Agentes de IA operam sem controle em empresas brasileiras, diz estudo
Destaques
- •47% dos profissionais brasileiros usam ferramentas de IA sem aprovação formal da empresa, segundo levantamento.
- •Agentes de IA autônomos acessam dados e tomam decisões sem conhecimento do TI ou jurídico, criando riscos de segurança e conformidade com a LGPD.
- •Empresas precisam de infraestrutura de integrações aprovadas e governança de API para mitigar riscos e evitar multas.
Empresas brasileiras enfrentam um desafio crescente com agentes de IA operando de forma autônoma e sem o conhecimento dos departamentos de TI, segurança ou jurídico. A questão central mudou de quantas APIs estão ativas para quantos agentes de IA estão tomando decisões dentro da estrutura corporativa sem visibilidade. Times de marketing, análise de dados e produto têm testado e colocado em produção ferramentas de IA generativa conectadas a sistemas internos por conta própria, sem perceber os riscos.
Uma API, ou interface de programação de aplicações, permite a troca automática de dados entre sistemas. A governança de API é o conjunto de regras e processos para gerenciar essas conexões. Tradicionalmente, o Shadow IT (uso de tecnologia não homologada) era mais contido. Agora, o problema envolve agentes de IA que utilizam chaves de API para agir autonomamente, consultando bases de dados, tomando decisões e executando tarefas sem o conhecimento da organização.
Riscos de segurança e conformidade com a LGPD
A diferença para o risco anterior é significativa. Senhas compartilhadas têm dano limitado, mas uma API conectada a um sistema corporativo, especialmente quando alimenta um agente de IA, representa uma exposição e um poder de decisão. O agente continua acessando dados e executando ações mesmo após o funcionário que o criou sair da empresa ou esquecer da integração.
Dados recentes confirmam a extensão do problema. Um levantamento da FT Consult com 4.700 profissionais brasileiros revelou que 47% usam ferramentas de IA sem aprovação formal, 36% recorrem a ferramentas não homologadas e 59% das organizações não possuem diretrizes sobre o uso de IA. Globalmente, o Netskope Cloud and Threat Report de 2026 registrou uma média de 223 violações de política de dados ligadas a IA generativa por mês por organização, um aumento significativo.
Para o Brasil, a lacuna tem implicações jurídicas diretas. A LGPD responsabiliza a empresa pelo tratamento de dados pessoais, independentemente de quem realizou a integração. Quando um agente de IA toma decisões automatizadas com base nesses dados, entra em jogo o direito do titular à revisão dessas decisões. Um agente acionado para conectar uma base de leads a uma ferramenta de IA pode movimentar dados pessoais e gerar exposição regulatória, com multas da ANPD podendo chegar a 2% do faturamento, com limite de R$ 50 milhões por infração.
Soluções e próximos passos para as empresas
A discussão sobre o Marco Legal da IA, com exigências de rastreabilidade, reforça o problema, pois um agente sem governança não deixa decisões auditáveis. O motivo por trás desse comportamento é a busca por agilidade: colaboradores tentam resolver problemas mais rápido do que os processos formais de TI e jurídicos permitem.
A resposta prática envolve menos controle e mais infraestrutura. Empresas que oferecem um catálogo de integrações já aprovadas, com autenticação centralizada e visibilidade sobre conexões ativas, reduzem o incentivo para caminhos paralelos. Cada agente de IA deve ser tratado como uma identidade própria, com autenticação, permissões e trilha de auditoria definidas, como qualquer colaborador humano.
A governança de API deixa de ser um assunto técnico e passa a ser central na conversa sobre compliance e continuidade de negócio. A linha entre uma empresa que sabe o que acontece com seus dados e decisões tomadas em seu nome e uma que só descobre após um incidente é tênue. Enquanto agentes de IA operarem fora do inventário oficial, o risco estará instalado dentro da própria operação, tomando decisões sob o rótulo de produtividade.
