O agente pessoal do funcionário chegou mais rápido que a política que deveria recebê-lo

Faisal Hoque, fundador da consultoria SHADOKA, descreveu na Fast Company, em 15 de outubro, o que acontece quando o agente de IA pessoal do funcionário passa a operar dentro da rotina de trabalho. A Meta lançou o agente pessoal Muse e somou 2,8 milhões de instalações em doze dias; a startup Instinct, que oferece um agente que se conversa por texto ou voz, captou US$ 1 bilhão com valuation de US$ 10 bilhões; a OpenAI lançou o Dots em 29 de setembro, agentes que perseguem objetivos em segundo plano com pouca supervisão. Esses agentes já fazem compras, reservam mesa em restaurante e respondem e-mail em nome de quem os instalou.

A leitura óbvia é de segurança da informação. Hoque lista três riscos técnicos do agente pessoal: vazamento de dados para o treinamento do fornecedor, injeção de comando por qualquer remetente de e-mail, sequestro do agente por quem controla o aplicativo ou o token de login. Lista também quatro medidas de resposta, da auditoria de uma semana ao teste de desativação no desligamento. Mapeado o inventário e publicada a política de TI, o problema parece contido.

A decisão que ninguém tomou antes do aplicativo

O obstáculo declarado é técnico: dado vazando, comando injetado, token roubado. O obstáculo real aparece antes de qualquer um desses riscos se concretizar. A empresa nunca decidiu se o agente pessoal podia entrar. Então essa decisão já foi tomada, pelo funcionário que instalou o aplicativo no próprio celular e pela Meta ou pela Instinct, que escreveram os termos de uso que ninguém no jurídico da empresa leu.

Isso difere do problema do agente que a própria organização cria e depois perde de vista quando quem o programou vai embora: o mesmo vácuo de propriedade aparece, só que antes de qualquer agente existir dentro da empresa. Ali, a empresa ao menos sabia que tinha algo para perder de vista.

Aqui, ela nem sabe que o tem.

Jim Taylor, presidente da RSA, descreve um banco de médio porte que acreditava não ter nenhum agente de IA ativo em sua operação e, ao investigar, encontrou mais de 4.000 circulando dentro dos próprios sistemas. O caso aparece no artigo de Hoque ao lado da pesquisa da Cloud Security Alliance que mediu o mesmo ponto cego em escala: a maioria das organizações pesquisadas carrega agentes que desconhece, e a maior parte já teve algum incidente ligado a eles. Nenhuma dessas pesquisas isolou ainda agentes pessoais como o Muse ou o Dots, lançados depois da coleta — o que sugere que o número real, hoje, é maior do que qualquer um desses estudos captou.

A leitura óbvia	O que o vácuo de decisão mostra
O risco é vazamento, injeção ou sequestro do agente	O risco é a empresa nunca ter decidido se o agente podia entrar
Resolve-se com inventário e política de TI	Resolve-se decidindo antes, não documentando depois
Falta visibilidade sobre o que circula	A visibilidade é efeito; a causa é a ausência de decisão

O agente pessoal não pede permissão para entrar. Ele já está dentro quando a empresa pergunta se deveria estar.

A empresa que trata isso como um problema de descoberta vai continuar descobrindo, porque o que falta não é um painel melhor — é alguém ter decidido, antes do próximo lançamento, o que um agente pessoal pode tocar.

O checklist que vira política, ou vira teatro

Entre as quatro medidas que Hoque propõe, a mais concreta é publicar, por escrito, uma página que classifica os agentes em aprovados, aprovados com limite e proibidos, proibindo conexão com sistemas financeiros, dados de clientes e o aplicativo que recebe código de segurança — e nomear quem é dono dessa lista e em que mês ela é revista. O inventário e o teste de desativação importam menos do que essa decisão escrita, feita antes do incidente. Sem a página, a empresa continua decidindo caso a caso, o que na prática significa que não decide.

A recomendação de exigir aprovação humana antes de qualquer ação externa do agente parece a mais óbvia das quatro, e é exatamente aí que a cautela precisa dobrar: um checkpoint de aprovação pode existir só no papel, sem que ninguém tenha medido se o tempo de aprovar é suficiente para o aprovador realmente julgar. Instalar o botão de aprovar sem medir quanto tempo ele de fato leva resolve a auditoria e não resolve o risco que a auditoria deveria conter.

O desligamento de um funcionário é o outro ponto em que a decisão de hoje evita o problema de depois. Incluir, na lista de tarefas de saída, a pergunta sobre quais agentes pessoais essa pessoa conectou ao trabalho, e revogar o acesso de cada um, custa uma linha num formulário de RH. Não ter essa linha custa descobrir, meses depois, que um agente ainda lê e-mails de um crachá que não existe mais. Uma política de uso de IA escrita antes do próximo Muse ou Dots chegar faz essa linha existir sem precisar ser inventada sob pressão, no meio de um incidente.

Se um funcionário saísse da empresa hoje, levando no próprio celular um agente pessoal conectado ao e-mail e à agenda de trabalho, quem saberia — e em que dia alguém perceberia?