Coaf permite nuvem de terceiros, mas proíbe usar dados sigilosos para treinar IA

O Conselho de Controle de Atividades Financeiras (Coaf), órgão federal que recebe e analisa comunicações sobre operações suspeitas de lavagem de dinheiro, passou a permitir expressamente que suas informações institucionais sejam processadas em nuvem de terceiros. A mudança está na Portaria Coaf nº 51/2026, que instituiu uma nova Política de Segurança da Informação e Comunicações (Posic) e revogou a versão de 2021, segundo reportagem da Convergência Digital publicada em 9 de outubro de 2026.

A política anterior obrigava que o tratamento das informações institucionais ocorresse em "ambiente provido pelo órgão". A nova regra cria o conceito de "ambientes autorizados": podem ser próprios ou de terceiros, mas precisam passar por avaliação de risco e homologação formal do Coaf antes de receber qualquer dado não público.

A cláusula que interessa a quem contrata IA com dados sensíveis

A abertura para nuvem comercial vem com condições que não existiam na política de 2021. Quando o ambiente for de terceiro, a homologação vai exigir, proporcionalmente à criticidade da informação, garantias técnicas e contratuais de quatro pontos: confidencialidade, integridade, disponibilidade e segregação.

Duas exigências chamam atenção por mirar diretamente o uso de inteligência artificial:

• Não retenção dos dados depois que o processamento termina.
• Proibição de usar os dados para treinar ou aperfeiçoar modelos de IA do próprio fornecedor.

A política também passa a cobrar garantias de reversibilidade (poder tirar os dados do ambiente sem perda) e rastreabilidade (saber exatamente o que foi acessado e por quem). Nada disso aparecia com esse detalhamento na Posic anterior, que se concentrava em controles mais tradicionais como criptografia, controle de acesso e trilhas de auditoria.

Por que isso não é só problema do Coaf

O Coaf não processa dados sozinho: ele recebe comunicações de operações suspeitas enviadas por instituições financeiras e outras entidades obrigadas a reportar transações atípicas à autoridade.

A Portaria 51/2026 regula como o próprio Coaf trata esses dados depois de recebidos, não impõe diretamente regras às empresas que fazem a comunicação. Mas ela funciona como um sinal do que o regulador considera aceitável quando o assunto é informação financeira sigilosa em nuvem e em IA. Para quem decide política de uso de IA dentro de um escritório de contabilidade, um departamento jurídico ou uma área administrativa que lida com dados que podem virar comunicação ao Coaf, o modelo de cláusula virou referência prática.

O que ainda falta na regra

A reportagem da Convergência Digital identifica duas lacunas importantes na nova política.

A primeira é a localização dos dados. A Portaria não exige que o processamento ou armazenamento ocorra em território brasileiro. Isso significa que, isoladamente, a regra não exclui provedores estrangeiros como AWS, Microsoft ou Google: o controle passa a depender inteiramente da homologação do ambiente e das garantias contratuais negociadas, não de onde o servidor fica fisicamente.

A segunda é a transparência sobre o que já está em uso. O ato normativo não informa quais ambientes de terceiros o Coaf já utiliza nem quais foram ou serão homologados. Não é possível afirmar, pela Portaria, se serviços comerciais ou a infraestrutura pública do Serpro já estão autorizados a receber informações do Conselho.

O que levar para a próxima negociação de contrato

Para quem decide sobre fornecedor de nuvem ou de IA em uma área que lida com dados financeiros sigilosos (de cliente, de operação, de comunicação a órgão regulador), o desenho do Coaf oferece um roteiro de cláusulas que vale cobrar, mesmo fora do universo de quem reporta diretamente ao órgão:

1. Cláusula explícita de não retenção dos dados após o fim do processamento contratado.
2. Cláusula explícita de não uso dos dados para treinar ou aperfeiçoar modelos de IA do fornecedor, inclusive em versões futuras do produto.
3. Garantia de reversibilidade: poder extrair os dados e encerrar o serviço sem dependência técnica do fornecedor.
4. Garantia de rastreabilidade: logs de acesso e processamento auditáveis.
5. Proporcionalidade das exigências à criticidade da informação, para não tratar um dado público com o mesmo rigor de um dado sigiloso.

Vale verificar se o contrato de ferramentas de IA generativa já em uso, como assistentes corporativos de produtividade, oferece alguma versão dessas cláusulas em planos empresariais: isso varia conforme o plano contratado e exige leitura atenta dos termos de uso e do contrato de processamento de dados. A Portaria do Coaf não cria obrigação legal para empresas privadas, mas dá a quem assina esses contratos um parâmetro concreto do que um órgão de controle federal considera o mínimo aceitável quando o dado é sensível e a ferramenta é IA.

Fonte: Convergência Digital, "Coaf libera nuvem de terceiros e proíbe uso dos dados para treinar Inteligência Artificial", 9 de outubro de 2026 (https://convergenciadigital.com.br/governo/coaf-libera-nuvem-de-terceiros-e-proibe-uso-dos-dados-para-treinar-inteligencia-artificial/).

Fonte: Convergência Digital