Quando o agente usa o login de um funcionário, a auditoria não consegue distinguir os dois

Se o agente usa o acesso de um analista, ele herda tudo o que o analista pode fazer, inclusive o que não tem relação nenhuma com sua função. Um agente criado para consultar status de pedido passa a ter, por herança, permissão para alterar preço, cancelar nota e exportar base de clientes — não porque alguém decidiu, mas porque ninguém separou.

O segundo efeito é sobre o registro. A trilha mostra o nome da pessoa em ações que ela não executou, e a apuração de um incidente começa por uma entrevista constrangedora com quem não tem como provar que não foi. Rastreabilidade não é um relatório: é a capacidade de atribuir cada ação a um ator distinto.

Há também o efeito de saída. Quando o analista muda de área ou deixa a empresa, a credencial é revogada e o agente para — ou, pior, a credencial é mantida ativa justamente para que o agente continue funcionando, criando um acesso vivo de um funcionário que não está mais lá.

Privilégio mínimo (least privilege) é a regra de conceder apenas o acesso estritamente necessário para a função específica. Aplicada a um agente, ela se desdobra em três recortes: por sistema, por tipo de operação e, quando o sistema permite, por faixa de valor ou de criticidade.

Considere um agente de conciliação financeira. Ele precisa ler lançamentos e escrever a classificação de cada um; não precisa criar fornecedor, alterar dados bancários nem aprovar pagamento. Recortar assim reduz o dano possível de um erro de instrução, de uma alteração indevida na configuração e de um uso desviado por quem controla o agente.

A revisão do escopo precisa acontecer quando a função muda, não em ciclo de calendário apenas. Ampliação de escopo é decisão, e decisão sem registro se dilui: quem pediu, quem aprovou e com qual justificativa são os três campos que evitam o crescimento silencioso da permissão ao longo de meses.

O art. 46 da LGPD exige medidas de segurança aptas a proteger dados pessoais de acessos não autorizados. Escopo recortado por operação é uma dessas medidas quando o agente toca dado pessoal, e é o tipo de controle que precisa estar descrito, não apenas praticado.

Credencial de agente precisa de prazo. Sem data de expiração, o acesso sobrevive ao projeto que o justificou, e o caso mais comum de acesso órfão é exatamente esse: iniciativa encerrada, equipe realocada, credencial ativa.

Definir a expiração obriga uma renovação consciente. Na renovação, três perguntas voltam à mesa: o agente ainda opera, o escopo continua o mesmo e quem aprovou continua respondendo por ele. Um acesso que ninguém renova é um acesso que ninguém queria.

A revogação precisa de dono e de gatilho. Dono é quem executa a desativação; gatilho é o evento que a dispara — fim do projeto, troca de fornecedor, incidente de segurança, mudança do processo que o agente atende. Sem gatilho declarado, a revogação depende de alguém lembrar.

O registro mínimo tem seis campos: quantos agentes existem, o que cada um acessa, qual operação pode executar em cada sistema, quem autorizou o escopo, desde quando está ativo e quando expira. Nenhum desses campos exige ferramenta especial; todos exigem que alguém seja responsável por mantê-los.

Sem esse inventário, a pergunta "quem tinha acesso a esse dado" não tem resposta verificável — tem estimativa. Em investigação de incidente e em resposta a pedido de titular, estimativa não sustenta a posição da empresa.

A ISO/IEC 42001:2023 estrutura a gestão de IA em torno de inventário e controle dos sistemas em uso, e o NIST AI RMF trata a rastreabilidade como condição para gerenciar risco. Os dois convergem no mesmo ponto prático: o que não está registrado não está sob controle.