O Banco Central confirmou um número que muda a escala do debate: cinco anos após o lançamento, o Open Finance brasileiro já conecta 65 milhões de contas e movimenta cerca de R$ 1,2 bilhão por mês, com mais de 100 milhões de autorizações de compartilhamento ativas e cerca de 4 bilhões de chamadas de API por semana entre instituições, segundo dados divulgados pela Exame. É um resultado que qualquer fintech gostaria de comemorar. Mas por trás do número de adoção existe uma pergunta de governança de dados que poucas equipes de produto param para responder com o mesmo entusiasmo: quem audita o que acontece com esses dados depois que o consentimento é dado?
Um ecossistema que cresceu mais rápido que os controles
Mardilson Queiroz, do Banco Central, chamou o Open Finance brasileiro de um dos ecossistemas mais bem-sucedidos do mundo em abrangência e adoção, conforme reportagem da Exame. O elogio é merecido. O problema é que cada conta conectada e cada chamada de API é também um ponto de exposição de dados financeiros sensíveis: saldo, histórico de transações, score de crédito, padrão de consumo. Quando esse volume multiplica por seis dezenas de milhões de contas, a superfície de risco cresce na mesma proporção. Só que a maioria das fintechs ainda trata governança de dados como item de checklist regulatório, não como parte da arquitetura do produto.
Isso fica mais claro quando se olha para incidentes recentes envolvendo integrações de mensageria conectadas ao Pix e ao Open Finance, que reacenderam a discussão sobre auditoria contínua de acesso a dados, segundo a FintechLab. O ponto não é que o Open Finance seja inseguro. É que a velocidade de adoção tende a correr na frente da maturidade dos controles internos, e essa distância é onde os incidentes acontecem.
Consentimento tem prazo de validade e isso muda a rotina de compliance
Um erro comum entre fintechs iniciantes no Open Finance é tratar o consentimento do cliente como um ativo permanente. Não é. Segundo análise da NDM Advogados, o consentimento tem validade máxima improrrogável de até 12 meses. Vencido o prazo, a reautorização explícita do titular é obrigatória, sem exceção. O mesmo estudo aponta outra exigência que costuma pegar equipes despreparadas: o processo de revogação do consentimento precisa ser tão simples e ágil quanto o processo de concessão original. Na prática, se cadastrar exige três cliques, cancelar não pode exigir treze.
Isso tem consequência direta em arquitetura de dados. Um sistema que não sabe automaticamente quando um consentimento expirou, ou que arquiva permissões antigas junto com dados vivos, não está apenas desorganizado. Está descumprindo uma regra explícita do arcabouço que combina as Resoluções Conjuntas nº 1/2020 e nº 4/2022 do CMN/Banco Central com os padrões de cibersegurança da Resolução BCB nº 294/2023, conforme a mesma análise da NDM Advogados.
Não dá para terceirizar a responsabilidade para o algoritmo
Um ponto que costuma surpreender times técnicos: a responsabilidade por falhas no tratamento de dados financeiros é objetiva perante o Código de Defesa do Consumidor, segundo a NDM Advogados. Isso significa que não existe a defesa de “o modelo de IA decidiu sozinho” ou “o parceiro de dados falhou, não nós”. Se o dado vazou ou foi usado fora do escopo do consentimento, a fintech responde, independentemente de quem operava o sistema por trás.
E o custo de errar está escrito em lei. O artigo 52 da LGPD prevê multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, conforme o texto oficial da Lei nº 13.709/2018. Some a isso um fator que mudou em 2026: a ANPD ganhou autonomia financeira e quadro próprio de servidores, o que já se refletiu em recorde de processos abertos no ano, segundo levantamento da SocialHub. Bancos, fintechs e bureaus de crédito lidam com dados pessoais e financeiros em escala, o que os coloca como alvo prioritário dessa fiscalização mais rigorosa.
O que muda na prática para quem opera dentro do Open Finance
Nenhuma dessas exigências é surpresa nova. Mas a escala de 65 milhões de contas transforma cada uma delas em risco operacional real, não em cláusula teórica de contrato. Algumas ações deixaram de ser opcionais:
- Mapear e expirar automaticamente consentimentos que ultrapassaram 12 meses, sem depender de revisão manual.
- Tornar a revogação de consentimento tão rápida quanto a concessão, dentro do próprio app ou painel do cliente.
- Registrar trilha de auditoria de cada acesso a dado financeiro sensível: quem acessou, quando e com qual base legal.
- Revisar contratos com parceiros de dados e provedores de IA para deixar claro que a responsabilidade final pelo tratamento continua sendo da fintech.
Nenhum desses pontos exige reinventar o produto. Exige tratar governança de dados como parte do roadmap técnico, com dono, prazo e métrica, do mesmo jeito que se trata uptime ou taxa de conversão.
Crescer rápido só compensa se a governança acompanha
Os 65 milhões de contas conectadas são, antes de tudo, 65 milhões de motivos para levar compliance de dados a sério. O Open Finance vai continuar crescendo: portabilidade de crédito, integração mais profunda com o Pix e novos casos de uso de IA já estão no radar do próprio Banco Central. A fintech que tratar isso como oportunidade de negócio sem tratar também como risco regulatório concreto está apostando contra as próprias chances de continuar operando em 2026. A pergunta que vale levar para a próxima reunião de produto não é “quantos dados conseguimos acessar”, mas “conseguimos provar, hoje, para onde cada um desses dados foi”?