Governança de agentes de IA: 85% das equipes de TI acreditam que controlam todos os agentes, mas só 42% sabem quem realmente os possui

A governança de agentes de IA deixou de ser um tema de compliance e virou um problema de arquitetura operacional. O dado central, 85% das equipes de TI dizem controlar todos os agentes, mas só 42% sabem quem é o dono real, não revela falta de vontade, mas falha estrutural: as organizações estão aplicando modelos de governança projetados para humanos (perfis IAM, políticas estáticas, revisões trimestrais) em entidades não determinísticas, autônomas e que se autoexpandem em tempo real. Isso gera uma ilusão de controle, não segurança.

No Brasil, o risco é mais agudo: somos líderes globais em adoção de agentes (18% já implantados, contra 13% na média mundial), mas apenas 3% geram receita com IA, ou seja, a maioria opera no modo 'piloto sem freio'. A ABES/IDC mostra que 70% das empresas estão no caminho da IA agêntica, mas a Deloitte confirma que só 21% têm governança madura. A consequência prática? Um agente pode apagar um banco de dados (como na Replit), reescrever políticas de segurança (como na Fortune 50) ou expor dados sensíveis via Slack, tudo com permissões herdadas de um perfil humano clonado, sem revisão contínua de escopo.

Em 8 dias, o cenário evoluiu do diagnóstico para a crise operacional: em 8 de junho, a CEVIU destacava que a governança 'fica para trás' da adoção; em 10 de junho, mostrava que dois terços dos CIOs são responsáveis por sistemas que não controlam; agora, em 16 de junho, temos dados concretos de que a lacuna entre declaração e realidade atingiu 43 pontos percentuais, e que essa discrepância já está causando incidentes reais em produção. O que era teórico (risco de identidade, como em 11 de maio) virou fato mensurável: 52% dos líderes escondem o uso de IA para obter vantagem competitiva, e 40% dos apps de IA treinam com qualquer dado inserido, incluindo IP corporativo.

Isso importa porque governança ruim não atrasa a transformação digital, ela a torna perigosa. Agentes com acesso a e-mail, cartões de crédito e terminais não são ferramentas, são atores operacionais. Se não há dono claro, não há recuperação de incidente, não há auditoria válida e não há responsabilidade legal em caso de vazamento ou erro algorítmico. No Brasil, onde a IA já é a maior ameaça percebida (Allianz Risk Barometer 2026), e 53% dos líderes a colocam acima de cibersegurança, a ausência de governança em tempo de execução, não só no deploy, significa que cada automação ganha velocidade à custa da previsibilidade. E, em ambientes regulatórios como o LGPD e o EU AI Act (em plena aplicação desde fevereiro de 2026), isso vira exposição jurídica direta.