Workday lança Agent Passport para governança e monitoramento contínuo de agentes de IA corporativos

O Agent Passport da Workday não é só mais um módulo de segurança: é uma camada de governança operacional para agentes de IA que atua em três momentos críticos, antes do deploy (validação contra OWASP LLM Top 10, NIST AI RMF e MITRE ATLAS), durante o runtime (políticas dinâmicas de acesso, logging auditável e revogação centralizada) e após incidentes (bloqueio seletivo com base em regra, não em apagão). Diferente de soluções genéricas de SASE ou gateways de identidade, ele foi construído nativamente sobre dados sensíveis de RH e finanças, folha de pagamento, benefícios, contratos, e exige que cada atestação de segurança seja vinculada a um responsável humano, com assinatura digital e histórico imutável. A parceria com a Cisco AI Defense não é meramente comercial: ela permite testes independentes de injeção de prompt e vazamento em tempo real, algo raro entre plataformas de aplicativos empresariais.

A novidade estratégica está nas Agent-Ready Tools: elas usam o Model Context Protocol (MCP) para isolar lógica de negócios da Workday de modelos de terceiros, evitando que ajustes no modelo comprometam regras fiscais, trabalhistas ou de compliance. Isso transforma o desenvolvedor em um agente de governança, ao usar linguagem natural no Developer Agent, ele já incorpora guardrails pré-aprovados, sem precisar codificar políticas de DLP ou consentimento manualmente.

Na cobertura anterior de 2 de junho, a CEVIU destacou o lançamento do Agent Handler da Merge como uma camada de controle baseada em identidade, focada em mapear usuários às ferramentas de IA autorizadas. Já o Agent Passport da Workday, anunciado dois dias depois, opera em nível mais profundo: não apenas controla quem usa o agente, mas o que o agente *faz* com os dados, *como* ele foi validado e *quem* assumiu responsabilidade técnica por cada verificação. Enquanto a Merge gerencia acesso, a Workday governa comportamento, com revogação automática, auditoria vinculada a padrões regulatórios e integração nativa com dados transacionais de RH e finanças, algo ausente na solução da Merge.

Empresas estão implantando agentes de IA em produção sem saber se eles obedecem à CLT, à LGPD ou à Lei de Responsabilidade Fiscal, especialmente quando acessam dados de folha ou benefícios. O Agent Passport força essa conformidade desde a construção, não como checklist pós-fato, mas como requisito de execução. Para arquitetos de TI, isso reduz a dependência de equipes de segurança para aprovar cada novo agente; para CISOs, oferece evidência objetiva de mitigação de riscos como jailbreak e sequestro de objetivo; para áreas de compliance, gera relatórios auditáveis alinhados a frameworks exigidos por órgãos reguladores brasileiros, como o BACEN e a Receita Federal. Não é uma camada adicional, é a infraestrutura que torna possível escalar IA agêntica sem ampliar superfície de risco.