Governança de IA falha: metade das empresas não cobre riscos de agentes autônomos

Cerca de metade das organizações afirma que seus frameworks de governança de IA não foram atualizados para incorporar os riscos específicos da IA agêntica, segundo pesquisa da EY. Quatro em cada dez dizem não ter visibilidade de todas as ferramentas de IA que circulam em suas redes, e aproximadamente um quarto admite não conseguir detectar agentes de IA não autorizados operando internamente. O alerta da consultoria, divulgado pela Cybersecurity Dive, é que os controles atuais podem não oferecer cobertura completa.

Números da pesquisa da EY sobre governança de IA

Os três percentuais apontam para problemas distintos. O primeiro, que atinge cerca de metade das empresas ouvidas, é documental: a política de governança existe, mas foi escrita antes de os agentes se tornarem parte do dia a dia. O segundo — quatro em cada dez sem visibilidade total das ferramentas de IA em rede — é de inventário: não se gerencia o que não se enxerga. O terceiro, do quarto que não detecta agentes não autorizados, é operacional: mesmo com política atualizada, falta capacidade técnica de identificar quem está agindo.

Somados, eles descrevem uma lacuna entre intenção e execução. Ter um framework de governança de IA não garante que ele cubra agentes autônomos — e ter cobertura formal não garante detecção real.

Por que a IA agêntica quebra frameworks de governança de IA?

Governança de IA foi desenhada, em boa parte, para sistemas que respondem a perguntas. Agentes fazem outra coisa: executam ações. Chamam APIs, acessam bancos de dados, disparam transações, encadeiam tarefas e podem delegar subtarefas a outros agentes. Cada uma dessas capacidades cria uma categoria de risco que filtros de conteúdo e revisão de prompts não endereçam.

O risco deixa de ser apenas "o que o modelo disse" e passa a incluir "o que o agente fez, com qual permissão e em nome de quem". Permissões excessivas, ações irreversíveis e cadeias de responsabilidade pouco claras entram no vocabulário da governança e exigem controles de identidade, escopo e registro de atividade que a maioria das políticas de IA não previu.

Visibilidade na governança de IA: problema que se agravou

A dificuldade de enxergar todas as ferramentas de IA não é novidade. Pesquisas anteriores mostram que 76% dos funcionários usam ferramentas de IA próprias sem supervisão, e quatro em cada cinco ferramentas de IA operam sem acompanhamento de TI. O que a EY acrescenta é o efeito multiplicador: quando o sistema invisível não apenas sugere texto, mas executa ações, a ausência de inventário deixa de ser um problema de custo e se torna um problema de controle.

O que a falha na governança de IA significa para empresas brasileiras

Para organizações que operam sob a LGPD, a questão se desdobra em prestação de contas. Se um agente executa uma ação indevida — expõe dado pessoal, contrata um serviço, altera um registro —, a responsabilidade recai sobre a empresa controladora, não sobre o fornecedor do modelo. Isso reforça três providências práticas: inventário de agentes em operação, identidade e permissões mínimas por agente, e registro auditável das ações executadas.

O que os controles de governança de IA ainda não resolvem

Nenhum controle isolado fecha a lacuna. Política atualizada não detecta agente não autorizado; detecção técnica não define responsabilidade; registro de logs não corrige permissões excessivas concedidas meses antes. Além disso, agentes mudam de comportamento à medida que recebem novas ferramentas e instruções, o que faz avaliações pontuais envelhecerem rápido. Na leitura da EY, sem revisão contínua a cobertura permanece parcial por definição.

Perguntas Frequentes sobre governança de IA

O que é IA agêntica?

São sistemas de IA capazes de executar ações de forma autônoma — chamar APIs, acessar sistemas, disparar transações e encadear tarefas — em vez de apenas responder a comandos.

Qual é o principal risco apontado pela pesquisa da EY?

A defasagem dos frameworks de governança: cerca de metade das organizações não os atualizou para cobrir riscos específicos de agentes, o que deixa brechas de visibilidade e de detecção.

Quantas empresas conseguem detectar agentes de IA não autorizados?

Segundo a EY, aproximadamente um quarto admite não conseguir detectá-los operando internamente; quatro em cada dez também não têm visibilidade total das ferramentas de IA em suas redes.