Empresas lutam para governar agentes de IA criados por funcionários

Noventa por cento dos CIOs (Chief Information Officers) afirmam ter controle completo sobre os agentes de Inteligência Artificial (IA) que operam em produção em suas empresas. No entanto, uma pesquisa da Dataiku, realizada pela Harris Poll com 685 CIOs de oito países, revela que 81% admitem não ter visibilidade total sobre os agentes criados fora dos canais aprovados pela TI. Além disso, 84% reconhecem que os funcionários desenvolvem agentes mais rapidamente do que a área de tecnologia consegue gerenciar.

Isso indica que, embora haja controle sobre o que passou por homologação, a criação de agentes em volume por usuários finais se assemelha à criação de planilhas, tornando o fluxo difícil de acompanhar. A pesquisa também aponta para uma dispersão na responsabilidade quando um agente de IA falha: equipes compartilhadas (23%), TI (21%), time de dados ou IA (20%) e segurança, risco e compliance (18%) são citados quase igualmente, sugerindo que a falta de um responsável claro pode levar à ausência de accountability.

O risco de falha e a falta de dono

A pressão para colocar agentes de IA em produção tem superado a preocupação com os riscos de falha. A situação é comparada a contratar um funcionário sem registro, onboarding, chefe imediato ou processo de desligamento. Segundo a Dataiku, 83% das organizações não possuem gestão padronizada do ciclo de vida dos agentes, e 72% não conseguem confirmar se eles entregam os resultados de negócio prometidos. Mais de 47% das empresas já desativaram mais de 20 agentes somente neste ano, levantando a questão se os acessos desses agentes foram revogados adequadamente.

A ausência de um dono nominal para cada agente de IA é vista como uma falha de governança, não apenas técnica. O sucesso de um agente pode gerar reconhecimento para diversas áreas, mas o fracasso tende a ser atribuído à TI, ao fornecedor do modelo ou à área que o criou, sem um ponto central de responsabilidade.

Regulamentação e responsabilidade no Brasil

O IDC projeta que, até 2030, até 20% das mil maiores empresas do mundo podem enfrentar processos, multas ou demissões de CIOs por falhas no controle de agentes de IA. Advogados e executivos apontam que reguladores não precisam provar intenção para multar, bastando demonstrar controles inadequados diante do risco.

No Brasil, a Lei Geral de Proteção de Dados (LGPD) já garante o direito de revisão de decisões automatizadas (art. 20). A Autoridade Nacional de Proteção de Dados (ANPD) incluiu inteligência artificial e tecnologias emergentes entre os eixos prioritários de fiscalização para 2026 e 2027. Isso significa que a responsabilidade jurídica existe, mas a organizacional ainda precisa ser definida. A empresa responderá como pessoa jurídica, mas alguém internamente terá que explicar a operação de um agente sem dono, limite ou contramedidas.

Caminhos para a governança de IA

Para resolver o impasse, são necessários três deslocamentos. Primeiro, transformar agentes de TI em ativos com dono: cada agente em produção deve ter um responsável na área de negócio, com nome e sobrenome, que responda por suas ações como um gestor responde por sua equipe. A TI gerencia a plataforma, mas o dono do processo responde pela decisão.

Segundo, ajustar a autonomia conforme o risco: agentes com potencial de causar grandes prejuízos (como transferir dinheiro ou alterar cadastros) devem ter autonomia limitada, exigir aprovação humana para certas ações, um teto de operação e um mecanismo de desligamento imediato e testado. Agentes com menor risco podem ter mais liberdade.

Terceiro, migrar de um inventário anual para um registro vivo: é fundamental saber quais agentes existem, especialmente aqueles criados fora dos canais oficiais. Agentes sem registro são riscos sem dono. Esse registro deve ser dinâmico, como um live streaming, e não uma foto estática, para que a responsabilidade seja clara no momento de um incidente.

A pesquisa da Dataiku resume o dilema: empresas precisam colocar agentes em produção, mas ainda não definiram quem responde por eles. A governança é a chave. Antes do próximo comitê de IA, é crucial questionar se a empresa consegue identificar o responsável por cada agente em produção, se possui o registro de decisões e quem assinará em caso de erro.