Por Alcione Giovanella, Partner & Executive Director na CBYK
 
Se um agente de IA pode acessar sistemas, movimentar informações, executar tarefas e tomar decisões em nome da empresa, a questão deixa de ser apenas tecnológica. Passa a ser de negócio. Quem define até onde esse agente pode ir, quais decisões pode tomar sozinho e quem responde quando algo dá errado? 
 
A discussão ganha urgência porque a adoção está correndo mais rápido do que os controles. Pesquisa da Deloitte com 3.235 líderes de negócios e tecnologia de 24 países mostra que 97% das organizações globais e 95% das brasileiras planejam adotar IA agêntica nos próximos dois anos. Mas apenas 21% das empresas no mundo dizem possuir modelos maduros de governança para esses agentes. No Brasil, são 27%. 
 
O descompasso importa porque governança não é apenas proteção. É o que permite transformar uma experiência com IA em uma operação de escala. Quanto maior a autonomia, mais clareza a empresa precisa ter sobre limites, responsabilidades e impacto no negócio. 
 
Imagine um agente responsável por contas a pagar. Ele acessa o ERP, confere uma nota fiscal, consulta o contrato, identifica uma divergência e programa o pagamento. Mas deveria poder alterar os dados bancários do fornecedor, criar um novo beneficiário ou autorizar sozinho uma transação de alto valor? 
 
Essa não é apenas uma decisão de segurança. Envolve risco financeiro, continuidade operacional, compliance, experiência do cliente e reputação. É nesse ponto que a governança passa a fazer parte do modelo operacional. 
 
Assim como um funcionário recebe identidade digital e permissões específicas, os agentes precisam de credenciais próprias e acessos compatíveis com sua função. A lógica é a do menor privilégio: o agente deve ter acesso suficiente para cumprir sua tarefa, mas não maior do que ela exige. 
 
Os números mostram por que esse cuidado importa. Dados mais recentes do Cost of a Data Breach Report 2026, da IBM, indicam que, entre as organizações estudadas que sofreram violações de dados, 21% relataram incidentes envolvendo modelos ou aplicações de IA, acima dos 13% registrados no benchmark anterior. Entre os casos envolvendo IA, 92% não possuíam controles adequados de acesso.
 
O problema, portanto, não é dar autonomia à IA. É dar autonomia sem saber qual risco o negócio está disposto a assumir.
 
A supervisão humana também precisa acompanhar essa mudança. Consulta de baixo risco podem ser automatizadas, enquanto alterações cadastrais, movimentações financeiras relevantes ou decisões que afetem diretamente clientes podem exigir validação. Quanto maior o impacto, maior deve ser o nível de controle. 
 
Também é preciso rastreabilidade. Se um agente tomou uma decisão ou executou uma ação, a empresa precisa conseguir reconstruir o caminho: qual agente atuou, quais informações consultou, que sistema acessou e se houve intervenção humana.
 
Na CBYK, temos observado essa lógica na prática com a implementação de Squads AI Native. Uma camada de governança e telemetria permite acompanhar o uso de ferramentas de desenvolvimento assistido por IA e cruzar esses dados com produtividade, qualidade das entregas, custo-hora, esforço estimado sem IA e logs de auditoria.
 
Nos projetos acompanhados até aqui, os times AI Native têm produzido até cinco vezes mais código, com taxa de retrabalho inferior a 5%, enquanto o time to market chegou a ser três vezes maior. 
 
Esses resultados, porém, não vêm simplesmente da disponibilização de uma ferramenta de IA. Existe uma diferença entre usar IA para gerar código e redesenhar o processo de engenharia para trabalhar com IA. Isso envolve treinamento, guardrails de segurança e governança, especificações adaptadas ao contexto de cada cliente, agentes especializados nas diferentes etapas do desenvolvimento e integração com ferramentas de gestão e esteiras de CI/CD.
 
Não se trata de vibecoding, em que a velocidade de geração se sobrepõe à disciplina de engenharia. Trata-se de desenvolvimento assistido por IA com contexto, especificação, rastreabilidade e controle.
 
Nesse modelo, a própria telemetria passa a fazer parte da governança. Ela permite entender como a IA está sendo utilizada, quais ganhos estão sendo obtidos e, ao mesmo tempo, auditar interações para identificar riscos relacionados à segurança da informação, propriedade intelectual, dados pessoais e LGPD.
 
Por isso, o debate sobre agentes de IA não deveria começar perguntando o quanto eles podem fazer, mas onde geram valor, qual risco está associado a essa autonomia e quais controles permitem ampliar seu uso com segurança.
 
A maturidade em IA não está apenas na capacidade de criar agentes mais independentes. Está em saber conceder autonomia na medida certa, medir resultados, controlar riscos e ampliar o uso da tecnologia à medida que o negócio aprende.
 
Governança e produtividade não são forças opostas. Quando bem desenhada, a governança é justamente o que permite aumentar a autonomia da IA, acelerar entregas e transformar ganhos pontuais de produtividade em um novo modelo operacional.
 
Quando uma máquina passa a agir em nome da empresa, governar a IA é decidir como o negócio cresce com ela.
 
Partner & Executive Director na CBYK, Alcione Giovanella possui mais de 20 anos de experiência em transformação digital, segurança da informação e tecnologia antifraude. Reconhecido por sua atuação no mercado de tecnologia e no atendimento a grandes clientes, liderou projetos estratégicos nas áreas de Prevenção a Fraudes, Riscos e Compliance, Modernização e Inteligência Artificial. É referência em tecnologias antifraude, e já aplicou soluções para diversos setores como: bancário, serviços financeiros, telecom, varejo, agronegócio, e outros. Também é sócio-fundador da Plataforma 4Loja e atua como vice-presidente regional da Federasul.