Identidades de agentes se tornam nova obrigação para empresas reguladas

Em 29 de setembro de 2026, a RSA divulgou, por meio de um comunicado à imprensa, o lançamento do Agent ID – uma plataforma concebida especificamente para indústrias altamente reguladas, com o objetivo de identificar, classificar e controlar o uso de agentes de inteligência artificial. O anúncio foi direcionado a instituições financeiras, seguradoras, prestadores de serviços de saúde e a outros setores que, em razão de exigências legais, precisam rastrear e documentar cada decisão automatizada. A RSA enfatiza que a solução não se trata apenas de um complemento tecnológico, mas sim de um componente integral da estratégia de conformidade, visto que um número crescente de organizações depende de agentes de IA autônomos em processos críticos.

O que é o Agent ID?

O Agent ID é constituído por três módulos – Discover, Secure e Govern – que, em conjunto, possibilitam um gerenciamento completo do ciclo de vida dos agentes de IA. O módulo Discover varre ambientes de rede e de aplicação, detecta tanto agentes autorizados quanto não autorizados e os associa aos respectivos proprietários. Além disso, ele identifica servidores MCP (Model‑Control‑Plane) e os vincula aos agentes correspondentes, oferecendo uma visão abrangente da infraestrutura de IA em operação. Os resultados são apresentados em um painel centralizado, permitindo que os responsáveis visualizem imediatamente quais agentes estão ativos, onde eles estão sendo executados e quem detém a responsabilidade por cada um.

O módulo Secure verifica em tempo real cada combinação de chamada de ferramenta e argumentos contra políticas pré‑definidas. Caso uma chamada não esteja em conformidade com as diretrizes estabelecidas, o Secure pode exigir uma liberação separada e autenticada antes que a ação seja executada. Essa abordagem impede que operações de agentes não autorizados ou potencialmente arriscadas passem despercebidas. A RSA ressalta que a inspeção em linha não gera latência adicional na rede, pois o mecanismo de políticas está integrado diretamente ao fluxo de dados. As empresas ainda recebem logs detalhados sobre chamadas rejeitadas, o que reforça a rastreabilidade e o suporte a auditorias.

Como funciona a governança?

Govern, o terceiro módulo do Agent ID, assume a responsabilidade de registrar de forma completa todas as ações executadas pelos agentes de IA. Cada interação é mapeada a um dos dez conjuntos de regras predefinidos, que cobrem requisitos regulatórios típicos – desde normas de privacidade de dados até regulamentações financeiras e de saúde. As evidências coletadas podem ser enviadas de forma automatizada a autoridades reguladoras ou a equipes internas de auditoria. A RSA planeja disponibilizar o módulo Govern ao público geral no primeiro semestre de 2027, enquanto os módulos Discover e Secure já estarão acessíveis aos clientes a partir de 16 de novembro de 2026. A arquitetura modular permite que as organizações iniciem com os dois primeiros componentes e adicionem a camada de governança posteriormente, conforme suas necessidades evoluam.

Como única indicação quantitativa, a RSA informa que, em um grande banco, já estão em operação mais de 4.000 agentes que estão sujeitos a uma política interna de proibição. Essa informação provém da própria RSA e não foi verificada por estudos de mercado independentes. Mesmo assim, o dado ilustra a escala já alcançada pelos agentes de IA em ambientes regulados e reforça a necessidade de uma camada estruturada de identidade e controle.

Implicações para responsabilidade e organização operacional

Com a adoção do Agent ID, as empresas ganham um instrumento que torna a atribuição de responsabilidades mais clara. Quando um agente não autorizado gera uma decisão equivocada, os logs do Discover e do Govern permitem identificar com precisão qual desenvolvedor, equipe ou fornecedor tinha a autoridade sobre aquele agente no momento da falha. Essa transparência fortalece a exequibilidade de reivindicações de responsabilidade legal e diminui o risco de multas, pois as exigências regulatórias podem ser demonstradas como cumpridas. Operacionalmente, isso implica que as áreas de TI e de conformidade precisarão trabalhar em estreita colaboração para implementar políticas no Secure, executar varreduras regulares com o Discover e analisar os relatórios de governança produzidos pelo Govern.

• Criação de um inventário centralizado de agentes por meio do Discover.
• Definição e implementação de políticas no Secure para todas as chamadas críticas de ferramentas.
• Integração do Govern aos processos existentes de auditoria e geração de relatórios.
• Capacitação dos departamentos de negócios sobre responsabilidades relacionadas a agentes de IA.
• Revisão periódica e atualização dos dez conjuntos de regras de acordo com mudanças regulatórias.

A partir de agora, as empresas sujeitas a regulação deverão incorporar o Agent ID em suas estratégias de conformidade, a fim de atender às crescentes exigências de transparência e controle sobre agentes de IA. A disponibilidade dos módulos Discover e Secure a partir de 16 de novembro de 2026 permite uma adoção rápida, enquanto o Govern, previsto para o próximo ano, assegurará a comprovação completa das atividades. Organizações que não abordarem essa obrigação de forma proativa correm o risco não apenas de sanções regulatórias, mas também de inseguranças operacionais, já que agentes não identificados podem tomar decisões imprevisíveis. O Agent ID representa, assim, um ponto de inflexão claro: a identidade dos agentes deixa de ser uma prática opcional e passa a ser uma exigência indispensável para qualquer organização regulada.