Databricks em instituição financeira e a Resolução 4.893
Quando um banco, uma cooperativa ou uma instituição de pagamento contrata um serviço relevante de processamento, armazenamento de dados ou computação em nuvem, a Resolução CMN 4.893/2021 pede que o Banco Central seja comunicado em até dez dias, e o contrato precisa indicar os países e as regiões onde os serviços podem ser prestados e os dados podem ser armazenados, processados e gerenciados. No Databricks, a resposta mais comum é a região do workspace, por exemplo São Paulo. Ela descreve onde o dado fica guardado. Para os recursos de IA, que a Databricks chama de serviços designados, a documentação garante o processamento dentro da área geográfica do workspace, e na Databricks na AWS o Brasil está na área Americas, junto com Estados Unidos e Canadá. Na Azure, a documentação informa que o processamento entre áreas vem habilitado por padrão fora de Estados Unidos e União Europeia. Uma consultoria Databricks fecha esse ponto antes da comunicação ao regulador, e não depois de uma pergunta da supervisão.
Por que o mapeamento de onde o dado vive costuma ficar incompleto
A contratação de uma plataforma de dados em nuvem costuma ser tratada como contratação de infraestrutura: escolhe-se o provedor, a região e o tamanho do ambiente. Nessa lógica, a pergunta sobre localização tem uma resposta só, a região escolhida. A plataforma de dados moderna, porém, é feita de várias camadas: armazenamento, computação clássica, computação serverless e serviços gerenciados de IA. Cada camada tem sua própria regra de localização, e a documentação de cada uma diz coisas diferentes.
O resultado é um formulário de contratação preenchido com a região do workspace e uma área de dados que, meses depois, ativa painéis com IA, o Genie ou as funções de IA para os analistas sem que ninguém revise a premissa original. Nada foi escondido e nada quebrou. A plataforma fez o que a documentação descreve, e o mapeamento enviado ao regulador deixou de refletir a operação.
A tese deste guia: em instituição financeira, a pergunta que a Resolução 4.893 faz sobre a nuvem é onde o dado pode ser processado, e no Databricks a fronteira dos recursos de IA é a área geográfica do workspace, que é maior que o país da região contratada. Contratar a região certa resolve o armazenamento. Manter o mapeamento verdadeiro exige registrar a área geográfica, decidir o processamento entre áreas e revisar a premissa sempre que um recurso de IA for habilitado.
O que a Resolução 4.893 pede na contratação de nuvem
Antes de contratar
A norma pede que a instituição adote procedimentos prévios proporcionais à relevância do serviço e verifique a capacidade do prestador em pontos como cumprimento da legislação, confidencialidade, integridade, disponibilidade e recuperação dos dados, e identificação e segregação dos dados dos clientes por controles físicos ou lógicos. A responsabilidade pela confiabilidade, integridade, disponibilidade, segurança e sigilo dos serviços continua sendo da instituição contratante (arts. 12 e 14).
Na comunicação e no contrato
Para serviços relevantes, a comunicação ao Banco Central deve ocorrer em até dez dias após a contratação, com a empresa contratada, os serviços e a indicação dos países e regiões de prestação e de tratamento dos dados no caso de contratação no exterior. Alterações contratuais que mudem essas informações também precisam ser comunicadas em dez dias (art. 15). Quando o serviço é prestado no exterior, a norma exige, entre outros pontos, convênio de troca de informações entre o Banco Central e as autoridades supervisoras dos países envolvidos. Na falta de convênio, a instituição precisa solicitar autorização do Banco Central com antecedência mínima de sessenta dias (art. 16). O contrato deve indicar os países e a região em cada país onde os serviços podem ser prestados, as medidas de segurança, a segregação dos dados, a exclusão dos dados ao fim do contrato e o acesso do Banco Central aos contratos (art. 17).
Na prática, a norma vira cinco perguntas que a área de dados precisa responder antes de o compliance assinar a comunicação ao Banco Central. Cada uma tem um lugar certo para conferir no Databricks.
1. Algum componente processa dado fora do país da região informada? É a pergunta dos países e regiões de prestação e tratamento (art. 15, § 1º, e art. 17, I). A resposta junta três informações: a região do workspace e do armazenamento, a área geográfica do workspace e a configuração de processamento entre áreas dos serviços designados.
2. Se houver processamento fora do Brasil, em quais países? Ela decide se entra a regra de prestação no exterior (art. 16), que pode exigir convênio entre supervisores ou autorização prévia. Quem responde é a tabela de áreas geográficas e a lista de serviços designados, na documentação de residência de dados da nuvem usada.
3. Quem acessa qual dado, inclusive modelos e agentes? Aqui a norma cobra segregação e controle de acesso (arts. 12 e 17). A evidência está nas permissões do Unity Catalog para pessoas, notebooks e modelos, com máscaras de coluna e filtros de linha.
4. Dá para mostrar quem acessou o quê e de onde veio cada dado? É o monitoramento que sustenta a verificação do prestador (art. 12). A prova sai da linhagem do Unity Catalog e dos registros de auditoria do ambiente.
5. A ativação de um recurso novo muda a resposta enviada? A alteração que muda o mapeamento informado precisa ser comunicada em dez dias (art. 15, § 3º). Nenhuma tela do Databricks responde a essa pergunta sozinha, então a verificação depende de um rito interno de revisão antes de habilitar qualquer serviço designado.
Onde o Databricks processa o dado dos recursos de IA
O que é um serviço designado
Serviços designados são os recursos do Databricks que seguem as áreas geográficas da plataforma para tratar a residência dos dados. A lista da documentação, atualizada em 26 de outubro de 2026, inclui as Foundation Model APIs, as funções de IA, o Knowledge Assistant e o Supervisor Agent, os avaliadores com LLM, o fine-tuning de modelos, o AI Runtime, o Genie em suas diferentes formas, os painéis AI/BI, os comentários e o autocompletar gerados por IA e a classificação de dados. Boa parte dessa lista faz parte do dia a dia dos analistas, além dos times de ciência de dados. A mesma página informa que, com o processamento entre áreas habilitado, o serviço pode processar o conteúdo em outras áreas, mas o dado não é armazenado fora da área do workspace.
Databricks na AWS: a área Americas
A página de residência de dados da Databricks na AWS, atualizada em 11 de setembro de 2026, informa que o conteúdo do cliente é processado somente na mesma área geográfica do workspace, exceto em alguns serviços designados quando o processamento entre áreas está habilitado. Na tabela de áreas da mesma página, o Brasil está na área Americas, ao lado dos Estados Unidos e do Canadá. Para a pergunta da 4.893, isso significa que a documentação garante a área geográfica, que inclui outros países além do Brasil: mesmo com o processamento entre áreas desativado, um serviço designado pode processar o dado de um workspace em São Paulo em outro país da área Americas. A página também diz que o processamento entre áreas vem habilitado por padrão em áreas fora dos Estados Unidos e da União Europeia sem perfil de segurança de conformidade, sem deixar explícito como essa regra se aplica à área Americas, que contém os Estados Unidos. A configuração precisa ser conferida no console de cada workspace.
Azure Databricks: o padrão fora de Estados Unidos e União Europeia
A versão da documentação para Azure Databricks, atualizada em 11 de setembro de 2026, remete às geografias do próprio Azure para a lista de regiões e traz a mesma regra: o processamento entre áreas vem habilitado por padrão para workspaces em áreas fora dos Estados Unidos e da União Europeia que não tenham perfil de segurança de conformidade. Para um workspace no Brasil, a premissa segura é tratar o processamento entre áreas como ligado até que alguém confira a configuração.
O que não muda: computação serverless
Os recursos da camada de computação serverless, como os SQL warehouses serverless, são oferecidos por região e, segundo a documentação, não processam dados fora da região selecionada. A pergunta da 4.893 fica concentrada nos serviços designados.
Como configurar
O administrador da conta controla a opção no console: em Workspaces, seleciona o workspace e abre a aba de segurança e conformidade, onde fica a configuração que exige o processamento dos serviços designados dentro da área geográfica do workspace. Desativar essa exigência libera o processamento fora da área. Manter a exigência pode deixar recursos de IA indisponíveis, porque a documentação aponta funções e modelos que só funcionam com o processamento entre áreas habilitado. Por isso a escolha precisa ser feita junto com compliance e riscos, antes da comunicação ao Banco Central, e registrada como parte do mapeamento.
Checklist antes da comunicação ao Banco Central
- Nuvem do workspace (AWS ou Azure) e região do armazenamento registradas
- Área geográfica do workspace e países que ela inclui registrados
- Processamento entre áreas para serviços designados: decidido e registrado
- Serviços designados em uso listados (Genie, AI/BI, funções de IA, classificação)
- Permissões e máscaras do Unity Catalog cobrindo pessoas, notebooks e modelos
- Rito de revisão antes de habilitar novo serviço designado
O mapeamento enviado ao regulador descreve a plataforma no dia da contratação. Cada serviço designado ativado depois pode mudar a resposta, e a norma pede comunicação em dez dias quando uma alteração contratual muda essas informações.
A camada regulatória, com a ressalva devida
Os dispositivos citados são da Resolução CMN 4.893/2021, aplicável às instituições financeiras e demais instituições autorizadas pelo Banco Central, alterada pela Resolução CMN 5.274, de 18 de dezembro de 2025, que, entre outros pontos, passou a tratar a comunicação de dados pela RSFN como serviço relevante (art. 22-B). Instituições de pagamento seguem a Resolução BCB 85/2021, com regras equivalentes, revisada no mesmo dia pela Resolução BCB 538/2025. A norma também permite que o Banco Central vete ou imponha restrições à contratação quando constatar descumprimento (art. 26).
Duas ressalvas. A primeira é que a relevância de cada serviço é avaliada pela própria instituição, e a necessidade de comunicação, de convênio ou de autorização prévia depende dessa avaliação e da leitura do compliance sobre o que conta como prestação no exterior. A segunda é que este texto descreve a documentação pública da Databricks na data indicada. Áreas geográficas, lista de serviços designados e padrões de configuração mudam, e a verificação precisa ser refeita na contratação e a cada mudança relevante, com o contrato e a documentação vigentes.
Quando esse rigor é desproporcional
• Ambiente de dados sem dado de cliente nem dado sensível. Uma sandbox com dado público ou sintético pode não configurar serviço relevante. A avaliação continua sendo da instituição.
• Uso de Databricks sem nenhum serviço designado habilitado. Se nenhum recurso da lista é usado, a área geográfica pesa menos, mas vale registrá-la para quando o primeiro for ativado.
•
Workspace com perfil de segurança de conformidade.
Segundo a documentação, o padrão de processamento entre áreas não se aplica nesses workspaces. A fronteira dos serviços designados continua sendo a área geográfica, e o mapeamento precisa refleti-la.
Perguntas frequentes
O que a Resolução 4.893 exige para contratar serviços de nuvem?
Para serviços relevantes de processamento, armazenamento de dados e computação em nuvem, a Resolução CMN 4.893/2021 exige procedimentos prévios proporcionais à relevância, verificação da capacidade do prestador, comunicação ao Banco Central em até dez dias após a contratação e cláusulas contratuais sobre países e regiões de prestação, segurança, segregação, exclusão de dados e acesso do Banco Central. Para serviços prestados no exterior, exige convênio entre supervisores ou autorização prévia solicitada com sessenta dias de antecedência.
O Databricks processa dados fora do Brasil?
Pode processar, nos recursos de IA chamados serviços designados. Segundo a documentação da Databricks atualizada em setembro de 2026, esses serviços processam o dado dentro da área geográfica do workspace e, com o processamento entre áreas habilitado, também em outras áreas. Na Databricks na AWS, o Brasil está na área Americas, com Estados Unidos e Canadá. Na Azure, o processamento entre áreas vem habilitado por padrão fora de Estados Unidos e União Europeia. A computação serverless não processa dados fora da região selecionada, e o dado não é armazenado fora da área do workspace.
Como deixar o Databricks em conformidade com a Resolução 4.893?
Mapeando, antes da comunicação ao Banco Central, a nuvem, a região, a área geográfica do workspace, a decisão sobre processamento entre áreas e os serviços designados em uso; aplicando permissões, máscaras e filtros do Unity Catalog a pessoas, notebooks e modelos; usando linhagem e registros de auditoria como evidência; e criando um rito de revisão antes de habilitar novos recursos de IA. A interpretação para o caso concreto, inclusive sobre prestação no exterior, cabe ao compliance.
O que uma consultoria Databricks faz em instituição financeira?
Desenha e opera a plataforma de dados para que a resposta técnica coincida com a resposta enviada ao regulador: configuração de residência de dados, governança no Unity Catalog, segregação e controle de acesso para pessoas e agentes de IA, evidência de auditoria e rito de mudança. Ela não substitui compliance e jurídico na avaliação de relevância e na redação do contrato, e entrega a essas áreas o mapeamento técnico verificável de que precisam.
Próximo passo
Faça um teste de dez minutos: abra o console da conta Databricks, entre na aba de segurança e conformidade de cada workspace e veja se o processamento dos serviços designados está restrito à área geográfica. Depois confira quais países essa área inclui na nuvem que você usa e compare com o que foi informado na contratação. Se houver painéis AI/BI, Genie ou funções de IA em uso e o mapeamento disser apenas São Paulo, ele pode não refletir a operação. Solicite um mapeamento de conformidade do seu ambiente Databricks frente à 4.893 com a CSP Tech e receba a leitura do seu caso: onde o dado é processado hoje, quais recursos mudam essa resposta e o rito para mantê-la verdadeira.
Leituras relacionadas
Regulação e risco em instituições financeiras
• Portfólio de projetos regulatórios no Jira: quando o prazo vem do Banco Central, e não do negócio
Governança de dados na plataforma
• “De onde veio esse número”? Rastreabilidade de dados para decisões mais confiáveis
IA com controle
• Governança de IA agêntica: como medir o que a maioria das empresas ainda não sabe medir
Autor: Guilherme Matos, estrategista de conteúdo e IA, certificado HubSpot, Google, Anthropic e Semrush. Revisão técnica por especialistas de dados da CSP Tech (parceira Databricks, Atlassian Gold Partner, Microsoft Gold Partner, participante do Anthropic Partner Network, 38 anos de mercado).
Fontes (oficiais, acesso nov/2026): Resolução CMN nº 4.893, de 26 de fevereiro de 2021, com as alterações da Resolução CMN nº 5.274, de 18 de dezembro de 2025, em texto consolidado (legisweb.com.br), quanto ao art. 12 (procedimentos prévios e verificação da capacidade do prestador), art. 14 (responsabilidade da instituição), art. 15, §§ 1º a 3º (comunicação em até dez dias, conteúdo e alterações), art. 16 (prestação no exterior, convênio e autorização prévia com antecedência mínima de sessenta dias), art. 17 (cláusulas contratuais), art. 22-B (comunicação pela RSFN como serviço relevante) e art. 26 (veto ou restrição). Resolução BCB nº 85, de 8 de abril de 2021, alterada pela Resolução BCB nº 538, de 18 de dezembro de 2025, conforme alerta da Baker McKenzie de dezembro de 2025 [VALIDAR no site do Banco Central: o texto consolidado do Legisweb identifica a norma de alteração como BCB 448]. Databricks Documentation, Databricks Geos: Data residency, versão AWS, atualizada em 11 de setembro de 2026 (docs.databricks.com/aws/en/resources/databricks-geos), quanto ao processamento na área geográfica do workspace, à tabela de áreas com o Brasil na área Americas, à exceção dos serviços designados, ao padrão de processamento entre áreas, à configuração no console e ao caráter regional da computação serverless. Databricks Documentation, Designated Services, atualizada em 26 de outubro de 2026 (docs.databricks.com/aws/en/resources/designated-services), quanto à lista de serviços designados, ao não armazenamento fora da área e aos recursos que exigem processamento entre áreas. Azure Databricks, Databricks Geos, atualizada em 11 de setembro de 2026 (learn.microsoft.com), quanto ao padrão de processamento entre áreas fora de Estados Unidos e União Europeia. Databricks Documentation quanto ao Unity Catalog (permissões, máscaras de coluna, filtros de linha e linhagem). A tese da área geográfica maior que o país da região, as cinco perguntas de verificação e o checklist são formulação editorial da CSP Tech. Este conteúdo trata de arquitetura, processo e governança técnica e não constitui aconselhamento jurídico ou regulatório. A interpretação das normas aplicáveis ao caso concreto cabe às áreas de compliance, riscos e jurídico da instituição.










