Identidades de agentes tornam‑se a nova obrigação para empresas reguladas

No dia 29 de setembro de 2026, a RSA anunciou, através de um comunicado de imprensa, o lançamento do Agent ID – uma plataforma concebida especificamente para indústrias altamente reguladas, com o objetivo de identificar, classificar e controlar a utilização de agentes de inteligência artificial. O anúncio foi dirigido a instituições financeiras, seguradoras, prestadores de serviços de saúde e a outros setores que, em virtude de exigências legais, precisam ser capazes de rastrear e documentar cada decisão automatizada. A RSA sublinhou que a solução não se trata apenas de um complemento técnico, mas sim de um componente integral da estratégia de conformidade, porque um número crescente de empresas está a tornar‑se dependente de agentes de IA autónomos em processos críticos.

O que é o Agent ID?

O Agent ID compõe‑se de três módulos – Discover, Secure e Govern – que, em conjunto, permitem uma gestão completa ao longo do ciclo de vida dos agentes de IA. O módulo Discover examina ambientes de rede e de aplicação, detecta tanto agentes autorizados como não autorizados e atribui cada um ao respetivo proprietário. Além disso, identifica servidores MCP (Model‑Control‑Plane) e associa‑os aos agentes correspondentes, proporcionando uma visão abrangente da infraestrutura de IA em uso. Os resultados são apresentados numa visão centralizada, permitindo que os responsáveis vejam imediatamente quais agentes estão ativos, onde estão a operar e quem tem a responsabilidade por eles.

O módulo Secure verifica, em tempo real, cada combinação de chamada de ferramenta e argumentos contra políticas pré‑definidas. Caso uma chamada não cumpra as diretrizes estabelecidas, o Secure pode exigir uma autorização separada e autenticada antes de permitir a execução da ação. Esta abordagem impede que operações de agentes não autorizados ou potencialmente arriscadas passem despercebidas. A RSA enfatiza que a inspeção em linha não introduz latência adicional na rede, porque o motor de políticas está integrado diretamente ao fluxo de dados. As empresas recebem ainda registos detalhados sobre chamadas rejeitadas, reforçando a rastreabilidade e o relatório de auditoria.

Como funciona a governação?

Govern, o terceiro módulo do Agent ID, assume a responsabilidade de registar de forma completa todas as ações executadas pelos agentes de IA. Cada interação é atribuída a um dos dez conjuntos de regras predefinidos, que cobrem requisitos regulatórios típicos – desde normas de proteção de dados a regulamentos financeiros e de saúde. As provas recolhidas podem ser enviadas de forma automática a autoridades reguladoras ou a equipas internas de auditoria. A RSA planeia disponibilizar o módulo Govern ao público geral no primeiro semestre de 2027, enquanto os módulos Discover e Secure já estarão acessíveis aos clientes a partir de 16 de novembro de 2026. A arquitetura modular permite que as empresas comecem apenas com os dois primeiros componentes e acrescentem a governação posteriormente, conforme as necessidades evoluam.

A RSA fornece, como único indício quantitativo, a informação de que numa grande instituição bancária já estão em operação mais de 4 000 agentes que estão sujeitos a uma política interna de proibição. Esta indicação provém da própria RSA e não foi verificada por estudos de mercado independentes. Contudo, ilustra a escala que os agentes de IA já atingiram em ambientes regulados e sublinha a necessidade de uma camada estruturada de identidade e controlo.

Implicações para responsabilidade e organização operacional

Com a introdução do Agent ID, as empresas obtêm uma ferramenta que clarifica a atribuição de responsabilidades. Quando um agente não autorizado comete um erro de decisão, os registos do Discover e do Govern permitem determinar com precisão qual programador, equipa ou fornecedor tinha o controlo naquele momento. Isto reforça a exequibilidade legal de reivindicações de responsabilidade e reduz o risco de multas, porque as exigências regulatórias podem ser demonstradas como cumpridas. Operacionalmente, isto implica que os departamentos de TI e de conformidade deverão trabalhar em estreita colaboração para implementar políticas no Secure, realizar varreduras regulares com o Discover e analisar os relatórios de governação produzidos pelo Govern.

• Criação de um inventário centralizado de agentes através do Discover.
• Definição e implementação de políticas no Secure para todas as chamadas críticas de ferramentas.
• Integração do Govern nos processos existentes de auditoria e reporte.
• Formação das áreas de negócio sobre as responsabilidades associadas aos agentes de IA.
• Revisão regular e atualização dos dez conjuntos de regras de acordo com alterações regulatórias.

A partir de agora, as empresas reguladas deverão incorporar o Agent ID nas suas estratégias de conformidade, a fim de responder às crescentes exigências de transparência e controlo sobre os agentes de IA. A disponibilidade dos módulos Discover e Secure a partir de 16 de novembro de 2026 permite uma adoção rápida, enquanto o módulo Govern, previsto para o próximo ano, assegurará a completa demonstração de conformidade. As organizações que não abordarem esta obrigação de forma proativa correm não só o risco de sanções regulatórias, mas também de incertezas operacionais, pois agentes não identificados podem tomar decisões imprevisíveis. O Agent ID representa, assim, um ponto de viragem claro: as identidades dos agentes deixam de ser uma prática opcional e passam a ser uma obrigação indispensável para qualquer organização regulada.