Definir o que exige revisão humana

Definida a alçada de cada agente (o programa de IA que executa ações sozinho), a política de revisão humana lista o que exige conferência antes da publicação. O alcance dela (os casos que ela cobre) acompanha o risco da operação e cresce quando surgem situações novas.

Os critérios abrangem número, citação de norma ou estudo, afirmação sobre concorrente, preço ou promessa contratual e tema regulado. Na hora de publicar, o time precisa achar esses critérios e registrar quem fez a revisão.

Quem revisa precisa ser independente de quem produziu. Revisão feita pelo mesmo agente que escreveu o texto confere se ele parece plausível, e a existência da fonte fica sem conferir.

Incidente com agente saiu do terreno da anedota. Uma análise de 7.246 incidentes públicos entre 2023 e 2026 verificou 344 como relevantes para empresa; desses, 188 foram dano direto em produção sem nenhum atacante externo na cadeia.

Desses 188 casos, 65 foram de deleção ou destruição de dados e 30 de interrupção de serviço. Nenhum depende de qual modelo estava por trás.

Na tabela abaixo, os dois casos falharam em permissão e em revisão, e as decisões que teriam evitado cada um vêm antes de o agente rodar.

Pelo que o assistente informa ao cliente, quem responde é a empresa. Em fevereiro de 2024, um tribunal canadense rejeitou o argumento de que o chatbot (o robô de conversa do site) da companhia aérea seria uma entidade separada dela.

A decisão é de outra jurisdição e não vincula o Brasil. Como parâmetro de governança ela basta: suponha uma pousada cujo robô promete um desconto inexistente, e a promessa vale como palavra dela.

Peça a lista de permissões de cada agente em uso: credencial (a senha de acesso) por tarefa, sem alcance a produção e com backup em conta separada, testado com uma restauração real.

Depois escreva a política em uma página, com a lista curta em cinco linhas. Ela funciona quando quem publica recita as cinco linhas de memória, porque no dia em que faltar tempo ninguém vai consultá-la.