Agentes de IA: o que são, o que podem fazer sozinhos e que controles criar

Atualizado em 11 de outubro de 2026 · Dados da BCG (30/9/2026) e da IBM (30/7/2025) · Leitura de 9 minutos

Um chatbot responde. Um agente de IA decide os passos e age: pesquisa, preenche, envia, compra. É um cérebro que ganhou mãos. Quase toda empresa vai querer um. Quase nenhuma está pronta para o que ele pode fazer com as chaves que receber.

Uma terça-feira com um agente

O que é um agente de IA

Pense em três peças. O LLM, o modelo de linguagem, é o cérebro: entende o pedido, raciocina e escolhe o próximo passo. O RAG são os livros: antes de agir, o agente busca informação em documentos e bancos de dados da empresa, em vez de depender só do que aprendeu no treinamento. O MCP é o conector padrão que liga a IA a ferramentas e sistemas, como uma tomada universal. Quando o cérebro ganha mãos, temos um agente.

A diferença para o chatbot está no verbo. O chatbot responde. O agente executa, em vários passos, e decide sozinho a ordem deles.

Os números, sem enfeite

Dois levantamentos ajudam a medir o tamanho do descompasso. A BCG ouviu 1.330 executivos para o Applied AI Index 2026. A IBM analisou violações de dados em 2025. Os resultados apontam na mesma direção: a adoção corre, o controle anda atrás.

Observação: os números sobre o valor atual da IA agêntica variam entre as publicações consultadas e por isso não foram usados.

Mais de 80% do gasto com IA fica fora do orçamento de TI. Quem decide sobre agentes, na prática, é a empresa inteira.

Visão executiva

A pergunta para o conselho e a diretoria não é “vamos usar agentes?”, e sim “com que limites?”. A maioria das empresas já terá agentes antes de ter regras. Se o dinheiro está espalhado, a decisão também está, e é por isso que a conversa precisa subir de nível: ninguém no comitê consegue responder por um agente que não sabe que existe.

O que decidir nos próximos 30 dias

• Levantar quais agentes e assistentes de IA já são usados, inclusive os instalados por conta própria.
• Definir um responsável por agentes (uma pessoa, não um comitê sem dono).
• Classificar as ações em “o agente pode”, “o agente propõe e um humano aprova” e “o agente nunca faz”.

Aplicação comercial

Exemplos ilustrativos, não dados de pesquisa: atendimento que resolve o caso até o fim, conciliação financeira, apoio a compras e cotações, preparação de propostas, triagem de contratos. O ganho é tempo e escala: o que levava uma manhã passa a levar minutos, e o time humano migra para as exceções.

O risco comercial é o agente fazer promessas, descontos ou comunicações fora da política, em nome da empresa. Quem fala com o cliente, mesmo que seja uma máquina, fala como a marca. Antes de soltar um agente na frente do cliente, vale perguntar o que ele está autorizado a prometer e quem responde quando prometer demais.

Operação

• Responsabilidade: cada agente precisa de dono, de escopo escrito e de um jeito de ser desligado rapidamente.
• Aprovação: definir onde o humano entra, principalmente em ações que não dá para desfazer (pagar, enviar em massa, apagar, assinar).
• Treinamento: a equipe precisa saber o que o agente faz e o que nunca deve receber (dados pessoais, segredos, credenciais).
• Continuidade: o que acontece se o agente errar às 3 da manhã? Quem é avisado?

Infraestrutura

O agente depende de um modelo (em geral na nuvem de um fornecedor), de fontes de dados (RAG) e de conexões com sistemas (MCP e APIs). Cada conexão é uma porta, e cada porta tem uma chave guardada em algum lugar.

Boas perguntas para a equipe de TI: onde o modelo roda, para onde vão os dados, quais credenciais o agente guarda e quem as renova. Vale dar ao agente contas próprias, separadas das de pessoas, para que seja possível limitar e rastrear. Se o agente usa o login de um funcionário, o registro mostra o funcionário agindo, e ninguém consegue separar o que foi humano do que foi máquina.

Segurança

O risco central é o agente agir com acesso legítimo e tomar uma decisão errada ou ser induzido a isso. Não precisa de invasão. A cena da terça-feira mostra o mecanismo, que a literatura chama de injeção de prompt: um texto vindo de fora, num e-mail, página ou documento, que o modelo lê como se fosse ordem. Os dados da IBM mostram o ponto cego: entre as organizações com violação em IA, 97% não tinham controle de acesso específico.

Essas medidas são boas práticas gerais, em linha com análises de mercado e com referências como o OWASP (Excessive Agency), e não resultado das pesquisas citadas.

Tecnologia, por dentro

Por baixo do marketing, um agente é um laço de software relativamente simples em torno de um modelo. A complexidade está nas bordas: permissões, contexto e falhas.

1. O laço. O modelo recebe o objetivo, escolhe uma ação, chama uma ferramenta, lê o resultado e decide o próximo passo. Repete até concluir ou até bater num limite de passos. Sem esse limite, um agente confuso pode ficar em loop e gastar dinheiro.
2. Ferramentas. São funções com nome, descrição e parâmetros que o modelo pode chamar (consultar, escrever, enviar). O MCP padroniza como elas são descritas e acessadas, e quem publica a ferramenta define o que o modelo enxerga dela.
3. Contexto e memória. O RAG injeta trechos de documentos na conversa. Tudo o que entra no contexto concorre com a instrução original, inclusive texto malicioso (a injeção de prompt). A origem do conteúdo importa tanto quanto o conteúdo.
4. Permissões. O limite real do agente é o das credenciais que ele usa, e não o texto do prompt. Prompt não é controle de acesso. Prefira tokens com escopo estreito e validade curta.
5. Ações que não se desfazem. Separe leitura de escrita. Exija confirmação humana para pagar, apagar e enviar em massa, e desenhe as operações para que repetir uma chamada não duplique o efeito.
6. Observabilidade. Registre cada chamada, parâmetro e resultado, com identificador por execução. É o que permite auditar, depurar e provar o que aconteceu.

Para quem usa no dia a dia

• Não dê a um agente acesso a tudo. Comece pelo menor acesso possível.
• Confira o que ele fez antes de confiar, principalmente em e-mails, pagamentos e arquivos.
• Não cole senhas, dados de clientes ou segredos da empresa em ferramentas que a empresa não aprovou.

Termos desta matéria

Agente de IA · LLM · RAG · MCP · API · Nuvem · Alucinação

Fontes

Primárias

• BCG, comunicado de 30/9/2026: Applied AI Index 2026 / The Formula for Agentic AI Value
• IBM, 30/7/2025: Cost of a Data Breach 2025

Jornalísticas e especializadas

• Engineering News, 30/9/2026: cobertura do relatório da BCG
• Baguete, 21/8/2026: “Deu a louca nos agentes” (artigo de opinião da A3Data)

Para aprofundar na comunidade técnica

Referências para estudo e contraponto, não usadas como fonte dos fatos acima.

• OWASP Gen AI Security Project: riscos de aplicações com LLM, incluindo excesso de autonomia (Excessive Agency)
• Discussões em Hacker News, r/netsec, r/devops e na Cloud Security Alliance sobre permissões e segurança de agentes. Use como contexto e confira a fonte primária.