O Banco Central Europeu deu aos bancos da zona do euro até 31 de outubro de 2026 para apresentarem planos específicos de proteção contra ataques cibernéticos com IA. A medida adota uma abordagem mais direta do que as posições anunciadas pelo Banco da Inglaterra e pelo Federal Reserve dos Estados Unidos.
Em uma carta enviada aos executivos das instituições, a presidente do Conselho de Supervisão do BCE, Claudia Buch, destacou os possíveis impactos dos modelos avançados de inteligência artificial sobre a confidencialidade, a integridade e a disponibilidade dos sistemas bancários.
Além disso, o regulador pediu que as instituições priorizem tecnologias expostas à internet, acelerem a correção de vulnerabilidades e reforcem o monitoramento de componentes internos e de terceiros. O BCE também pretende avaliar os planos enviados para identificar dificuldades comuns e oportunidades de melhoria no sistema financeiro europeu.
O que o BCE exige dos bancos europeus
O BCE quer que cada banco avalie como os novos recursos de inteligência artificial podem mudar sua exposição a ameaças digitais.
Por isso, as instituições deverão preparar medidas para proteger sites, aplicativos, sistemas de autenticação, APIs, serviços em nuvem e outras tecnologias acessíveis pela internet. Esses pontos costumam receber as primeiras tentativas de exploração porque se comunicam diretamente com usuários, parceiros e sistemas externos.
O regulador também destacou os riscos associados a softwares de terceiros e componentes de código aberto. Afinal, os bancos não operam apenas tecnologias desenvolvidas internamente. Eles dependem de provedores de nuvem, plataformas de pagamento, sistemas antifraude, bibliotecas, fornecedores de identidade e diversas integrações.
Consequentemente, uma vulnerabilidade em um serviço compartilhado pode afetar várias instituições ao mesmo tempo. O próprio BCE já colocou a gestão de terceiros, a modernização tecnológica e a resiliência digital entre suas prioridades de supervisão.
Além disso, os bancos precisarão mostrar como pretendem melhorar a gestão de crises, a recuperação dos sistemas e a troca de informações sobre incidentes.
Como a IA amplia os riscos cibernéticos
A inteligência artificial não cria todos os ataques do zero. No entanto, ela pode aumentar a velocidade, a escala e a sofisticação de ações que os criminosos já realizam.
Um modelo avançado pode ajudar a analisar códigos, localizar falhas, produzir mensagens de phishing mais convincentes e adaptar tentativas de invasão para diferentes alvos. Além disso, agentes de IA podem automatizar etapas que antes exigiam trabalho manual de especialistas.
O Conselho Europeu de Risco Sistêmico alertou que modelos de fronteira com capacidades cibernéticas estão alterando a estrutura das ameaças ao setor financeiro. Segundo o órgão, essas tecnologias podem ampliar tanto as capacidades ofensivas quanto as defensivas. Contudo, o avanço também cria um aumento estrutural do risco sistêmico para o qual ainda não existe uma solução completa.
Por outro lado, bancos também podem usar IA para identificar comportamentos suspeitos, analisar grandes volumes de logs e descobrir vulnerabilidades antes dos invasores.
Assim, o desafio não consiste apenas em bloquear a tecnologia. As instituições precisam compreender quem usa os modelos, quais sistemas eles acessam e como as equipes validam suas decisões.
Ataques cibernéticos com IA podem gerar risco sistêmico
Um incidente isolado pode interromper uma aplicação bancária. Entretanto, um ataque coordenado contra serviços compartilhados pode alcançar pagamentos, liquidações, transferências e outras operações essenciais.
O Conselho Europeu de Risco Sistêmico considera que os ataques cibernéticos com IA podem comprometer a confiança nas instituições financeiras. Em cenários mais graves, uma sequência de interrupções e campanhas de desinformação poderia estimular saques, transferências em massa ou perda de confiança em empresas e países considerados menos protegidos.
Esse risco aumenta porque o setor financeiro concentra operações em um grupo relativamente pequeno de fornecedores tecnológicos. Muitos bancos utilizam as mesmas plataformas de nuvem, bibliotecas, redes de pagamento e sistemas de comunicação.
Portanto, uma falha em um componente comum pode se espalhar rapidamente. O problema deixa de atingir apenas uma organização e passa a afetar o funcionamento de uma parte maior do mercado.
O órgão europeu também chamou atenção para a concentração dos principais fornecedores de inteligência artificial fora da União Europeia. Segundo o alerta, essa dependência pode criar riscos estratégicos e geopolíticos adicionais.
Europa, Reino Unido e Estados Unidos adotam caminhos diferentes
Embora os principais reguladores reconheçam os riscos da IA, eles não escolheram a mesma forma de supervisão.
O Banco Central Europeu estabeleceu um prazo público e pediu planos formais. Dessa maneira, os supervisores poderão comparar a preparação das instituições e cobrar ações mais específicas.
Já o Banco da Inglaterra prefere uma abordagem baseada em cooperação e troca de informações com o setor. Ainda assim, representantes do banco britânico também reconhecem que a IA pode fortalecer invasores e defensores, além de ampliar vulnerabilidades relacionadas a fornecedores e dependências tecnológicas.
Nos Estados Unidos, o Federal Reserve defende controles proporcionais ao risco. A vice-presidente de supervisão, Michelle Bowman, afirmou que usos de menor risco devem receber uma abordagem regulatória mais leve. Ao mesmo tempo, ela destacou a necessidade de governança, controles internos e práticas responsáveis para adoção da IA.
Portanto, a diferença não está no reconhecimento do problema, mas no nível de intervenção. A Europa tende a exigir medidas e prazos, enquanto Estados Unidos e Reino Unido demonstram maior preocupação em não limitar usos considerados menos arriscados.
APIs e integrações entram no centro da segurança bancária
Os bancos conectam aplicativos, sistemas internos, fintechs, plataformas de pagamento e serviços de verificação por meio de APIs. Por isso, essas interfaces representam uma parte essencial da resiliência operacional.
Um ataque pode explorar autenticação inadequada, credenciais expostas, permissões excessivas ou endpoints desatualizados. Além disso, agentes automatizados podem testar grandes quantidades de requisições em busca de falhas de validação e controle de acesso.
Diante dos ataques cibernéticos com IA, os bancos precisam ampliar a visibilidade sobre essas integrações. Isso inclui identificar quais sistemas consomem cada API, limitar permissões, aplicar controles de volume e registrar atividades suspeitas.
Também é importante revisar webhooks, conexões com fornecedores e fluxos automatizados. Uma integração legítima, mas comprometida, pode transmitir comandos ou informações entre diferentes ambientes sem levantar alertas imediatos.
Consequentemente, segurança de APIs deixa de ser apenas uma tarefa da equipe de desenvolvimento. Ela passa a integrar as estratégias de continuidade, prevenção a fraudes e gestão de riscos.
Sistemas antigos continuam como ponto de atenção
O BCE também pediu que os bancos modernizem tecnologias antigas. Esse tema continua relevante porque muitas instituições ainda mantêm sistemas essenciais desenvolvidos há décadas.
Esses ambientes podem funcionar de forma estável, mas costumam apresentar limitações para monitoramento, atualização e integração com ferramentas modernas de segurança.
Além disso, uma aplicação antiga nem sempre oferece registros detalhados sobre acessos e alterações. Assim, mesmo quando o banco identifica um incidente, a equipe pode enfrentar dificuldades para reconstruir o caminho do invasor.
A modernização, porém, não significa substituir todos os sistemas de uma só vez. Os bancos podem criar camadas de proteção, isolar serviços críticos e modernizar gradualmente as interfaces que conectam plataformas antigas a canais digitais.
Bancos precisam preparar defesa e recuperação
Os ataques cibernéticos com IA reforçam uma realidade: nenhuma instituição consegue garantir que todos os incidentes serão bloqueados.
Por isso, o plano exigido pelo BCE precisa combinar prevenção, detecção, resposta e recuperação. O banco deve saber quais serviços priorizar, quem toma decisões durante uma crise e como manter operações essenciais.
Além disso, precisa testar a restauração dos sistemas, e não apenas manter cópias de segurança. Uma recuperação lenta pode gerar consequências semelhantes às de um ataque bem-sucedido.
Ao estabelecer o prazo de 31 de outubro, o BCE mostra que já considera a inteligência artificial uma questão concreta de supervisão bancária, e não apenas um risco futuro.
Proteja suas integrações com mais controle
Sistemas financeiros e operações digitais dependem de integrações seguras, monitoradas e preparadas para falhas.
A APIBrasil ajuda empresas a conectar aplicações, automatizar processos e estruturar fluxos de dados com mais visibilidade e confiabilidade.
Conheça as soluções da APIBrasil e fortaleça as integrações que sustentam a operação da sua empresa.
