Empresas lutam para controlar agentes de IA criados por funcionários

Noventa por cento dos CIOs (Chief Information Officers) declaram ter controle total sobre os agentes de Inteligência Artificial (IA) em operação nas suas empresas. No entanto, uma pesquisa recente revela uma lacuna significativa: 81% admitem não ter visibilidade completa sobre os agentes criados fora dos canais oficiais de TI, e 84% reconhecem que os funcionários desenvolvem essas ferramentas mais rapidamente do que a área de tecnologia consegue gerenciar.

Essa situação levanta preocupações sobre a governança e a responsabilidade. Quando um agente de IA falha, as respostas sobre quem é o responsável se dividem entre equipes compartilhadas (23%), TI (21%), times de dados ou IA (20%) e áreas de segurança, risco e compliance (18%). Essa dispersão de responsabilidade, onde "ninguém é responsável", ocorre em um momento crítico, com 76% dos CIOs temendo que seus cargos estejam em risco se a empresa não demonstrar ganhos mensuráveis com IA até o fim de 2027.

O risco de agentes de IA sem controle

A comparação de agentes de IA com funcionários não registrados e sem supervisão é feita para ilustrar a gravidade do cenário. Agentes recebem acesso a sistemas, tomam decisões e executam tarefas em nome da empresa, podendo interagir com clientes. Contudo, muitas organizações não possuem uma gestão padronizada do ciclo de vida desses agentes, com 83% das empresas sem esse processo e 72% sem conseguir confirmar consistentemente se eles entregam os resultados de negócio esperados.

A consequência direta é que, embora o sucesso de um agente seja celebrado, falhas como aprovação indevida de reembolsos ou exposição de dados de clientes se tornam problemas sem um dono claro. A ausência de um responsável nominal é vista como uma falha de governança, não apenas técnica.

Regulamentação e responsabilidade no Brasil

Projeções do IDC indicam que, até 2030, até 20% das mil maiores empresas do mundo podem enfrentar processos, multas regulatórias ou demissões de CIOs devido a controles falhos em agentes de IA. A falta de intenção não impede a punição; basta que os controles sejam inadequados diante do risco.

No Brasil, a Lei Geral de Proteção de Dados (LGPD) já prevê o direito de revisão de decisões automatizadas (art. 20). A Autoridade Nacional de Proteção de Dados (ANPD) incluiu inteligência artificial e tecnologias emergentes entre os eixos prioritários de fiscalização para 2026 e 2027. Isso significa que a responsabilidade jurídica existe, mas a organizacional ainda precisa ser definida. A empresa responderá como pessoa jurídica, mas indivíduos precisarão explicar a operação de agentes sem dono, limites ou contramedidas.

Caminhos para a governança de IA

Para mitigar esses riscos, três mudanças são propostas. Primeiro, transformar agentes de IA de projetos de TI em ativos com um dono claro: um responsável na área de negócio, com nome e sobrenome, que responda por suas ações como um gestor responde por sua equipe. A TI gerencia a plataforma, mas o dono do processo responde pela decisão.

Segundo, ajustar a autonomia dos agentes conforme o potencial de dano. Agentes que realizam tarefas de baixo risco podem ter mais liberdade, enquanto aqueles com potencial para transações financeiras, alterações de cadastro ou exclusão de dados devem exigir aprovação humana, ter limites claros e mecanismos de desligamento imediato e testado.

Terceiro, migrar de um inventário anual para um registro vivo. Saber quais agentes existem, especialmente os criados fora dos canais oficiais, é o primeiro passo. Agentes sem registro são riscos sem dono, e essa informação deve ser atualizada em tempo real, como um "live streaming", e não uma fotografia estática.

A pesquisa da Dataiku resume o dilema: empresas precisam colocar agentes de IA em produção, mas ainda não definiram quem responde por eles. Resolver essa questão de governança antes que se torne um problema de segurança é crucial. Antes do próximo comitê de IA, é fundamental questionar se a empresa consegue identificar o responsável por cada agente em produção, se possui o registro de decisões automatizadas ou apenas desculpas, e quem assumirá a responsabilidade em caso de erro.