A regulação de IA em bancos já é exigível na América Latina: o Peru tem o primeiro regulamento em vigor (Decreto Supremo 115-2025-PCM, desde 22 de janeiro de 2026), classifica a banca como risco alto e fixa prazo para o setor financeiro em 10 de setembro de 2026; a Argentina exige a Comunicação A 7724 desde 2023; a Colômbia audita via SFC sem lei; o México supervisiona via CNBV. A governança de dados é o gargalo real.
Implementar IA conversacional na banca é, hoje, uma das decisões mais estratégicas que uma instituição financeira pode tomar. E como toda decisão estratégica, tem uma dimensão que vai além da tecnologia: a regulatória. O que muitas equipes de inovação bancária descobrem no caminho é que, por trás de um agente conversacional, há um labirinto normativo diferente para cada mercado. Um labirinto que muda mais rápido do que a maioria dos roadmaps prevê. Na Delto, temos mais de 10 anos de trabalho com instituições financeiras em mais de 15 países da América Latina. E o que vemos em cada projeto é sempre a mesma tensão: equipes de inovação que querem avançar rápido, e estruturas de risco e jurídico que precisam de certezas que o ambiente regulatório ainda não terminou de construir. Escrevemos este artigo para fechar essa lacuna. Não é um mapa regulatório genérico. É o que um banco precisa entender, mercado por mercado, antes de colocar um agente de IA conversacional em produção. Por que os agentes conversacionais têm uma carga regulatória específica Nem todos os usos de IA geram o mesmo nível de atenção regulatória. Um modelo de detecção de fraude que roda no backend tem um perfil de risco completamente diferente do de um agente conversacional que fala diretamente com clientes pelo WhatsApp, toma ou sugere decisões sobre produtos de crédito e captura dados financeiros sensíveis em tempo real. Essa diferença importa porque os reguladores a percebem com clareza. Quando um sistema de IA opera como canal oficial de atendimento ao cliente, entra automaticamente no radar de três dimensões normativas que se sobrepõem: a proteção ao consumidor financeiro, em que o cliente nem sempre sabe que está falando com um agente automatizado nem entende como esse agente tomou uma decisão que o afeta; a privacidade de dados, já que as conversas são, por definição, fluxos contínuos de dados pessoais e financeiros sensíveis; e as decisões automatizadas, em que vários países já têm legislação, ou jurisprudência, que exige explicabilidade quando um sistema de IA impacta os direitos do usuário. É por isso que os agentes conversacionais são provavelmente o tipo de IA com maior superfície de exposição regulatória na banca de varejo hoje. E é exatamente onde os reguladores da região estão colocando a lupa. México: sem lei de IA, mas com supervisão ativa e um precedente que muda o jogo O México ainda não tem uma lei específica de inteligência artificial. Houve uma iniciativa apresentada no Senado em abril de 2025, mas ela segue sem avanços significativos. O que existe, e se aplica hoje, é a supervisão da CNBV sob o guarda-chuva da Lei Fintech de 2018, que inclui provisões para tecnologias emergentes, e as diretrizes do Banco do México para o uso seguro de IA generativa. Um dado que ilustra bem o estado de maturidade do ecossistema: segundo uma revisão de pedidos de transparência de março de 2026, o Banco do México é uma das poucas instituições públicas do país com documentação formal sobre seus sistemas de IA; sete sistemas operacionais, com um marco de governança definido. O contraste com o resto do setor público diz muito. O precedente mais relevante para os bancos chegou em maio de 2026, quando a CNBV autorizou a FIDUZ como Assessor de Investimentos Independente com um modelo de negócio baseado em IA, acompanhado de um manual de governança que o próprio regulador hoje usa como referência. A mensagem é clara: a CNBV está disposta a dialogar com projetos de IA, mas precisa ver rigor técnico e documentação jurídica sólida do outro lado. O que isso significa para um banco que quer implementar IA conversacional no México? Ter os modelos em uso documentados, uma política interna de uso responsável de IA generativa e mecanismos explícitos para evitar vieses em decisões automatizadas que afetem o consumidor. A PROFECO tem jurisdição ali. A ausência de uma lei específica não elimina essa exposição. Colômbia: o regulador que não esperou haver lei A Colômbia é provavelmente o caso mais interessante da região, e também o mais exigente para quem quer implementar IA no setor financeiro. Não tem lei geral de IA, o Projeto de Lei 442 foi protocolado em maio de 2025 e segue em tramitação, mas tem a Superintendência Financeira (SFC) agindo como se já a tivesse. A SFC criou seu próprio Centro de Excelência em Inteligência Artificial. Opera dois ambientes de sandbox regulatório, LaArenera e elHub, para que as entidades possam testar tecnologia em condições controladas. Em outubro de 2025 lançou sua própria ferramenta de IA para detecção de lavagem de dinheiro. Não é um regulador que supervisiona de fora: é um regulador que adotou a tecnologia e, a partir desse lugar, define como espera que o setor a use. A isso se soma o peso da jurisprudência: a Corte Constitucional colombiana já se pronunciou duas vezes sobre IA. Em 2024 estabeleceu que os processos de decisão que usem IA devem preservar a racionalidade humana. O Conselho da Magistratura teve que emitir o primeiro protocolo formal de uso de IA no ramo judicial do país. Esses pronunciamentos têm peso direto na forma como os reguladores setoriais, incluindo a própria SFC, interpretam suas próprias obrigações. Na prática, um banco que opera na Colômbia precisa de: um marco de governança de dados alinhado com os princípios da SFC, processos de validação humana documentados nas decisões de alto impacto e rastreabilidade completa das interações do agente conversacional. Um agente que roda sem essa arquitetura de governança não passa em uma revisão da Superfinanciera. Na prática, já mostramos como a IA generativa está mudando o setor bancário na Colômbia . Peru: o primeiro país da América Latina com regulamento de IA em vigor, e a banca classificada como risco alto O Peru é o caso mais avançado da região em termos regulatórios. Em setembro de 2025, o governo peruano publicou o Decreto Supremo 115-2025-PCM, que aprova o Regulamento da Lei 31814 e torna o Peru o primeiro país da América Latina com um regulamento geral de IA em vigor. Entrou em vigor em 22 de janeiro de 2026. O regulamento classifica os sistemas de IA em três níveis de risco. E aqui está a parte que toda equipe bancária deve sublinhar: a banca, o scoring de crédito e os programas sociais ficam expressamente classificados como setores de risco alto. Não é uma interpretação; está no texto da norma. Para os sistemas classificados como risco alto, as obrigações são concretas. Transparência: informar o usuário sobre o que o sistema faz e como toma decisões. Explicabilidade: poder justificar os resultados quando impactam direitos do usuário. Supervisão humana documentada em decisões significativas. Análise de impacto antes de colocar o sistema em produção. Cumprimento estrito da Lei de Proteção de Dados Pessoais. O cronograma para o setor financeiro vence em 10 de setembro de 2026. Não é uma data tentativa: é o prazo oficial. Um ponto crítico que vale destacar: a Hiperderecho, organização de referência em direito digital peruano, alertou que o maior risco não é o regulamento em si, mas a governança de dados. O regulamento está pronto; os dados, em muitos casos, não. Esse é o gargalo real para a maioria das instituições. Argentina: a norma mais técnica e detalhada da região, exigível desde 2023 A Argentina não tem lei de IA; há projetos no Congresso que seguem em discussão. Mas o que tem, desde setembro de 2023, é a Comunicação "A" 7724 do Banco Central, que é provavelmente o instrumento regulatório mais técnico e detalhado sobre IA no setor financeiro de toda a região. E está em vigor. Não é um projeto. Não é um guia de boas práticas. É uma norma exigível hoje. A Comunicação A 7724 obriga todas as instituições financeiras a: identificar e documentar cada uso de IA e machine learning, próprio ou de terceiros; fazer avaliações de impacto e definir apetites de risco específicos para cada sistema; analisar, no mínimo, os riscos sobre a privacidade dos usuários, a qualidade dos dados de treinamento e as possíveis discrepâncias entre o que o modelo prevê e a realidade; e implementar o esquema de três linhas de defesa para a gestão de riscos tecnológicos. Há um detalhe operacional que muitos bancos deixam passar: essas obrigações se aplicam também aos sistemas de IA contratados de terceiros. Se o agente conversacional é fornecido por um vendor externo, o banco precisa de cláusulas contratuais que garantam acesso à documentação técnica necessária para cumprir a norma. Não basta confiar que o fornecedor "tem isso resolvido". A isso se soma que a Província de Buenos Aires publicou em novembro de 2025 seu próprio marco de classificação por risco para sistemas de IA, baseado no AI Act europeu, acrescentando outra camada normativa para as entidades que operam ali. Nesse contexto, também analisamos como a IA generativa está mudando a banca na Argentina . O quadro comparativo: o que cada mercado exige hoje Os cinco denominadores comuns que nenhum projeto pode ignorar Apesar de suas diferenças, México, Colômbia, Peru e Argentina compartilham uma lógica regulatória: não se trata de frear a inovação. Trata-se de documentação, governança e rastreabilidade. Na prática, isso se traduz em cinco imperativos concretos: 1. Inventário de sistemas antes de implementar um novo. Soa básico, mas a maioria dos bancos não tem esse inventário atualizado. Sem saber quais sistemas de IA já estão rodando, é impossível fazer uma avaliação de impacto coerente, nem cumprir a Comunicação A 7724 na Argentina. 2. Avaliação de impacto antes do deploy, não depois. A análise de risco não pode ser uma etapa feita para fechar o projeto. Tem que acontecer antes de o agente chegar à produção. No Peru, é um requisito normativo explícito. Na Argentina e na Colômbia, é a diferença entre passar ou não em uma auditoria. 3. Supervisão humana desenhada de verdade. Não como um checkbox formal que não agrega valor. O regulador, especialmente a SFC colombiana, já sabe distinguir uma validação humana real de uma de papel. Se o agente toma decisões de alto impacto, tem que haver uma pessoa no loop com critério e responsabilidade documentada. 4. Comunicação transparente com o cliente. O usuário tem que saber que está falando com um agente de IA e tem que poder questionar uma decisão automatizada que o afete. Isso não é apenas uma boa prática: no Peru é uma obrigação legal. Na Colômbia e no México, é um risco de proteção ao consumidor ativo hoje. 5. Rastreabilidade das conversas. Cada interação do agente deve ser recuperável, auditável e explicável. Não só para o regulador: também para resolver disputas, detectar erros e melhorar o modelo com dados reais. A equação que muitas equipes de inovação têm invertida Há uma crença instalada em muitas equipes de inovação bancária: a de que esperar que "o regulador diga algo" é a opção mais segura. Mas quando o Peru já tem um regulamento em vigor, a Argentina tem uma comunicação técnica exigível desde 2023 e a Colômbia tem um supervisor que audita ativamente sem precisar de lei, essa equação se inverte. E não é homogênea entre mercados: o que no Brasil ainda está em processo legislativo, na Argentina já é auditável. O que no México é um guia de boas práticas, no Peru já tem um prazo hard. Os projetos que nascem com governança incorporada desde o design não só cumprem com o regulador: têm menos fricções internas, são aprovados mais rápido nos comitês de risco e jurídico, e geram mais confiança nas equipes que precisam dar o aval para escalar. Como resolvemos isso na Delto Na Delto, o compliance não é algo que adicionamos no fim do projeto. É parte da arquitetura desde o dia um. Nossa plataforma de IA conversacional para banca é desenhada para operar dentro dos marcos regulatórios de cada país onde nossos clientes têm presença. Isso significa governança de dados documentada, rastreabilidade de conversas nativa, capacidade de integrar validação humana nos fluxos de decisão e contratos com nossos clientes que lhes permitem cumprir as obrigações de supervisão sobre sistemas de terceiros, como exige a Comunicação A 7724 na Argentina. O detalhe completo está em segurança e compliance da plataforma . Não porque o regulador exige, embora exija, mas porque é a única forma de os projetos de IA conversacional na banca realmente escalarem na América Latina sem fricções nem surpresas. Se o seu banco está avaliando implementar IA conversacional e quer entender como navegar este mapa regulatório no seu mercado específico, podemos ajudar você a construir essa arquitetura desde o início.
Qual país da América Latina já tem um regulamento de IA em vigor para a banca? O Peru. O Decreto Supremo 115-2025-PCM aprovou o regulamento da Lei 31814 e está em vigor desde 22 de janeiro de 2026. Classifica a banca e o scoring de crédito como risco alto, com prazo para o setor financeiro em 10 de setembro de 2026.
O que a Comunicação A 7724 do Banco Central da Argentina exige? Em vigor desde setembro de 2023, obriga as instituições a identificar e documentar cada uso de IA (próprio ou de terceiros), fazer avaliações de impacto, definir apetites de risco e implementar o esquema de três linhas de defesa. Aplica-se também a sistemas de IA contratados de vendors externos.
Um banco pode esperar uma lei de IA antes de implementar um agente conversacional? Não é recomendável. O Peru já tem regulamento em vigor, a Argentina uma comunicação exigível desde 2023 e a Colômbia um supervisor (a SFC) que audita ativamente sem lei. Projetos construídos com governança, rastreabilidade e supervisão humana desde o design são aprovados mais rápido nos comitês de risco e jurídico.
Como a regulação de IA impacta KYC e prevenção à lavagem de dinheiro? Os processos de KYC e prevenção à lavagem de dinheiro que usam IA ficam sob as mesmas exigências de rastreabilidade, explicabilidade e supervisão humana dos demais sistemas. Na Colômbia, a SFC opera inclusive sua própria ferramenta de IA para detectar lavagem de dinheiro, sinal de que o regulador audita esses fluxos com critério técnico.
O que significa compliance by design em IA conversacional para bancos? Significa que a governança faz parte da arquitetura, e não algo adicionado no fim do projeto: governança de dados documentada, rastreabilidade nativa de cada conversa, validação humana integrada aos fluxos de decisão e contratos que cobrem as obrigações sobre sistemas de terceiros, como exige a Comunicação A 7724 na Argentina.