Resposta rápida: Agente de inteligência artificial precisa de identidade própria no sistema de acesso da empresa, com credencial exclusiva, permissões mínimas para a tarefa que ele executa e registro de cada ação sob o nome dele. A prática dominante hoje faz o oposto: o agente roda com a credencial da pessoa que o criou, o que quebra a rastreabilidade, entrega permissões amplas por herança e transforma qualquer investigação em trabalho impossível. Além da identidade, todo agente precisa de quatro limites explícitos: escopo de sistemas e dados, valor máximo por operação, volume máximo por período e prazo de validade da credencial. Ações irreversíveis, do tipo pagamento, exclusão de registro, comunicação externa e alteração contratual, permanecem com aprovação humana obrigatória. E a empresa precisa de duas coisas que quase nenhuma tem: um inventário de agentes ativos com dono nomeado, e a capacidade de desligar qualquer um deles em um clique.
O caso que me convenceu a escrever este artigo aconteceu numa empresa de logística, e ele começou com uma boa notícia. Um analista talentoso do time de operações havia construído um agente que lia pedidos, conferia estoque, gerava a ordem de separação e avisava o cliente sobre o prazo. Funcionava bem, economizava algumas horas por dia e tinha o entusiasmo da área inteira.
A conversa mudou de tom quando o time de segurança fez uma pergunta técnica simples: com qual credencial esse agente acessa o sistema de estoque? A resposta foi a mais comum de todas. Com a credencial do próprio analista, que por acaso tinha acesso amplo porque acumulara permissões ao longo de seis anos de casa, incluindo a possibilidade de ajustar saldo de estoque e cancelar pedido. Ninguém tinha decidido dar esses poderes ao agente. Eles chegaram por herança.
Duas semanas depois, o mesmo agente ajustou o saldo de um item por causa de um erro de leitura numa planilha, e o registro do sistema atribuiu a alteração ao analista. Ele passou dois dias provando que estava em férias no dia do lançamento. O evento foi pequeno e a lição foi grande: a empresa tinha software tomando decisão em sistemas reais sem identidade própria.
Por que a credencial emprestada parece prática
Existe uma lógica compreensível por trás desse atalho. Criar identidade nova no sistema de acesso corporativo envolve solicitação, aprovação, definição de perfil e às vezes custo de licença. Quem está construindo um agente para resolver um problema da própria área quer testar hoje, e a credencial que ele já tem funciona agora.
Some a isso o fato de que muitos desses agentes nascem como experimento pessoal e viram infraestrutura sem nunca passar por uma decisão formal. No dia em que o experimento se torna essencial para a rotina, ninguém volta atrás para arrumar a identidade, porque mexer no que está funcionando parece risco desnecessário. Assim, o atalho do primeiro dia se transforma em desenho definitivo por inércia.
Eu tratei da versão silenciosa desse fenômeno em agentes de IA fora do radar. O ponto que interessa aqui é o seguinte: cada dia de operação com credencial emprestada aumenta o custo de corrigir, porque cresce o número de integrações, de rotinas dependentes e de registros históricos atribuídos à pessoa errada.
Credencial emprestada de pessoa é a falha de governança mais comum em agentes.
O que muda quando o software decide em vez de executar
Automação tradicional executa comando definido por alguém, sempre igual. Agente escolhe caminho conforme o contexto, e essa diferença redefine a natureza do controle de acesso.
Com automação determinística, a empresa consegue prever o conjunto exato de operações que aquele processo vai realizar, e a permissão pode ser dimensionada com precisão. Com agente, o conjunto de operações possíveis é mais amplo do que o conjunto de operações previstas, porque o próprio mecanismo de decisão gera combinações que ninguém escreveu explicitamente. Isso obriga a inverter a lógica: em vez de conceder o que parece razoável e observar o que acontece, a empresa concede o mínimo verificado e amplia sob demanda comprovada.
Existe uma segunda mudança, de responsabilidade. Quando um sistema determinístico erra, a investigação procura o defeito no código. Quando um agente erra, a investigação precisa reconstituir o raciocínio: qual informação ele tinha, qual instrução recebeu, qual ferramenta acionou e por qual motivo escolheu aquele caminho. Sem registro sob identidade própria, essa reconstituição vira arqueologia. Eu escrevi sobre o que caracteriza esse tipo de software em o que é um agente de IA.
Cada agente precisa de identidade própria
A recomendação central deste artigo cabe numa frase: agente é um ator no sistema, então ele merece um registro de ator. Na prática, isso significa criar uma identidade no diretório corporativo, com nome descritivo, dono humano nomeado, finalidade declarada e conjunto de permissões definido para aquela finalidade.
O nome merece atenção, porque ele aparece em todo registro futuro. Eu recomendo um padrão que informe função e área, do tipo agente-conferencia-estoque-logistica, em vez de nomes criativos que exigem consulta para decifrar. Auditor externo lendo um registro com trezentas linhas entende função pelo nome e dispensa reunião de explicação.
O dono humano é o elemento que sustenta a responsabilidade. Ele responde por quatro coisas: a finalidade continuar válida, as permissões continuarem mínimas, o comportamento continuar dentro do esperado e a desativação acontecer quando a finalidade terminar. Esse dono precisa ser alguém da linha, com nome no organograma, seguindo a mesma lógica que eu descrevi em do piloto para a operação.
O princípio do menor privilégio aplicado a agente
A regra clássica de segurança ganha uma exigência adicional no caso de agentes. Além de conceder o mínimo, a empresa precisa conceder o mínimo por operação em vez do mínimo por sistema.
A diferença é concreta. Conceder acesso ao sistema de estoque entrega, junto, a leitura, o ajuste de saldo, o cancelamento e a consulta de custo. Conceder acesso à operação de leitura de saldo e à operação de criação de ordem de separação entrega apenas o necessário para a tarefa. O primeiro desenho é rápido de implantar e amplo demais. O segundo exige um trabalho de mapeamento e reduz drasticamente a superfície de erro.
Vale ainda separar leitura de escrita em identidades distintas quando o volume justifica. Um agente que apenas consulta e recomenda pode ter credencial somente de leitura, com um segundo agente ou um passo humano responsável pela escrita. Essa segregação encarece o desenho em algumas horas de trabalho e elimina a maior parte dos cenários graves.
Os quatro limites que todo agente precisa ter
Além do escopo de permissões, eu implanto quatro tetos explícitos, todos configurados fora do próprio agente para que ele careça de capacidade de alterá-los.
O primeiro é o limite de valor: nenhuma operação financeira acima de um teto definido segue sem confirmação humana. O segundo é o limite de volume: um número máximo de operações por hora e por dia, porque comportamento anômalo aparece primeiro como excesso de repetição. O terceiro é o limite de escopo de dados: quais tabelas, pastas e registros ele alcança, com bloqueio explícito para as categorias sensíveis. O quarto é o limite de tempo: credencial com prazo de validade e renovação que exige revisão, o que impede o acúmulo silencioso de agentes esquecidos rodando por anos.
O limite de volume merece destaque, porque ele é o mais barato de implantar e o que mais evita estrago. Quando um agente entra em laço e tenta executar a mesma operação mil vezes, o teto interrompe na centésima e dispara alerta. Sem teto, a empresa descobre pelo cliente, pelo extrato ou pela conta do fornecedor.
Framework de permissões de agentes de IA: Por que a credencial emprestada parece prática.
Onde a aprovação humana permanece obrigatória
Existe uma classe de ações que eu recomendo manter sob confirmação humana independentemente do nível de maturidade do programa, e o critério é a reversibilidade.
Pagamento e transferência de valor entram na lista. Exclusão definitiva de registro também. Comunicação externa em nome da empresa, do tipo mensagem a cliente, publicação e resposta a órgão público, permanece com revisão. Alteração de cláusula contratual e de condição comercial exige gente. Decisão que afeta direito de pessoa, como concessão ou negativa de crédito, benefício e desligamento, pede o humano no centro por razão ética e por razão regulatória.
O desenho prático dessa aprovação define se ela funciona ou se ela vira formalidade vazia. Confirmação que chega como uma notificação genérica no fim de um dia cheio recebe clique automático. Confirmação que apresenta o que será feito, com valor, destinatário, motivo e o dado que fundamentou a decisão, produz revisão de verdade. Eu prefiro poucas aprovações bem desenhadas a muitas aprovações decorativas.
O inventário de agentes que quase nenhuma empresa tem
Eu peço esse documento em toda avaliação que faço, e ele existe em menos de uma casa a cada cinco. O inventário tem sete colunas e cabe numa planilha: nome do agente, finalidade, dono humano, sistemas e dados acessados, limites configurados, data de criação e data da última revisão.
Montar esse inventário pela primeira vez costuma revelar três surpresas. A primeira é a quantidade: casas que estimavam três ou quatro agentes encontram doze. A segunda é a existência de agentes cujo criador saiu da empresa, rodando com credencial que deveria ter sido desativada no desligamento. A terceira é a duplicidade: duas áreas construíram agentes que fazem quase a mesma coisa, com critérios diferentes, produzindo resultados divergentes que ninguém tinha comparado.
Esse documento é a base de tudo o que vem depois, e ele precisa de uma rotina de atualização com dono. Inventário congelado envelhece em semanas num ambiente que muda depressa. Eu descrevi a construção do rastro correlato em trilha de auditoria de IA.
Quem aprova a criação de um agente
Aqui a empresa precisa de um caminho oficial curto, porque burocracia longa produz clandestinidade. Quando aprovar um agente demora três semanas, a área constrói sem avisar, e a governança perde a visibilidade que ela queria proteger.
O fluxo que eu recomendo tem três perguntas e cabe em dois dias úteis. Primeira: qual a finalidade e qual processo ela toca? Segunda: quais sistemas, dados e operações são necessários, no nível mínimo? Terceira: quem é o dono humano e qual o prazo de revisão? Com essas respostas, a área de tecnologia cria a identidade com as permissões pedidas, registra no inventário e libera. Casos que envolvem dado pessoal sensível, valor financeiro ou comunicação externa recebem uma etapa adicional com risco e jurídico.
A contrapartida do caminho rápido é a consequência clara para quem o dispensa. Agente descoberto fora do inventário é desativado, sem discussão de mérito, e a conversa sobre reativação acontece depois. Essa regra funciona quando o caminho oficial realmente é rápido, e vira injustiça quando ele demora. Eu tratei da lógica dessa troca em política de uso de IA na empresa.
O registro que responde à pergunta da auditoria
A pergunta que chega em toda auditoria séria é sempre a mesma: mostre quem fez essa operação, quando, com qual autorização e com base em qual informação. Para responder, o registro precisa guardar cinco elementos por ação relevante: identidade do agente, momento, operação executada, resultado e a referência ao contexto que fundamentou a decisão.
O quinto elemento é o que costuma faltar. Guardar apenas que o agente alterou um registro às 14h32 responde metade da pergunta. Guardar também qual instrução ele recebeu e qual informação ele consultou permite reconstituir o raciocínio, corrigir a causa e demonstrar diligência. O custo de armazenamento desse detalhe é irrelevante comparado ao custo de uma investigação sem material.
A capacidade de desligar em um clique
Toda empresa que opera agentes precisa de um procedimento de revogação testado, com uma pessoa de plantão capaz de executá-lo em minutos. Isso significa saber exatamente onde revogar a credencial, quem tem autoridade para decidir a revogação sem consulta, e o que acontece com o trabalho em andamento no momento do desligamento.
Eu recomendo testar esse procedimento uma vez por trimestre, num agente real, em horário combinado. O teste revela problemas que a documentação esconde: a credencial que fica ativa em cache por horas, a integração que continua rodando por outro caminho, o processo de negócio que para sem plano alternativo. Descobrir isso num exercício custa uma manhã. Descobrir durante um incidente custa muito mais, e o custo médio de uma violação de dados apurado pela IBM em estudos recentes ficou na casa de milhões de dólares por evento.
Matriz de decisão de permissões de agentes de IA: O princípio do menor privilégio aplicado a agente.
A revisão trimestral de acesso
Permissão concedida tende a permanecer, e agente tende a acumular acesso conforme novas necessidades aparecem. Sem revisão periódica, um agente que começou com duas operações termina o ano com quinze, e a metade delas deixou de ser usada.
A revisão trimestral que eu implanto pergunta quatro coisas por agente: a finalidade continua válida, o conjunto de permissões continua mínimo diante do uso real, o dono humano continua na função, e existe alguma operação concedida que ficou sem uso no período. A última pergunta é a mais produtiva, porque permissão sem uso é risco puro, com custo zero de remoção.
Aprovar, inventariar, revisar e desligar: o ciclo que responde à auditoria.
O ambiente de teste e o preço de aprender em produção
Existe um hábito que atravessa a maioria dos agentes que eu encontro em campo: eles nasceram e aprenderam direto no ambiente de produção, com dado real de cliente real. A justificativa costuma ser a mesma, e ela tem fundo de verdade: montar um ambiente de teste com dado representativo dá trabalho, e o agente precisa de material realista para funcionar.
O problema é que agente em aprendizado erra de formas criativas, e erro criativo em produção atinge gente. Eu vi um agente de cobrança disparar mensagem para clientes que estavam em dia porque interpretou uma coluna de data com formato invertido. Vi outro cancelar agendamentos válidos ao tentar limpar duplicidades. Nos dois casos, o defeito teria aparecido em uma tarde de teste com uma amostra de mil registros.
O desenho que resolve tem três estágios e dispensa infraestrutura sofisticada. No primeiro, o agente roda em modo de observação: ele recebe os dados reais, decide o que faria e registra a decisão, sem executar nada. O time compara as decisões dele com as decisões humanas da mesma semana e mede a taxa de concordância. No segundo estágio, ele executa apenas em uma fatia pequena e reversível, tipicamente uma unidade, um cliente interno ou cinco por cento do volume. No terceiro, ele assume a operação completa, com os quatro limites configurados e o registro ativo.
O primeiro estágio é o mais valioso e o mais dispensado. Ele custa poucos dias, produz uma medida objetiva de qualidade antes de qualquer risco e gera material concreto para a conversa com as áreas envolvidas. Quando a taxa de concordância aparece baixa nesse estágio, a empresa economiza um incidente e uma conversa desagradável com cliente. Quando ela aparece alta, o time ganha argumento para avançar com tranquilidade.
Os sinais de que já existem agentes fora do controle
Cinco sinais aparecem antes de qualquer incidente. O primeiro é a existência de contas de serviço com acesso amplo e sem dono claro no diretório. O segundo é a presença de chaves de acesso a sistemas dentro de planilhas, documentos ou canais de conversa da equipe. O terceiro é o relato informal de que alguma rotina roda sozinha e ninguém sabe explicar como. O quarto é a divergência entre relatórios que deveriam bater, sinal clássico de dois agentes com critérios diferentes atuando sobre a mesma base. O quinto é o registro de sistema com operações atribuídas a uma pessoa em horários improváveis, incluindo madrugada e período de férias.
Qualquer um desses sinais justifica um levantamento imediato. Eu descrevi o fenômeno mais amplo do uso invisível em shadow AI, e a versão com agentes é a mais delicada, porque aqui o software age em vez de apenas responder.
Identidade é a base da confiança em agentes
Uma projeção da Gartner estima que cerca de quarenta por cento das aplicações corporativas terão agentes integrados até 2026, o que significa que este assunto vai deixar de ser exceção operada por um analista entusiasmado e vai se tornar infraestrutura comum. Empresas que construírem a disciplina de identidade agora vão escalar com tranquilidade, e as demais vão passar por um período de arrumação sob pressão.
A boa notícia é que a agenda é pequena e cabe num trimestre. Um inventário com sete colunas. Uma identidade própria por agente, com dono humano nomeado. Permissões definidas por operação em vez de por sistema. Quatro limites configurados fora do agente. Registro com cinco elementos por ação. Aprovação humana obrigatória para o que é irreversível. Procedimento de revogação testado. Revisão trimestral com quatro perguntas.
Eu costumo fechar essa conversa com um exercício de trinta segundos que qualquer executivo pode fazer hoje. Peça ao time de tecnologia a lista de agentes ativos, com o dono de cada um e a data da última revisão de permissões. Se a lista chegar em uma hora, a casa está em bom caminho. Se a resposta vier em forma de pergunta, existe trabalho a fazer, e vale começar antes que a próxima auditoria escolha o assunto pela empresa. Sobre a camada técnica dessa construção, eu detalhei as escolhas em como integrar IA aos sistemas da empresa.
Leia também
O contexto brasileiro: LGPD, ANPD e o PL 2338
No Brasil, qualquer decisão sobre uso de IA na operação passa pela LGPD (Lei 13.709/2018). A ANPD pode aplicar sanção de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, e o PL 2338/2023 avança para criar o marco legal da IA, com obrigações de transparência, avaliação de risco e supervisão humana em sistemas de alto impacto.
Na prática, isso significa três coisas para a liderança: registrar quais ferramentas e agentes de IA tratam dados pessoais, definir quem responde por cada decisão automatizada e manter trilha de auditoria do que foi gerado por máquina.
A Groovia acompanha essa jornada com um time de 6 humanos e 78 agentes próprios, e já conduziu 100 sócios pela Curva de Maturidade em IA, das 5 etapas que levam uma empresa de AI First a AI Native.