A reunião é sempre a mesma. Alguém mostra um agente que funciona, alguém dos sistemas pergunta que acessos vai precisar, e a resposta — «teria de poder atualizar o estado no ERP» — transforma uma demonstração de quinze minutos num ponto da ordem de trabalhos de um comité que se reúne de três em três semanas. A partir daí, o calendário do projeto já não é decidido por quem o construiu.
A tese numa frase: as permissões de escrita de um agente de IA não são uma casa de segurança que se assinala no fim do desenho, são a variável que mais mexe no custo e no prazo de tudo o resto. Um agente que só lê monta-se em semanas e aprova-se sem drama. Assim que escreve num sistema de registo aparecem aprovações, reversão, reconciliação e auditoria, e o projeto muda de divisão. Essa casa decide-se primeiro, não no fim, porque o resto do orçamento está pendurado nela.
As permissões de escrita de um agente de IA não são uma decisão de segurança: são a rubrica mais cara
É a segurança que convoca a conversa, por isso ela formula-se na sua linguagem: ameaças, superfície de ataque, privilégio mínimo. É um enquadramento correto e incompleto. O que sai caro em deixar um agente escrever não é o risco de alguém o sequestrar — esse risco é real e limita-se com desenho de acessos, que é outra conversa. O que sai caro é tudo o que há para construir à volta para que a escrita seja aceitável: um caminho de volta quando o agente se engana, uma forma de saber que se enganou, e alguém com nome que responda pelo que ficou escrito.
É aqui que se muda de divisão. Um agente de só leitura precisa de acesso de consulta e de um sítio onde deixar o resultado. Um agente que escreve precisa, no mínimo, de quatro peças que quase nunca vão a orçamento: uma maneira de desfazer cada ação, uma reconciliação periódica que apanhe o que foi mal escrito sem ninguém dar por isso, uma fila de exceções com uma pessoa a olhar para ela, e um rasto por ação que permita reconstruir o que aconteceu três meses depois. Nenhuma das quatro é o agente. As quatro pagam-se na mesma.
O desenho dos acessos em si — a matriz do que lê, do que escreve, do que executa e do que nunca toca — desenvolvemo-lo em que permissões dar a um agente de IA. O que acrescentamos aqui é a camada de cima, a que se discute na reunião de orçamento e não na de arquitetura: quanto te custa cada resposta dessa matriz.
O que um agente que só lê entrega mesmo
A objeção imediata é que um agente que não escreve não serve para nada. É falsa, e é uma daquelas crenças que sobrevivem porque ninguém pára para listar o contrário. Com acesso apenas de leitura, e sem tocar numa única linha de nenhum sistema, um agente entrega coisas que hoje consomem horas de gente cara:
- Preparar a decisão em vez de a tomar: o processo completo, com o histórico, os anexos e os três números que interessam, pronto para uma pessoa resolver em dois minutos o que lhe levava vinte.
- Ver o que ninguém olha: contratos a caducar, encomendas paradas, clientes sem atividade há quarenta dias, desvios entre dois sistemas que deviam dizer o mesmo.
- Escrever o rascunho: o email, o relatório, a resposta ao concurso, a ficha do candidato. O texto sai inteiro e quem o envia é um humano, que é exatamente onde estava o trabalho.
- Responder a perguntas sobre dados dispersos: o que está no ERP, no CRM e numa pasta de rede, respondido numa frase e com o link para a fonte.
- Vigiar a qualidade do que os outros escrevem: comparar o registado com o documentado e levantar a mão quando não bate certo.
Repara no que os cinco têm em comum: o agente produz e uma pessoa dispõe. A poupança é real — procurar, reunir, comparar e redigir é o grosso de muitos processos — e o risco máximo é alguém ler mal e corrigir antes de agir. Por isso estes projetos aprovam-se numa reunião e não em três: não há nada para desfazer.
O que aparece no minuto em que o agente escreve
A fronteira não é gradual: atravessa-se de uma vez. Assim que uma ação do agente fica registada num sistema pelo qual a empresa responde, mudam ao mesmo tempo cinco coisas que antes não estavam no projeto.
| O que muda | Agente de só leitura | Agente que escreve num sistema de registo |
|---|---|---|
| Quem aprova | O dono do processo, às vezes o chefe dele | Um comité: sistemas, risco, proteção de dados e, se houver dinheiro pelo meio, auditoria interna |
| O que se constrói além do agente | Acesso de consulta e um sítio onde deixar o resultado | Desfazer por ação, reconciliação periódica, fila de exceções e rasto reconstruível |
| O que acontece quando se engana | Alguém lê mal e corrige antes de agir | O erro já está lá dentro e disparou o que vinha a seguir: um aviso ao cliente, um pagamento, um lançamento |
| Quanto tempo até estar vivo | Semanas | Meses, e o grosso do calendário não é construir o agente |
| O que exige o regulador europeu se o caso for de alto risco | Pouco: o agente não decide nada sozinho | Supervisão humana efetiva, com capacidade de ignorar o resultado e parar o sistema |
A última linha não é retórica. Na União Europeia, o artigo 14 do regulamento da IA exige que os sistemas de alto risco sejam desenhados para que as pessoas encarregadas da supervisão possam decidir não usar o sistema, ignorar, anular ou reverter o seu resultado, e possam interromper o funcionamento através de um botão de paragem ou procedimento equivalente. Fonte: Article 14 — Human oversight, regulamento (UE) 2024/1689. (Âmbito: União Europeia, e só para os sistemas classificados como de alto risco. Um agente que lê e propõe raramente cai nessa categoria; um que executa sobre pessoas, com frequência sim.)
Lido ao contrário, esse artigo é uma lista de compras técnica: anular, reverter, parar. Se o teu agente escreve e não sabes dizer como se faz cada uma das três, não tens um tema de conformidade para mais tarde. Tens três peças por construir e por orçamentar.
Os três padrões intermédios que quase ninguém põe em cima da mesa
A discussão é posta como um interruptor — lê ou escreve — e é aí que se perde o dinheiro, porque entre os dois extremos há três posições intermédias que entregam quase todo o valor da escrita por uma fração do seu custo de aprovação.
1. O rascunho que um humano confirma
O agente deixa a ação preparada e alguém carrega. O email redigido na caixa de saída, a encomenda criada em estado rascunho, o lançamento proposto e não contabilizado. Tecnicamente o agente escreve, mas escreve num estado que não produz efeito, e isso muda tudo na conversa de aprovação: não há nada para desfazer, porque ainda não aconteceu nada. O custo é uma pessoa a confirmar: barato com volume baixo e caro exatamente quando o sistema já provou que acerta. Esse é o momento de subir um degrau, não antes.
2. A escrita numa área de staging
O agente escreve a sério, mas numa tabela, num espaço ou num ambiente que é dele e do qual mais ninguém depende. Outro processo — muitas vezes um que já existia — recolhe dali e leva-o ao sistema real com as suas próprias validações. É o padrão que menos se propõe e o que passa os comités mais depressa, porque o sistema de registo mantém intactos os seus controlos de entrada: o agente não é um utilizador privilegiado, é mais uma fonte de dados — e as fontes de dados a empresa já sabe tratá-las.
3. A escrita reversível com janela para desfazer
O agente atua diretamente, mas só sobre ações para as quais existe um caminho de volta que cabe numa frase, e durante uma janela em que desfazer não custa nada. Mudar o estado de uma encomenda é reversível; emitir a fatura dessa encomenda não é. A regra prática é dura e útil: uma ação só se automatiza sem confirmação se alguém conseguir explicar numa frase como se desfaz. Se a frase não existe, a ação fica no padrão 1. Os critérios para ir subindo — volume de casos vistos, taxa de correção humana e reversibilidade — estão desenvolvidos em os níveis de autonomia de um agente.
Como se negoceia o salto por fases
O erro de negociação mais comum é pedir a escrita no dia da proposta, quando o agente ainda não provou nada e quem tem de aprovar não tem um único dado com que decidir. Pede-se no pior momento possível: incerteza máxima, evidência mínima. O resultado é previsível — um comité, três semanas, uma lista de condições — e costuma ser o momento em que o projeto começa a morrer de tédio.
A alternativa é arrancar em leitura e chegar à reunião de ampliação com três números que antes não existiam: quantos casos o agente viu, em que percentagem o humano mudou o que ele propunha, e quantas dessas correções foram de critério e não de dados. Com isso, a conversa deixa de ser sobre confiança e passa a ser sobre evidência, terreno onde os comités se movem bem. E o que se pede não é «que possa escrever», mas uma lista curta de ações concretas, cada uma com a sua frase sobre como se desfaz.
Convém ainda escrever desde o início a lista do que nunca sobe, por muita evidência que se acumule: o irreversível, o que toca em dinheiro de terceiros, o que é visível para o cliente sem revisão e o que afeta os direitos de uma pessoa. Pôr esse limite por escrito no dia um é o que permite negociar tudo o resto à vontade, porque mostra que a proposta tem travões e não só acelerador.
O mercado já está a pagar esta fatura
Que isto não é mania de arquiteto sugere-o o tamanho do desperdício. A Gartner prevê que mais de 40 % dos projetos de IA agêntica sejam cancelados antes do fim de 2027, e aponta três causas: custos que disparam, valor de negócio pouco claro e controlos de risco insuficientes. Fonte: Gartner Predicts Over 40% of Agentic AI Projects Will Be Canceled by End of 2027, Gartner, 25 de junho de 2025. (Âmbito: previsão global da consultora, não um resultado nosso. Dimensiona o problema, não descreve o que entregamos.)
As três causas são a mesma coisa vista de três sítios. Um projeto que dá a escrita como adquirida descobre tarde o custo dos controlos que a escrita exige, e essa descoberta tardia é ao mesmo tempo a derrapagem, o atraso que corrói o valor percebido e o controlo de risco que chegou depois do desenho. A decisão de leitura ou escrita, tomada no dia um e por escrito, é o que separa um projeto que se entrega de um que se cancela com o orçamento já gasto.
Quando já há vários agentes vivos, isto deixa de ser uma decisão por projeto e passa a ser uma função: quem autoriza cada ampliação de âmbito, com que evidência, o que fica registado e quem responde. Essa função contínua é o que montamos em governar os agentes de IA da tua empresa; este artigo é a decisão concreta que a torna necessária.
Decide primeiro se escreve
Se hoje tens uma proposta de agente em cima da mesa, há uma pergunta a responder antes das outras e antes de olhar para um único preço: este agente escreve nalgum sistema pelo qual respondemos? Se a resposta for não, o projeto é curto, o risco é de leitura e a aprovação cabe numa reunião. Se a resposta for sim, o orçamento que tens à frente está incompleto, porque não inclui desfazer, reconciliar, atender exceções nem deixar rasto. E se a resposta for «bom, mais para a frente», exige que se transforme num não explícito para a fase um e numa lista de ações concretas para a fase dois.