Databricks em instituição financeira e a Resolução 4.893

Guilherme Matos • November 5, 2026

Quando um banco, uma cooperativa ou uma instituição de pagamento contrata um serviço relevante de processamento, armazenamento de dados ou computação em nuvem, a Resolução CMN 4.893/2021 pede que o Banco Central seja comunicado em até dez dias, e o contrato precisa indicar os países e as regiões onde os serviços podem ser prestados e os dados podem ser armazenados, processados e gerenciados. No Databricks, a resposta mais comum é a região do workspace, por exemplo São Paulo. Ela descreve onde o dado fica guardado. Para os recursos de IA, que a Databricks chama de serviços designados, a documentação garante o processamento dentro da área geográfica do workspace, e na Databricks na AWS o Brasil está na área Americas, junto com Estados Unidos e Canadá. Na Azure, a documentação informa que o processamento entre áreas vem habilitado por padrão fora de Estados Unidos e União Europeia. Uma consultoria Databricks fecha esse ponto antes da comunicação ao regulador, e não depois de uma pergunta da supervisão.


Por que o mapeamento de onde o dado vive costuma ficar incompleto


A contratação de uma plataforma de dados em nuvem costuma ser tratada como contratação de infraestrutura: escolhe-se o provedor, a região e o tamanho do ambiente. Nessa lógica, a pergunta sobre localização tem uma resposta só, a região escolhida. A plataforma de dados moderna, porém, é feita de várias camadas: armazenamento, computação clássica, computação serverless e serviços gerenciados de IA. Cada camada tem sua própria regra de localização, e a documentação de cada uma diz coisas diferentes.


O resultado é um formulário de contratação preenchido com a região do workspace e uma área de dados que, meses depois, ativa painéis com IA, o Genie ou as funções de IA para os analistas sem que ninguém revise a premissa original. Nada foi escondido e nada quebrou. A plataforma fez o que a documentação descreve, e o mapeamento enviado ao regulador deixou de refletir a operação.


A tese deste guia: em instituição financeira, a pergunta que a Resolução 4.893 faz sobre a nuvem é onde o dado pode ser processado, e no Databricks a fronteira dos recursos de IA é a área geográfica do workspace, que é maior que o país da região contratada. Contratar a região certa resolve o armazenamento. Manter o mapeamento verdadeiro exige registrar a área geográfica, decidir o processamento entre áreas e revisar a premissa sempre que um recurso de IA for habilitado.


O que a Resolução 4.893 pede na contratação de nuvem


Antes de contratar

A norma pede que a instituição adote procedimentos prévios proporcionais à relevância do serviço e verifique a capacidade do prestador em pontos como cumprimento da legislação, confidencialidade, integridade, disponibilidade e recuperação dos dados, e identificação e segregação dos dados dos clientes por controles físicos ou lógicos. A responsabilidade pela confiabilidade, integridade, disponibilidade, segurança e sigilo dos serviços continua sendo da instituição contratante (arts. 12 e 14).


Na comunicação e no contrato

Para serviços relevantes, a comunicação ao Banco Central deve ocorrer em até dez dias após a contratação, com a empresa contratada, os serviços e a indicação dos países e regiões de prestação e de tratamento dos dados no caso de contratação no exterior. Alterações contratuais que mudem essas informações também precisam ser comunicadas em dez dias (art. 15). Quando o serviço é prestado no exterior, a norma exige, entre outros pontos, convênio de troca de informações entre o Banco Central e as autoridades supervisoras dos países envolvidos. Na falta de convênio, a instituição precisa solicitar autorização do Banco Central com antecedência mínima de sessenta dias (art. 16). O contrato deve indicar os países e a região em cada país onde os serviços podem ser prestados, as medidas de segurança, a segregação dos dados, a exclusão dos dados ao fim do contrato e o acesso do Banco Central aos contratos (art. 17).

Na prática, a norma vira cinco perguntas que a área de dados precisa responder antes de o compliance assinar a comunicação ao Banco Central. Cada uma tem um lugar certo para conferir no Databricks.


1. Algum componente processa dado fora do país da região informada? É a pergunta dos países e regiões de prestação e tratamento (art. 15, § 1º, e art. 17, I). A resposta junta três informações: a região do workspace e do armazenamento, a área geográfica do workspace e a configuração de processamento entre áreas dos serviços designados.


2. Se houver processamento fora do Brasil, em quais países? Ela decide se entra a regra de prestação no exterior (art. 16), que pode exigir convênio entre supervisores ou autorização prévia. Quem responde é a tabela de áreas geográficas e a lista de serviços designados, na documentação de residência de dados da nuvem usada.


3. Quem acessa qual dado, inclusive modelos e agentes? Aqui a norma cobra segregação e controle de acesso (arts. 12 e 17). A evidência está nas permissões do Unity Catalog para pessoas, notebooks e modelos, com máscaras de coluna e filtros de linha.


4. Dá para mostrar quem acessou o quê e de onde veio cada dado? É o monitoramento que sustenta a verificação do prestador (art. 12). A prova sai da linhagem do Unity Catalog e dos registros de auditoria do ambiente.


5. A ativação de um recurso novo muda a resposta enviada? A alteração que muda o mapeamento informado precisa ser comunicada em dez dias (art. 15, § 3º). Nenhuma tela do Databricks responde a essa pergunta sozinha, então a verificação depende de um rito interno de revisão antes de habilitar qualquer serviço designado.


Onde o Databricks processa o dado dos recursos de IA


O que é um serviço designado

Serviços designados são os recursos do Databricks que seguem as áreas geográficas da plataforma para tratar a residência dos dados. A lista da documentação, atualizada em 26 de outubro de 2026, inclui as Foundation Model APIs, as funções de IA, o Knowledge Assistant e o Supervisor Agent, os avaliadores com LLM, o fine-tuning de modelos, o AI Runtime, o Genie em suas diferentes formas, os painéis AI/BI, os comentários e o autocompletar gerados por IA e a classificação de dados. Boa parte dessa lista faz parte do dia a dia dos analistas, além dos times de ciência de dados. A mesma página informa que, com o processamento entre áreas habilitado, o serviço pode processar o conteúdo em outras áreas, mas o dado não é armazenado fora da área do workspace.


Databricks na AWS: a área Americas

A página de residência de dados da Databricks na AWS, atualizada em 11 de setembro de 2026, informa que o conteúdo do cliente é processado somente na mesma área geográfica do workspace, exceto em alguns serviços designados quando o processamento entre áreas está habilitado. Na tabela de áreas da mesma página, o Brasil está na área Americas, ao lado dos Estados Unidos e do Canadá. Para a pergunta da 4.893, isso significa que a documentação garante a área geográfica, que inclui outros países além do Brasil: mesmo com o processamento entre áreas desativado, um serviço designado pode processar o dado de um workspace em São Paulo em outro país da área Americas. A página também diz que o processamento entre áreas vem habilitado por padrão em áreas fora dos Estados Unidos e da União Europeia sem perfil de segurança de conformidade, sem deixar explícito como essa regra se aplica à área Americas, que contém os Estados Unidos. A configuração precisa ser conferida no console de cada workspace.


Azure Databricks: o padrão fora de Estados Unidos e União Europeia


A versão da documentação para Azure Databricks, atualizada em 11 de setembro de 2026, remete às geografias do próprio Azure para a lista de regiões e traz a mesma regra: o processamento entre áreas vem habilitado por padrão para workspaces em áreas fora dos Estados Unidos e da União Europeia que não tenham perfil de segurança de conformidade. Para um workspace no Brasil, a premissa segura é tratar o processamento entre áreas como ligado até que alguém confira a configuração.


O que não muda: computação serverless


Os recursos da camada de computação serverless, como os SQL warehouses serverless, são oferecidos por região e, segundo a documentação, não processam dados fora da região selecionada. A pergunta da 4.893 fica concentrada nos serviços designados.


Como configurar


O administrador da conta controla a opção no console: em Workspaces, seleciona o workspace e abre a aba de segurança e conformidade, onde fica a configuração que exige o processamento dos serviços designados dentro da área geográfica do workspace. Desativar essa exigência libera o processamento fora da área. Manter a exigência pode deixar recursos de IA indisponíveis, porque a documentação aponta funções e modelos que só funcionam com o processamento entre áreas habilitado. Por isso a escolha precisa ser feita junto com compliance e riscos, antes da comunicação ao Banco Central, e registrada como parte do mapeamento.


Checklist antes da comunicação ao Banco Central


  1. Nuvem do workspace (AWS ou Azure) e região do armazenamento registradas
  2. Área geográfica do workspace e países que ela inclui registrados
  3. Processamento entre áreas para serviços designados: decidido e registrado
  4. Serviços designados em uso listados (Genie, AI/BI, funções de IA, classificação)
  5. Permissões e máscaras do Unity Catalog cobrindo pessoas, notebooks e modelos
  6. Rito de revisão antes de habilitar novo serviço designado


O mapeamento enviado ao regulador descreve a plataforma no dia da contratação. Cada serviço designado ativado depois pode mudar a resposta, e a norma pede comunicação em dez dias quando uma alteração contratual muda essas informações.


A camada regulatória, com a ressalva devida


Os dispositivos citados são da Resolução CMN 4.893/2021, aplicável às instituições financeiras e demais instituições autorizadas pelo Banco Central, alterada pela Resolução CMN 5.274, de 18 de dezembro de 2025, que, entre outros pontos, passou a tratar a comunicação de dados pela RSFN como serviço relevante (art. 22-B). Instituições de pagamento seguem a Resolução BCB 85/2021, com regras equivalentes, revisada no mesmo dia pela Resolução BCB 538/2025. A norma também permite que o Banco Central vete ou imponha restrições à contratação quando constatar descumprimento (art. 26).

Duas ressalvas. A primeira é que a relevância de cada serviço é avaliada pela própria instituição, e a necessidade de comunicação, de convênio ou de autorização prévia depende dessa avaliação e da leitura do compliance sobre o que conta como prestação no exterior. A segunda é que este texto descreve a documentação pública da Databricks na data indicada. Áreas geográficas, lista de serviços designados e padrões de configuração mudam, e a verificação precisa ser refeita na contratação e a cada mudança relevante, com o contrato e a documentação vigentes.


Quando esse rigor é desproporcional


•  Ambiente de dados sem dado de cliente nem dado sensível. Uma sandbox com dado público ou sintético pode não configurar serviço relevante. A avaliação continua sendo da instituição.

•  Uso de Databricks sem nenhum serviço designado habilitado. Se nenhum recurso da lista é usado, a área geográfica pesa menos, mas vale registrá-la para quando o primeiro for ativado.

•  Workspace com perfil de segurança de conformidade. Segundo a documentação, o padrão de processamento entre áreas não se aplica nesses workspaces. A fronteira dos serviços designados continua sendo a área geográfica, e o mapeamento precisa refleti-la.


Perguntas frequentes


O que a Resolução 4.893 exige para contratar serviços de nuvem?

Para serviços relevantes de processamento, armazenamento de dados e computação em nuvem, a Resolução CMN 4.893/2021 exige procedimentos prévios proporcionais à relevância, verificação da capacidade do prestador, comunicação ao Banco Central em até dez dias após a contratação e cláusulas contratuais sobre países e regiões de prestação, segurança, segregação, exclusão de dados e acesso do Banco Central. Para serviços prestados no exterior, exige convênio entre supervisores ou autorização prévia solicitada com sessenta dias de antecedência.


O Databricks processa dados fora do Brasil?

Pode processar, nos recursos de IA chamados serviços designados. Segundo a documentação da Databricks atualizada em setembro de 2026, esses serviços processam o dado dentro da área geográfica do workspace e, com o processamento entre áreas habilitado, também em outras áreas. Na Databricks na AWS, o Brasil está na área Americas, com Estados Unidos e Canadá. Na Azure, o processamento entre áreas vem habilitado por padrão fora de Estados Unidos e União Europeia. A computação serverless não processa dados fora da região selecionada, e o dado não é armazenado fora da área do workspace.


Como deixar o Databricks em conformidade com a Resolução 4.893?

Mapeando, antes da comunicação ao Banco Central, a nuvem, a região, a área geográfica do workspace, a decisão sobre processamento entre áreas e os serviços designados em uso; aplicando permissões, máscaras e filtros do Unity Catalog a pessoas, notebooks e modelos; usando linhagem e registros de auditoria como evidência; e criando um rito de revisão antes de habilitar novos recursos de IA. A interpretação para o caso concreto, inclusive sobre prestação no exterior, cabe ao compliance.


O que uma consultoria Databricks faz em instituição financeira?

Desenha e opera a plataforma de dados para que a resposta técnica coincida com a resposta enviada ao regulador: configuração de residência de dados, governança no Unity Catalog, segregação e controle de acesso para pessoas e agentes de IA, evidência de auditoria e rito de mudança. Ela não substitui compliance e jurídico na avaliação de relevância e na redação do contrato, e entrega a essas áreas o mapeamento técnico verificável de que precisam.


Próximo passo

Faça um teste de dez minutos: abra o console da conta Databricks, entre na aba de segurança e conformidade de cada workspace e veja se o processamento dos serviços designados está restrito à área geográfica. Depois confira quais países essa área inclui na nuvem que você usa e compare com o que foi informado na contratação. Se houver painéis AI/BI, Genie ou funções de IA em uso e o mapeamento disser apenas São Paulo, ele pode não refletir a operação. Solicite um mapeamento de conformidade do seu ambiente Databricks frente à 4.893 com a CSP Tech e receba a leitura do seu caso: onde o dado é processado hoje, quais recursos mudam essa resposta e o rito para mantê-la verdadeira.


Leituras relacionadas


Regulação e risco em instituições financeiras

•  Portfólio de projetos regulatórios no Jira: quando o prazo vem do Banco Central, e não do negócio

•  Agentes de IA não autorizados chegaram às contas bancárias dos EUA. Seus sistemas sabem quem está do outro lado?


Governança de dados na plataforma

•  “De onde veio esse número”? Rastreabilidade de dados para decisões mais confiáveis

•  MDM no Databricks: como construir gestão de dados mestres no Lakehouse (sem comprar mais uma plataforma)

•  Data lake ou pântano de dados: por que a IA não fracassa por falta de dado, e sim por não achar o dado certo


IA com controle

•  Por que 40% dos projetos de agentes de IA serão cancelados até 2027 (e o que a fundação de dados tem a ver com isso)

•  Governança de IA agêntica: como medir o que a maioria das empresas ainda não sabe medir


Autor: Guilherme Matos, estrategista de conteúdo e IA, certificado HubSpot, Google, Anthropic e Semrush. Revisão técnica por especialistas de dados da CSP Tech (parceira Databricks, Atlassian Gold Partner, Microsoft Gold Partner, participante do Anthropic Partner Network, 38 anos de mercado).




Fontes (oficiais, acesso nov/2026): Resolução CMN nº 4.893, de 26 de fevereiro de 2021, com as alterações da Resolução CMN nº 5.274, de 18 de dezembro de 2025, em texto consolidado (legisweb.com.br), quanto ao art. 12 (procedimentos prévios e verificação da capacidade do prestador), art. 14 (responsabilidade da instituição), art. 15, §§ 1º a 3º (comunicação em até dez dias, conteúdo e alterações), art. 16 (prestação no exterior, convênio e autorização prévia com antecedência mínima de sessenta dias), art. 17 (cláusulas contratuais), art. 22-B (comunicação pela RSFN como serviço relevante) e art. 26 (veto ou restrição). Resolução BCB nº 85, de 8 de abril de 2021, alterada pela Resolução BCB nº 538, de 18 de dezembro de 2025, conforme alerta da Baker McKenzie de dezembro de 2025 [VALIDAR no site do Banco Central: o texto consolidado do Legisweb identifica a norma de alteração como BCB 448]. Databricks Documentation, Databricks Geos: Data residency, versão AWS, atualizada em 11 de setembro de 2026 (docs.databricks.com/aws/en/resources/databricks-geos), quanto ao processamento na área geográfica do workspace, à tabela de áreas com o Brasil na área Americas, à exceção dos serviços designados, ao padrão de processamento entre áreas, à configuração no console e ao caráter regional da computação serverless. Databricks Documentation, Designated Services, atualizada em 26 de outubro de 2026 (docs.databricks.com/aws/en/resources/designated-services), quanto à lista de serviços designados, ao não armazenamento fora da área e aos recursos que exigem processamento entre áreas. Azure Databricks, Databricks Geos, atualizada em 11 de setembro de 2026 (learn.microsoft.com), quanto ao padrão de processamento entre áreas fora de Estados Unidos e União Europeia. Databricks Documentation quanto ao Unity Catalog (permissões, máscaras de coluna, filtros de linha e linhagem). A tese da área geográfica maior que o país da região, as cinco perguntas de verificação e o checklist são formulação editorial da CSP Tech. Este conteúdo trata de arquitetura, processo e governança técnica e não constitui aconselhamento jurídico ou regulatório. A interpretação das normas aplicáveis ao caso concreto cabe às áreas de compliance, riscos e jurídico da instituição.


Fale com a CSP Tech

.

Por Guilherme Matos • 4 de novembro de 2026
Só 19% dos bancos percebiam retorno da IA em 2025. Veja os cinco pontos que travam a escala, o que a regulação já exige e por que a resposta passa pela governança de dados.
Por Guilherme Matos • 3 de novembro de 2026
A CSP Tech participou do Inovatech Executive Summit 2026, realizado em 27 de outubro no WTC São Paulo, como patrocinadora do encontro. Às 9h50, no Plenário, Lúcio Matias, Head de IA da CSP Tech, apresentou a palestra “O orçamento de inovação está preso no legado”, sobre um problema que aparece em quase toda conversa com CIOs: uma parte relevante do orçamento de TI já tem destino antes de qualquer decisão, porque precisa manter funcionando o que já existe. A mensagem central foi que a IA generativa acelera tudo, inclusive o erro, quando não conhece o sistema em que vai mexer. Por isso, a ordem de uso importa: primeiro usar a IA para entender o legado, com evidência registrada, e só depois para alterá-lo com governança e custo sob controle. No mesmo dia, a CSP Tech recebeu lideranças de tecnologia em um Almoço Executivo. Um marco para a CSP Tech: levar o debate para quem decide o orçamento Em 38 anos de mercado, a CSP Tech acumulou projetos de desenvolvimento, modernização, dados e plataformas Atlassian e Microsoft em empresas onde o sistema mais crítico costuma ser também o mais antigo. Levar essa experiência ao palco de um encontro de lideranças de tecnologia tem um peso especial para a empresa, porque coloca a discussão técnica diante de quem aprova o orçamento e responde pelo resultado dele. O Inovatech Executive Summit 2026 se propôs a discutir o que 2027 vai exigir da liderança de tecnologia, com palestras, painéis e casos sobre alocação de capital, IA, agentes, segurança e orçamento. A palestra da CSP Tech entrou nessa agenda com um recorte prático: antes de discutir quanto investir em IA, vale descobrir quanto do orçamento já está comprometido e por quê. A CSP Tech agradece a presença de todas as lideranças que participaram do Almoço Executivo e das conversas ao longo do dia. Foram trocas francas sobre o que funciona e o que ainda trava a adoção de IA nas empresas, e boa parte do que está neste texto nasceu delas. Tese da CSP Tech: o orçamento fica preso no legado quando a empresa perde o entendimento do próprio sistema, porque toda decisão sobre ele passa a ser tomada sem evidência e com margem de segurança cara. A ordem de uso da IA decide se ela libera ou consome orçamento: primeiro reconstruir o entendimento do sistema, com registro auditável e sem alterar código; só então mudar o código, com o contexto certo, modelo escolhido por tarefa e custo medido por entrega. O que preocupa as lideranças de tecnologia presentes no Summit A lista de participantes do evento trazia uma pergunta aberta: quais têm sido os maiores desafios para tecnologia e inovação nos tempos atuais. A CSP Tech classificou as respostas por tema, de forma agregada e sem identificar pessoas ou empresas. Das 320 inscrições da lista, 289 tinham resposta válida. Cerca de 63% dos inscritos ocupavam cargos de C-level, vice-presidência, diretoria ou head, e cerca de 35% vinham de empresas com mais de 5.000 funcionários. Quase metade das respostas válidas (136, ou 47%) cita IA, seja na adoção, na escala, no uso de agentes ou na IA generativa. Governança, segurança, risco e regulação aparecem em 103 respostas (36%), e custo, ROI, investimento e valor gerado em 68 (24%). O cruzamento é o dado mais revelador: 62 respostas (21%) citam IA junto com governança ou segurança, e 36 (12%) citam IA junto com custo ou retorno. Como uma mesma resposta pode tocar mais de um tema, os percentuais não somam 100%, e por se tratar de uma classificação por palavras-chave sobre respostas abertas, o retrato vale para o público do evento e não tem valor estatístico para o mercado como um todo. Na prática, a IA raramente aparece sozinha nas respostas. Ela aparece amarrada a governança, a segurança e à pergunta sobre retorno. Algumas respostas, transcritas sem identificação, resumem o problema que a palestra tratou: “transformar a POC de IA em ambiente produtivo”, “manter a empresa atualizada tecnologicamente quando se tem múltiplos débitos técnicos” e “trazer tecnologias como IA para empresas com processos e sistemas muito antigos”. Em outras palavras, o que as lideranças perguntam é como fazer a IA funcionar sobre a base de sistemas que a empresa já tem, com controle e com retorno que possa ser demonstrado. Até 40% do orçamento com destino definido: o que esse número quer dizer A descrição oficial da palestra na agenda do evento parte da constatação de que até 40% do gasto de TI ainda vai para manter os sistemas existentes. Faixas próximas aparecem nas pesquisas da McKinsey com CIOs, com uma diferença de base que vale entender antes de usar o número em uma apresentação ao conselho. Em outubro de 2020, a McKinsey relatou que CIOs estimam a dívida técnica em 20% a 40% do valor de todo o seu parque tecnológico antes da depreciação, e que de 10% a 20% do orçamento de tecnologia destinado a novos produtos acaba desviado para resolver problemas ligados a essa dívida. Em abril de 2023, a consultoria voltou ao tema para argumentar que separar de 15% a 20% do orçamento de TI para tratar a dívida técnica é insuficiente quando a empresa não muda a forma como ela é gerada e priorizada. Os números medem coisas diferentes, valor do parque em um caso e orçamento no outro, mas apontam na mesma direção da palestra. A leitura prática para o gestor é que o número exato varia por empresa e por método de medição, mas o mecanismo é o mesmo: cada projeto novo paga um pedágio para conviver com o que já existe. O primeiro passo para reduzir esse pedágio é medi-lo no próprio parque, por sistema, em vez de importar uma média de mercado. [INSERIR DADO REAL: percentual do orçamento de sustentação no parque do cliente, levantado no diagnóstico.] Por que a IA sem contexto acelera o erro no legado Na síntese que a CSP Tech publicou sobre a palestra, a ideia aparece de forma direta: sem contexto, a IA ganha velocidade na direção errada, e o contexto da empresa mora no legado, raramente na documentação. Em sistemas antigos, a documentação costuma estar desatualizada ou não existir, quem construiu já saiu e as dependências entre módulos ficam invisíveis. O código passa a ser o único registro confiável das regras de negócio. Quando um time joga arquivos inteiros desse código em um assistente de IA e pede uma alteração, três coisas acontecem ao mesmo tempo. O modelo tenta inferir relações que não enxerga, e a entrega pode quebrar outra parte do sistema. O consumo de tokens cresce sem relação com o valor entregue, porque o modelo recebe muito texto irrelevante. E, sem registro, ninguém consegue reconstituir depois qual contexto foi usado, qual modelo respondeu e quanto custou. Cada um desses sintomas tem um efeito direto no orçamento e uma pergunta que o gestor pode fazer ao time ainda hoje. O contexto incompleto vira retrabalho e incidente depois da entrega, e a pergunta é se a IA recebeu as dependências reais do trecho alterado. O envio de arquivos inteiros faz a fatura de IA crescer sem relação com o resultado, o que leva a perguntar quanto custou cada entrega feita com IA em cada projeto. O uso de ferramentas sem aprovação, o chamado shadow AI, coloca risco de vazamento e custo fora do radar, e pede um inventário de quais ferramentas e modelos estão em uso e por quem. Por fim, a falta de trilha torna a auditoria cara e as decisões difíceis de defender, porque ninguém consegue mostrar a um auditor o que foi gerado e com qual base. Esse retrato conversa diretamente com o que as lideranças escreveram no formulário do evento. A preocupação com governança de IA e com retorno é a mesma preocupação vista de dois lados: sem controle do contexto e do custo, nenhuma das duas pode ser demonstrada. A ordem que a CSP Tech defendeu no palco: entender antes de alterar A abordagem apresentada por Lúcio Matias organiza o uso da IA sobre o legado em uma sequência. Cada etapa entrega valor por si e prepara a seguinte, então a empresa decide até onde ir. 1. Reconstruir o conhecimento do sistema, sem alterar o código O ponto de partida é uma engenharia reversa assistida por IA. Em vez de tratar o código como texto, a análise lê a estrutura real dele (funções, classes, chamadas e dependências, extraídas da árvore sintática do código) e monta um mapa de relações. Sobre esse mapa, a IA ajuda a documentar fluxos, regras de negócio, riscos e dívida técnica. Nada é alterado no sistema nessa etapa, o que reduz o risco e permite começar mesmo em ambientes críticos. 2. Decidir com evidência entre manter, evoluir, modernizar ou reescrever Com o sistema mapeado, a decisão que costuma ser adiada por falta de dados passa a ter base, e cada caminho tem um momento em que faz sentido e um risco que precisa ser conhecido antes da escolha. Manter faz sentido quando o sistema é estável, muda pouco e o custo de sustentação está medido e aceito pela empresa, com o cuidado de acompanhar a obsolescência da tecnologia e a saída de quem ainda conhece o sistema. Evoluir é o caminho quando o negócio pede mudanças frequentes e o núcleo do sistema ainda atende, desde que cada alteração parta de um mapa de dependências, para não quebrar outra parte. Modernizar se justifica quando a plataforma limita escala, segurança ou integração, mas as regras de negócio continuam valendo, e o risco principal está em perder alguma dessas regras na migração se não houver rastreabilidade do sistema antigo para o novo. Reescrever só se sustenta quando a arquitetura impede o que o negócio precisa e as regras já estão documentadas, porque reescrever sem conhecer o que o sistema guarda costuma repetir o problema em uma tecnologia nova. 3. Executar com IA governada Quando chega a hora de alterar o código, a IA recebe apenas o recorte do mapa relevante para a tarefa, e não o sistema inteiro. O modelo é escolhido conforme a complexidade da tarefa e o orçamento definido, o resultado é validado contra critérios de aceite antes de entrar no código e cada chamada deixa um registro. O desenvolvedor continua na ferramenta que já usa; o controle fica na camada por trás dela. Esse registro funciona como a memória da operação. Para cada uso da IA, ele guarda em qual projeto e em qual tarefa ela foi acionada, quais partes do sistema entraram no contexto, qual modelo respondeu e por qual política foi escolhido, quantos tokens foram enviados, quanto aquilo custou, se o resultado passou nos critérios de aceite e quem foi o responsável. Com essas informações, a pergunta sobre quanto custou uma entrega feita com IA deixa de depender de estimativa. 4. Medir quanto do custo de sustentar virou capacidade de investir O fechamento da palestra foi sobre orçamento: o objetivo da sequência é transformar o custo de sustentar em capacidade de investir em inovação. Isso só pode ser demonstrado com medição antes e depois, por sistema, considerando horas de sustentação, incidentes, tempo de entrega e gasto com IA por entrega. Sem a linha de base levantada na primeira etapa, qualquer ganho vira estimativa. O que fica para o gestor de TI: antes de definir quanto investir em IA em 2027, vale definir em que ordem usá-la. Começar pelo entendimento do legado cria a evidência que falta para decidir e a linha de base que falta para provar retorno. A camada de governança, com a ressalva devida A preocupação com governança que apareceu nas respostas das lideranças tem referência formal. A norma ISO/IEC 42001, publicada em dezembro de 2023, estabelece requisitos para um sistema de gestão de inteligência artificial, com foco em uso responsável, gestão de riscos e transparência. Registrar contexto, modelo, custo e validação de cada uso de IA no desenvolvimento ajuda a gerar evidências para esse tipo de sistema de gestão e para auditorias de segurança da informação. Registrar evidência, porém, não equivale a estar em conformidade: a adequação a qualquer norma depende de escopo, processo e avaliação próprios, e não decorre do uso de uma ferramenta ou de um método. Quando essa abordagem é desproporcional Há cenários em que essa sequência custa mais do que resolve. Em um sistema pequeno, bem documentado e mantido por um time que o conhece, com dependências claras e mudanças raras, um mapeamento completo tende a ser desproporcional. Quando o sistema já tem data de desligamento definida e a substituição está contratada e próxima, o esforço rende mais se for para a migração dos dados e das regras críticas. E, se o uso de IA ainda é pontual e não toca código sensível, uma política clara de ferramentas permitidas e um inventário de uso resolvem a maior parte do risco antes de qualquer camada de controle. Perguntas frequentes O que foi o Inovatech Executive Summit 2026? Um encontro de lideranças de tecnologia e inovação realizado em 27 de outubro de 2026, no WTC São Paulo, com o tema do que 2027 vai exigir da liderança de tecnologia. A agenda reuniu palestras, painéis e casos sobre alocação de capital, IA, agentes, segurança e orçamento. Qual foi a participação da CSP Tech no Inovatech 2026? A CSP Tech foi patrocinadora do evento. Lúcio Matias, Head de IA da CSP Tech, apresentou às 9h50 a palestra “O orçamento de inovação está preso no legado”, sobre como usar a IA para entender sistemas legados antes de alterá-los e transformar custo de sustentação em capacidade de investir. A CSP Tech também recebeu lideranças de tecnologia em um Almoço Executivo durante o Summit. Por que a IA sem contexto aumenta o custo de manter sistemas legados? Porque o modelo não conhece as relações reais entre as partes de um sistema legado, que raramente estão documentadas. Ele infere essas relações, o que gera entregas que quebram outras partes e retrabalho. Enviar arquivos inteiros ao modelo também eleva o consumo de tokens sem ganho proporcional, e a falta de registro impede saber depois o que foi feito e quanto custou. Como começar a liberar orçamento preso no legado? Medindo antes de mudar. O primeiro passo é mapear o sistema e o custo de sustentação dele, sem alterar código, para ter evidência sobre dependências, riscos e dívida técnica. Com esse diagnóstico, a empresa decide entre manter, evoluir, modernizar ou reescrever, e passa a ter uma linha de base para provar o retorno de cada mudança, inclusive das feitas com IA. Próximo passo Faça um teste de dez minutos com o seu sistema mais crítico: quem hoje consegue explicar as regras de negócio dele sem abrir o código, quanto custou a sustentação dele no último ano e quanto do gasto com IA do time foi usado nele, com que contexto. Se alguma dessas respostas depende de uma pessoa ou de uma estimativa, o orçamento de 2027 desse sistema já está comprometido sem evidência. Receba um diagnóstico de legado da CSP Tech: um mapa do sistema, dos riscos e da dívida técnica, sem alteração no código, com a recomendação fundamentada entre manter, evoluir, modernizar ou reescrever. CSP Tech. Conectando pessoas, tecnologia e negócios. Autor: Guilherme Matos, estrategista de conteúdo e IA, certificado HubSpot, Google, Anthropic e Semrush. Revisão técnica por especialistas Atlassian e de dados da CSP Tech (Atlassian Gold Partner, parceira Databricks, Microsoft Gold Partner, participante do Anthropic Partner Network, 38 anos de mercado, produto próprio Power BI for Jira no Atlassian Marketplace). [INSERIR DADO REAL: nome e certificação do revisor].
segurança do Rovo MCP; permissões do servidor MCP da Atlassian;
Por Romildo Burguez • 27 de outubro de 2026
Agentes de IA já escrevem no Jira. Veja os controles de segurança do Rovo MCP que o administrador precisa revisar antes de liberar a escrita.
agentes de IA não autorizados; como identificar agentes de IA em sistemas corporativos?
Por Romildo Burguez • 26 de outubro de 2026
Bancos dos EUA detectaram agentes de IA não autorizados em contas de clientes. Entenda o que o caso revela sobre identidade, permissões e controle.
Por Guilherme Matos • 26 de outubro de 2026
Circuit breaker na B3: o que a interrupção de 26 de outubro exige da TI de bancos, corretoras e instituições de pagamento
governança de agentes de IA; Agentic Multiplayer Protocol; o que é o AMP da Atlassian?
Por Romildo Burguez • 23 de outubro de 2026
Sua equipe usa IA, mas o ganho não chega ao time. Veja o que a Atlassian anunciou no Team ’26 Europe sobre governança de agentes de IA e saiba como aplicar
empresa de intranet / intranet para bancos / intranet sharepoint instituição financeira
Por Guilherme Matos • 23 de outubro de 2026
Em instituição financeira, a intranet guarda normativos, recebe acesso de agências e de fora da rede e, com o Copilot, passa a alimentar respostas de IA. Veja os três caminhos para contratar uma intranet, os critérios que pesam no setor e a limitação honesta de cada um.
risco de sistemas legados; ataque hacker supermercados França; sistemas em fim de vida
Por Romildo Burguez • 22 de outubro de 2026
O ataque a supermercados na França expôs o risco de sistemas legados conectados. Entenda o que deu errado e veja como evitar o mesmo na sua operação
portfólio de projetos regulatórios / jira para instituições financeiras · consultoria jira
Por Guilherme Matos • 21 de outubro de 2026
Em banco, cooperativa e instituição de pagamento, parte do portfólio tem data definida pelo regulador. Veja por que esses projetos costumam perder espaço na priorização por valor e como estruturar no Jira a trilha da norma até a evidência e a validação de conformidade.