, mas decisões mais conscientes sobre como – e para quem – esse poder será aplicado”, afirma Fabiano Oliveira..
Se a sua instituição está debatendo internamente os riscos da IA – seja em fraudes, cibersegurança, crédito ou governança – e precisa transformar essa preocupação em um plano concreto de ação, a Nava pode ajudar. Fale com os especialistas da Nava para desenhar uma estratégia de IA que una segurança, eficiência operacional e conformidade regulatória, com resultados mensuráveis para o negócio.
