Bancos vão investir R$ 3 bilhões em inteligência artificial, mas uso sem controle acende alerta
Os bancos brasileiros pretendem investir cerca de R$ 3 bilhões em inteligência artificial, Analytics e Big Data em 2026, avanço de 8% na comparação com o ano passado. Ao mesmo tempo que a tecnologia acelera tarefas e reduz custos, especialistas alertam para um risco que pode surgir dentro das próprias instituições: o compartilhamento involuntário de informações confidenciais em ferramentas não autorizadas.
Os dados fazem parte da Pesquisa Febraban de Tecnologia Bancária 2026, realizada pela Deloitte e divulgada durante o Febraban Tech. Segundo o levantamento, 92% dos bancos identificam o aumento da velocidade em tarefas rotineiras como o principal benefício da IA.
Outros 52% destacam a redução do tempo de resposta aos clientes, a diminuição de custos e a eficiência na análise de dados. Para 48%, a tecnologia também gera ganhos na detecção e na prevenção de fraudes.
Bancos aceleram investimentos em inteligência artificial
Os R$ 3 bilhões destinados à IA e às soluções de dados integram um orçamento de R$ 50 bilhões previsto pelo setor bancário para tecnologia em 2026.
As instituições também estimam aplicar R$ 3,9 bilhões na migração de sistemas para a nuvem, crescimento anual de 30%. A infraestrutura é considerada um dos alicerces para ampliar a utilização de soluções digitais e o processamento de grandes quantidades de informações.
Entre as aplicações de agentes inteligentes, 76% dos bancos utilizam ou pretendem utilizar a tecnologia na automação de processos internos. Atendimento por chatbots e voicebots e produção de relatórios e documentos aparecem em seguida, ambos mencionados por 71% das instituições.
A IA também é utilizada para produção de conteúdo de marketing e suporte aos colaboradores, aplicações citadas por 53% dos bancos. “Os investimentos dos bancos em IA, Analytics, Big Data e Cloud demonstram o compromisso do setor com inovação, eficiência e segurança”, afirma Rodrigo Mulinari, diretor responsável pela pesquisa da Febraban.
Contratos, códigos e dados de clientes entram no radar
O avanço da tecnologia também amplia a preocupação com informações corporativas inseridas pelos funcionários em plataformas públicas ou não homologadas pelas empresas.
Douglas Barbosa, Head de Soluções, Estratégias e Alianças e especialista em identidade digital da Sec4U, explica que a exposição pode ocorrer durante atividades aparentemente simples, como resumir um relatório ou revisar um documento. “O dado mais exposto nem sempre é o mais crítico, mas aquele que é mais fácil de copiar e colar. É comum que usuários insiram em ferramentas de IA trechos de código-fonte, documentos em elaboração, contratos, propostas comerciais, dados de clientes e colaboradores, comunicações internas e informações sobre arquitetura e segurança”, afirma.
Informações financeiras ainda não divulgadas, projetos em desenvolvimento, estratégias comerciais e dados pessoais também estão entre os conteúdos mais sensíveis.
Para Vagner Oliveira, COO da Outsera, o risco aumenta quando funcionários utilizam plataformas externas para analisar planilhas confidenciais, produzir códigos ou resumir documentos internos. “Os dados mais expostos costumam ser aqueles compartilhados no dia a dia para otimizar rotinas de trabalho, como códigos-fonte de sistemas proprietários, informações financeiras não públicas, dados estratégicos de negócios, minutas de contratos e dados pessoais sensíveis de clientes ou colaboradores”, diz Oliveira.
Funcionário pode vazar dados sem perceber
O vazamento nem sempre decorre de uma ação intencional. Um funcionário pode recorrer a uma ferramenta pública porque a plataforma corporativa não está disponível, apresenta limitações ou exige mais etapas para realizar determinada tarefa. Entre os exemplos estão o envio de um documento completo quando apenas dois parágrafos seriam necessários ou a retirada do nome de um cliente sem a exclusão de CNPJ, valores, datas e informações que permitam sua identificação.
Arquivos também podem guardar elementos menos visíveis, como metadados, comentários e versões anteriores. Extensões instaladas no navegador ainda podem capturar conteúdos acessados pelo usuário.
“Na maioria dos casos, não existe intenção de burlar a segurança e sim um atrito: a ferramenta corporativa não está disponível, é mais lenta ou não oferece a mesma experiência de uma solução pública. O funcionário então recorre à ferramenta que resolve o problema em segundos”, explica Barbosa.
Segundo o especialista, uma assinatura paga não garante, isoladamente, que a plataforma esteja submetida aos controles exigidos pela companhia.
“Ter uma conta paga em uma ferramenta de IA não significa, por si só, que ela esteja sob as mesmas regras de uma solução corporativa. O que importa é o nível de controle que a empresa tem sobre o dado, incluindo contrato, políticas de uso, permissões, rastreabilidade e auditoria”, acrescenta.
O que acontece com a informação enviada para uma IA?
O tratamento do conteúdo depende da plataforma utilizada e das condições de contratação. Por isso, Barbosa ressalta que não é correto considerar toda ferramenta pública insegura ou presumir que qualquer solução corporativa seja automaticamente segura.
Em ambientes empresariais, podem ser estabelecidas regras para retenção, confidencialidade, proteção de dados, registros e auditoria. Quando o funcionário utiliza uma conta individual, entretanto, a organização pode não ter visibilidade sobre o conteúdo enviado ou sobre seu tratamento.
“Depois que uma informação sensível é enviada, não se deve assumir que seja possível simplesmente desfazer o compartilhamento. Por isso, a pergunta que as empresas precisam fazer não é apenas ‘qual IA estamos usando?’, mas ‘quem controla os dados que estamos colocando nessa IA?’”, afirma Barbosa.
Na avaliação de Oliveira, plataformas corporativas precisam ser estruturadas com políticas rigorosas de privacidade e isolamento das informações. O executivo também chama a atenção para o chamado Shadow AI, nome dado ao uso de sistemas de inteligência artificial sem conhecimento ou autorização da organização.
Como identificar ferramentas não autorizadas?
Para os especialistas, proibir todas as plataformas não resolve o problema. Sem uma alternativa aprovada que atenda às necessidades do trabalho, os funcionários podem recorrer a contas pessoais ou dispositivos externos, reduzindo ainda mais a visibilidade da empresa.
Oliveira afirma que a identificação do Shadow AI exige governança, monitoramento técnico e conscientização das equipes. Entre as medidas estão o acompanhamento do tráfego de rede, sistemas de prevenção contra perda de dados, conhecidos como DLP, e identificação de conexões com domínios e interfaces de ferramentas externas.
Barbosa recomenda ainda verificar aplicações que funcionam fora do sistema de autenticação corporativa, o SSO, além de integrações e permissões concedidas pelos próprios usuários. “A estratégia mais eficiente não é simplesmente bloquear a IA, mas criar um ambiente em que o uso autorizado seja seguro e rastreável”, diz o especialista da Sec4U.
A pesquisa da Febraban mostra que os bancos já tentam preparar seus profissionais para esse novo ambiente. O setor pretende investir R$ 29,4 milhões em treinamentos de IA e IA generativa em 2026, alta de 31%. Além disso, 70% das instituições já possuem ou estão desenvolvendo estratégias de requalificação profissional.
Com sistemas cada vez mais conectados, o desafio dos bancos será avançar na utilização da tecnologia sem perder o controle sobre contratos, códigos, informações financeiras e dados de clientes. Afinal, o investimento em inteligência artificial só gera eficiência de forma sustentável quando vem acompanhado de identidade, autorização, governança e segurança.
