Contratar IA de terceiro em banco ou cooperativa: o que a Resolução CMN 4.893 exige do contrato?

Se a IA é contratada como serviço pela internet e é relevante, valem as regras de nuvem da Resolução CMN 4.893. O contrato deve prever países e regiões dos dados, transferência e exclusão no fim e acesso do Banco Central, entre outros pontos (art. 17). A instituição continua responsável pelo serviço (art. 14).

Quando a IA entra na norma

A CMN 4.893 vale para bancos, cooperativas de crédito e demais instituições autorizadas pelo Banco Central, com as exceções do art. 1º. Ela define nuvem como serviço sob demanda, incluindo rodar pela internet aplicativos do próprio prestador (art. 13, III).

Um agente ou modelo de IA usado via internet tende a se encaixar nessa definição. Os requisitos de contratação valem para serviços relevantes, avaliados pela criticidade e pela sensibilidade dos dados (art. 12, §1º).

A responsabilidade não se terceiriza

A instituição responde pela confiabilidade, integridade, disponibilidade, segurança e sigilo do serviço contratado, e pelo cumprimento da regulação (art. 14). Contratar um fornecedor não transfere esse dever.

Antes de assinar, ela deve verificar a capacidade do prestador (art. 12, II). Isso inclui acesso aos dados, certificações, relatórios de auditoria independente, segregação dos dados e qualidade dos controles de acesso.

O que o contrato precisa prever

O art. 17 exige indicar países e regiões onde o serviço é prestado e os dados ficam. Pede segurança na transmissão e no armazenamento, além de segregação e controle de acesso durante o contrato.

No fim do contrato, os dados vão para o novo prestador ou para a instituição e só depois são excluídos. A instituição deve ter acesso a certificações, relatórios de auditoria e informações de monitoramento.

O prestador deve avisar sobre subcontratação e sobre limitações que afetem o serviço. O Banco Central precisa ter acesso a contratos, dados, cópias de segurança e códigos de acesso. Há ainda cláusulas para o caso de regime de resolução.

Comunicação ao BC e serviço no exterior

A contratação deve ser comunicada ao Banco Central em até dez dias (art. 15). Para serviço no exterior, é preciso convênio de troca de informações entre o BC e o supervisor do país (art. 16).

Sem convênio, a instituição pede autorização ao BC com pelo menos 60 dias de antecedência. Ela também deve assegurar que a lei local não restrinja o acesso dela e do BC aos dados.

O que mudou com a CMN 5.274

A Resolução CMN 5.274, de 18/12/2025, reforçou a segurança cibernética, com testes de intrusão ao menos anuais e regras para Pix e STR. O prazo de adequação foi 01/03/2026, e os arts. 14 e 17 não mudaram.

Instituições de pagamento seguem norma própria do BC sobre o tema: a Resolução BCB 85/2021, alterada pela BCB 538/2025.

Na prática

• Classifique cada serviço de IA por criticidade e sensibilidade dos dados, e documente a decisão.
• Use os incisos do art. 17 e seu parágrafo único como checklist de toda minuta.
• Peça ao fornecedor a lista de subcontratados, inclusive o provedor do modelo, e os países onde cada um trata dados.
• Comunique a contratação ao Banco Central em até dez dias e guarde o comprovante.
• Para serviço no exterior, confirme o convênio do BC com o supervisor do país antes de assinar.

Perguntas rápidas

Fontes

• Resolução CMN nº 4.893/2021 — Banco Central do Brasil
• Resolução CMN nº 5.274/2025 — Banco Central do Brasil
• Resolução BCB nº 85/2021 — Banco Central do Brasil

Este texto é informativo e não substitui orientação jurídica. Revisado em 15/10/2026.