O número de agentes de IA operando dentro de empresas dobrou em menos de um trimestre. Uma pesquisa com 750 líderes sêniors de tecnologia, realizada em abril de 2026, mostra que 80,9% das organizações já passaram da fase de piloto para produção real1. Agentes estão tomando decisões, executando ações e lidando com sistemas críticos todos os dias.
O que não acompanhou esse ritmo foi a clareza sobre quem decidiu que esses agentes podiam fazer o que fazem.
Existe uma diferença entre um agente que sugere algo e um agente que efetivamente executa. Passar de um para o outro significa entregar direitos de decisão a uma máquina, e as empresas raramente dizem isso em voz alta. Um CFO recebe um limite de alçada formal, registrado, aprovado por alguém com autoridade para aprovar. Um gestor de compras recebe um teto de gastos da mesma forma. Um agente de IA que ganha autoridade equivalente geralmente recebe isso através de um arquivo de configuração.
Definir os limites de alçada de um CFO passa pelo conselho. Uma política de crédito para clientes passa por um comitê. Contratar um executivo com poder de assinatura aciona um processo formal de delegação, sempre, porque as empresas aprenderam da forma difícil que autoridade sem processo vira exposição mais cedo ou mais tarde.
Nada disso acontece com agentes de IA. A delegação existe do mesmo jeito, só que sem o processo formal, e muitas vezes sem que ninguém acima do time de engenharia sequer saiba.
O que preenche esse vácuo é uma sequência de pequenas decisões técnicas, cada uma razoável isoladamente. Um agente começa em modo de assistência, só sugerindo coisas. O sistema funciona bem por um tempo, então alguém expande o escopo para execução de baixo risco. Depois um pouco mais. Em algum ponto o time de tecnologia deixou de ser o único interessado no assunto, só que ninguém avisou.
A maioria dos frameworks de governança corporativa parte do princípio de que existe um humano decidindo em algum ponto da cadeia. Um agente operando dentro de um fluxo aprovado, carregando autonomia que nunca foi formalmente sancionada, simplesmente não cabe nesse mapa. Os dados da mesma pesquisa com 750 líderes mostram o tamanho do descompasso: a maioria diz confiar que suas políticas capturariam comportamento não autorizado de agentes, mas 48% dos agentes em produção não são monitorados, e apenas 19,7% das organizações conseguem dizer que todos os seus agentes passaram por aprovação formal antes de entrar no ar. A confiança ultrapassou o controle faz tempo.
Isso já deu errado de um jeito que virou notícia. Em abril de 2026, um agente na PocketOS, empresa de software para aluguel de carros, estava fazendo manutenção de rotina quando apagou o banco de dados de produção, e depois os backups, em segundos3. Ninguém atacou nada. O agente simplesmente seguiu o caminho mais rápido para terminar a tarefa, e ninguém tinha dito a ele o que estava fora dos limites. Um levantamento de 7.246 incidentes públicos de IA entre 2023 e 2026 confirma que isso é padrão, não exceção, e uma pesquisa independente encontrou que mais da metade das organizações já viu um agente ultrapassar as permissões que recebeu23.
As seguradoras também notaram. Desde janeiro de 2026, o Insurance Services Office lançou três endossos que permitem às seguradoras excluir completamente perdas relacionadas a IA generativa da cobertura de responsabilidade civil geral. AIG, WR Berkley, Chubb e Berkshire Hathaway já incorporaram essas exclusões em suas apólices, algumas de forma absoluta, cobrindo responsabilidade civil geral, erros e omissões, e D&O4. Um risco que antes ficava escondido dentro de uma apólice genérica agora é nomeado e retirado de propósito. De qualquer forma, alguém precisa assinar o relatório anual.
Para conselheiros individualmente, isso deixou de ser abstrato no momento em que as seguradoras de D&O começaram a escrever essas exclusões. Um conselheiro que aprovou uma aquisição ruim tem um precedente para apontar, um rastro documental mostrando que houve diligência mesmo quando o resultado foi ruim. Um conselheiro que nunca discutiu se um agente deveria ter autoridade para executar transações financeiras não tem nada disso, porque não existe ata nenhuma mostrando que o assunto sequer foi levantado.
A pergunta que interessa agora é quem disse sim para o agente agir sozinho, e onde, na prática, alguém traçou o limite dessa autoridade.
Uma compra de R$ 50 mil passa pela mesa de um gerente regional. Uma de R$ 5 milhões precisa do CFO. Ninguém questiona por quê, porque as consequências de errar mudam de tamanho em cada nível. A autonomia de agentes merece o mesmo tipo de linha e quase nenhuma empresa se deu ao trabalho de traçá-la. Alguém precisa ser dono dessa decisão. Quem construiu a funcionalidade costuma ser a pessoa errada para tomar essa decisão. Empresas já resolvem isso para outras decisões de peso: quem pode ver dados de clientes, quem pode fechar um contrato de cinco anos com um fornecedor, quem pode assinar uma demissão em massa. Nenhuma dessas decisões cai na mão de quem estiver na mesa certa na hora certa. Um agente executando algo consequente merece pelo menos esse nível de escrutínio, e hoje a maioria dos agentes tem menos supervisão do que um estagiário pedindo acesso a uma pasta compartilhada.
O escopo também se expande sozinho. Um agente restrito em 2024 vai absorvendo novos casos de uso conforme o sistema cresce, e a aprovação original fica parada, nunca revisitada, enquanto aquilo que ela aprovou muda de forma. Uma pessoa que se desvia da própria função acaba sendo pega, numa avaliação, num ciclo de promoção, numa auditoria. Um agente que se desvia do escopo original costuma só aparecer depois que algo já quebrou.
O que resolve isso é governança, terreno que os conselhos já dominam bem, não um curso de arquitetura de software.
Parte do motivo desse gap persistir tem mais a ver com hábito organizacional do que com limitação real. Conselhos costumam colocar IA na gaveta de tecnologia por padrão, um assunto para perguntar ao CTO uma vez por trimestre, ao lado de números de disponibilidade e cronograma de migração para nuvem. Esse instinto fazia sentido quando IA significava um chatbot respondendo perguntas frequentes. Deixa de fazer sentido no momento em que o mesmo rótulo cobre um sistema executando transações financeiras ou comunicando decisões a clientes em nome da empresa.
O papel do CTO é traduzir o que os sistemas conseguem fazer para uma linguagem de risco e impacto que faça sentido fora da engenharia. O papel do conselho é definir os limites dentro dos quais a empresa está disposta a operar. Pule essa conversa e a autonomia dos agentes acaba sendo decidida por padrão, por quem construiu o sistema, usando o critério que coube dentro do sprint. Isso é um substituto pobre para uma decisão de governança de verdade.
Um ponto de partida razoável é uma auditoria que quase ninguém fez: quais agentes estão executando ações hoje, em qual nível de risco, com qual grau de reversibilidade, e quem autorizou isso. O exercício não precisa ser elaborado. Precisa ser honesto. Feito a sério, a maioria dos conselhos vai descobrir que já delegou mais do que imaginava, para sistemas que ninguém na sala saberia nomear se fosse perguntado.
Todo post-mortem depois de um desses incidentes acaba fazendo a mesma pergunta: quem aprovou isso. Empresas que conseguem responder rápido costumam ter uma conversa difícil com reguladores ou clientes e seguir em frente. Empresas que não conseguem responder de jeito nenhum costumam ter uma conversa bem mais longa, porque o silêncio soa como negligência, não como azar.
Essa auditoria costuma revelar uma pergunta mais difícil assim que a primeira é respondida: agora que você sabe o que seus agentes estão fazendo, o que vem depois? Aprovar retroativamente não é a mesma coisa que ter um modelo real de como a autoridade é entregue a uma máquina desde o início, com qual limite, sob qual nome. Construir esse modelo é outro trabalho, grande demais para caber num parágrafo de fechamento aqui.
O ponto de chegada, menor e mais desconfortável por enquanto: a maioria das empresas não consegue dizer quem aprovou o que seus agentes de IA já estão fazendo. Todo o resto é otimização em cima de um sistema que ninguém de fato governa.
Gravitee. State of AI Agent Security 2026 — pesquisa com 750 líderes sêniors de tecnologia (CIOs, CTOs, VPs de Engenharia) em serviços financeiros, saúde, telecomunicações, manufatura e transporte. Abril de 2026. https://www.gravitee.io/state-of-ai-agent-security
Cloud Security Alliance. AI Safety Initiative — AI Agents survey, abril de 2026. Citado em múltiplas publicações especializadas, incluindo Isara (junho de 2026): 53% das organizações relataram agentes excedendo permissões; quase metade relatou incidente de segurança nos 12 meses anteriores. https://www.isara.ai/blog/your-ai-agent-just-issued-a-refund-it-was-never-allowed-to-did-you-catch-it/
The Guardian / Cyera Research. Caso PocketOS: agente de codificação apagou banco de dados de produção e backups durante tarefa rotineira, abril de 2026. Analisado como parte de levantamento de 7.246 incidentes públicos de IA (setembro de 2023 a maio de 2026). https://www.cyera.com/research/agent-inflicted-damage-inside-the-real-world-failures-of-enterprise-ai-systems
Insurance Services Office (ISO/Verisk). Endossos de exclusão de IA generativa para apólices de responsabilidade civil geral: CG 40 47, CG 40 48 e CG 35 08, com vigência a partir de janeiro de 2026. Seguradoras que adotaram incluem AIG, WR Berkley, Chubb e Berkshire Hathaway. https://www.fenwick.com/insights/publications/end-silent-ai-emerging-ai-exclusions-coverage-fragmentation-and-practical-implications https://www.insurancejournal.com/magazines/mag-features/2026/08/17/881424.htm