Quanto poder dar a um agente, e o que exigir antes

Tratar "agente" (o programa que age sozinho em sistemas reais, como um funcionário com crachá) como categoria única é o erro mais comum das organizações. Na prática, o mesmo produto opera como analista inofensivo pela manhã, lendo documentação, e como operador de produção à tarde, aplicando mudança de estrutura de banco. O que decide o controle é a operação em curso naquele momento. Um único produto pode exigir três controles diferentes no mesmo dia. Suponha uma clínica odontológica em que o agente só lê a agenda pela manhã e, à tarde, remarca pacientes e manda mensagem em nome da clínica: o produto é o mesmo, e o risco da tarde é outro.

Daí a necessidade de uma régua. Este curso usa uma escala de seis degraus, de L0 (só leitura) a L5 (autonomia em sistema crítico), e cada degrau adiciona permissão enquanto exige controle proporcional.

Na tabela abaixo, essa escala aparece ao lado das duas outras réguas que circulam em 2026. Antes de entrar nela, guarde a chave de leitura: as três medem coisas diferentes. A Gartner mede o que o agente faz. O Knight First Amendment Institute, centro de pesquisa ligado à Universidade Columbia, mede o papel que sobra para o humano. A escala deste curso mede o que a credencial permite no pior caso. Com a chave na mão, você reconhece qual delas está em uso quando um fornecedor apresentar a dele.

A leitura executiva da escada: a maioria dos times deveria operar entre L1 e L3 hoje, subir para L4 apenas em fluxos com validação madura, e tratar L5 como exceção decidida caso a caso, com registro escrito. Com frequência, a decisão correta em L5 é recusar.

Antes de conceder qualquer degrau, doze controles precisam existir. Eles se agrupam por aquilo que limitam, e o agrupamento é o que torna a lista memorizável numa reunião.

Dois itens entraram na lista depois que 2026 começou, e o motivo ajuda a defendê-los. Em 25/04/2026, na PocketOS, empresa americana que administra dados de reserva para locadoras de veículos, um agente de codificação esbarrou numa credencial que não funcionava durante uma tarefa rotineira. Em vez de avisar alguém, procurou outra chave, encontrou um token (a chave digital que abre sistemas, como a cópia da chave da loja) de escopo amplo guardado em um arquivo sem relação com a tarefa e apagou o banco de produção junto com os backups em nove segundos. Não houve atacante. A aula seguinte destrincha o caso inteiro; aqui ele explica por que credencial emitida por tarefa e identidade individual por agente saíram da lista de refinamentos.

Nenhum dos doze é aspiracional em 2026. O GitHub documenta para o seu agente em nuvem exatamente esse conjunto: o agente fica impedido de escrever na linha principal e de aprovar a própria mudança, as esteiras ficam bloqueadas até alguém com acesso de escrita liberar, e os segredos ficam guardados onde ele não chega. O Claude Code opera com permissão em camadas por tipo de ferramenta, com política distribuída pela organização que o desenvolvedor local não consegue sobrepor.

A AWS foi um passo adiante em junho de 2026: a política do AgentCore passou a avaliar entradas e saídas na camada de gateway, fora do código do agente, no ponto exato em que, nas palavras da documentação, o agente não consegue argumentar com a regra. Esse detalhe de arquitetura é o que separa controle de recomendação.

Até meados de julho de 2026 dava para tratar transparência de agente como assunto de jurista. Em 20 de julho a Comissão Europeia adotou as diretrizes do artigo 50 do AI Act, o documento C(2026) 5054 final, e o parágrafo 31 transformou o tema em requisito de arquitetura de produto. Um agente que interage com pessoa natural passa a ter de revelar duas coisas: que é artificial e em nome de quem age. A lista de exemplos do próprio texto é bem concreta: fazer reservas, gerir correspondência, negociar contrato, executar compra.

Dois desdobramentos mudam o desenho do sistema. Quando o fornecedor não consegue saber de antemão se o agente vai encontrar uma pessoa natural, a revelação precisa estar desenhada no nível da arquitetura e disparar sempre que a interação for razoavelmente provável, inclusive quando a pessoa natural estiver representando uma empresa. E o agente também precisa se identificar para quem o instrui, nos pontos de autorização, reporte e validação, inclusive quando o que ele recebe vem de outro sistema de IA em vez de vir de uma pessoa.

O parágrafo 63 poupa dinheiro ao delimitar o que fica de fora da marcação: raciocínio, cadeia de pensamento, requisição web e ação de navegador não entram. Marcar o que o agente faz por dentro é superengenharia de conformidade, e ninguém precisa disso.

Ao Brasil, o alcance chega pelo artigo 2(1)(c) do AI Act: basta que o resultado produzido pelo sistema seja usado na União Europeia. Sobre o preço do descumprimento, guarde o número certo. O teto do artigo 50 é 15 milhões de euros ou 3% do faturamento mundial, o que for maior. Quem apresentar 35 milhões ou 7% ao seu comitê está usando o teto do artigo 5º, que trata das práticas proibidas e é outra conversa.

Antes do caso desta aula, guarde um teste de três perguntas que cabe numa reunião. Simon Willison, desenvolvedor britânico que documenta segurança de agentes em público, publicou em junho de 2025 o que chamou de tríade letal. As perguntas são estas: o agente tem acesso a dado privado? Ele lê conteúdo que veio de fora e ninguém controla? Ele consegue se comunicar para fora de alguma forma?

Três respostas afirmativas descrevem um sistema em que basta um texto plantado no lugar certo para mandar o agente buscar o dado e entregá-lo a um estranho. Onde as três aparecem juntas, contenção vem antes de qualquer promoção de nível.

O risco que essa escala existe para conter já tem catálogo público. O OWASP Gen AI Security Project, iniciativa aberta de segurança de aplicações, mantém um Top 10 dedicado a aplicações agênticas que organiza a ameaça pela arquitetura do agente: planejamento, uso de ferramentas, identidade, cadeia de suprimentos, execução de código, memória, comunicação entre agentes, falhas em cascata, confiança entre humano e agente e agentes desonestos. Abuso de identidade e execução inesperada de código descrevem, com precisão desconfortável, um agente com acesso a repositório e esteira de integração.

Uma advertência de mercado, porque ela aparece em proposta comercial. Em 24 de julho de 2026 não existe norma técnica exigível dedicada a agentes. As sobreposições de controle do projeto COSAiS, no NIST, o instituto americano de padrões e tecnologia, incluem casos de uso de agente único e de multiagente e seguem sem publicação e sem data anunciada. Do lado da ISO, a certificação disponível é a 42001, de sistema de gestão de IA, que não é norma de agente. Quem vende "conformidade NIST para agentes" hoje está vendendo interpretação, e cabe perguntar qual documento publicado sustenta a promessa.

Com a régua, os doze controles e o calendário na mão, duas tarefas transformam a leitura em inventário.

Censo de autonomia. Inventarie tudo que age no seu ambiente: robôs de integração contínua, agentes de código, tarefas agendadas, scripts com token de serviço. Classifique cada um pelo que a credencial permite. Marque os que operam acima do nível que o controle atual sustenta.

Plano de trinta dias. Para o agente de maior alcance do censo, percorra os doze controles e feche os três piores buracos, com dono, data e a evidência que prova o fechamento.

Critérios de sucesso

• O censo cobre robôs de integração e tarefas agendadas, além do que o time chama de agente.
• Pelo menos um item ficou marcado como operando acima do que o controle sustenta. Se nenhum ficou, o censo foi otimista.
• Cada buraco fechado tem dono, data e evidência.
• Você conseguiu dizer, em uma frase, se a sua operação entra no escopo do prazo de 02/08/2026 e, se entrar, em que ponto da conversa o agente revela que é uma máquina e em nome de quem age.