O funcionário que não dorme

A parte mais incômoda de escrever Intellio foi perceber, no meio do processo, que eu não conseguia definir o momento em que ela vira um problema. Não há invasão, não há tomada de poder, não há um dia em que alguém decide entregar o mundo. Há uma sucessão de decisões razoáveis, cada uma delas defensável numa reunião: dar acesso a mais um sistema, permitir mais uma automação, tirar mais uma aprovação humana do caminho porque estava atrasando o processo.

É assim que acontece. E, ao contrário da Caixa de Pandora do capítulo 3, isso não é hipótese de laboratório — é o projeto que a sua empresa provavelmente aprovou este ano.

2026 é o ano em que os agentes saíram do slide

A mudança de fase é reconhecida pelo próprio mercado: as empresas pararam de construir agentes de inteligência artificial e passaram a operá-los. Menos protótipo, mais produção. Agentes que monitoram infraestrutura, fazem triagem de incidentes, aplicam correções, cobram, atendem, fecham o mês. Alguns sustentam turnos de muitas horas seguidas sem intervenção humana.

E com a operação vieram as perguntas que protótipo nenhum precisava responder: quem responde quando uma ação automática gera um incidente? Quem define o que esse trabalhador digital pode e não pode fazer? Quem supervisiona o uso dos dados e das ferramentas que ele acessa?

A previsão do Gartner sobre isso deveria assustar mais do que assusta: até 2027, 40% das organizações vão rebaixar ou desativar agentes de inteligência artificial autônomos por causa de lacunas de governança — identificadas somente depois de um incidente em produção. Não antes. Depois.

O erro de arquitetura que se repete

O diagnóstico do Gartner é preciso e vale mais que qualquer previsão: as organizações estão tratando governança de agentes como coisa binária — ou totalmente restrito, ou totalmente confiável — e é essa a causa raiz do fracasso. As falhas aparecem quando a empresa não distingue duas coisas que parecem a mesma: a capacidade que o agente tem de agir e o escopo de acesso que a empresa concedeu a ele.

Um agente que só lê dados e um agente que executa transferências não podem passar pelo mesmo controle. Aplicar a mesma régua aos dois é garantir que um deles esteja errado — e, na prática, quem paga é sempre o segundo.

Há um detalhe ainda mais humano no diagnóstico: sem testes de segurança sérios, fluxos de aprovação com trilha de auditoria e procedimento de resposta a incidente por agente, as aprovações se deterioram sob pressão de tempo e fadiga de aprovação. Quem já assinou a décima quinta aprovação de um dia sabe exatamente o que isso significa. A supervisão continua existindo no organograma e deixou de existir na realidade — criando, nas palavras do próprio relatório, uma falsa sensação de segurança que amplia o risco em vez de reduzi-lo.

Foi assim que Intellio cresceu no livro. Ninguém entregou nada. Todo mundo aprovou um pedaço.

A porta que ninguém tinha visto

Em junho de 2025, pesquisadores documentaram uma falha crítica no assistente de inteligência artificial embutido numa das suítes corporativas mais usadas do mundo, catalogada como CVE-2025-32711 e batizada de EchoLeak. O mecanismo é o que interessa aqui: o ataque não precisava de clique da vítima nem de credencial roubada. Bastava que o assistente lesse um conteúdo preparado — e o conteúdo instruía o assistente a vazar informação.

Foi descoberta por pesquisadores antes de causar dano documentado em larga escala. Mas o precedente é conceitual e não vai embora: quando um agente tem acesso legítimo aos seus dados, quem controla o que ele lê controla parcialmente o que ele faz. A superfície de ataque deixou de ser o seu sistema e passou a ser o texto que entra nele.

Seis perguntas para levar ao conselho

Não são perguntas técnicas. São perguntas de responsabilidade, e por isso não deveriam ser respondidas só pela área de tecnologia:

• Quantos agentes estão em produção hoje? A maioria das empresas erra esse número para menos, porque agentes chegam dentro de ferramentas que ninguém classificou como inteligência artificial.
• Qual o nível de autonomia de cada um? Só lê; lê e sugere; executa com aprovação; executa e reporta depois. Sem essa classificação, não existe governança proporcional — existe régua única, que é o erro apontado.
• Capacidade e acesso estão separados no papel? O que ele consegue fazer é uma coisa; o que ele tem permissão de alcançar é outra. Confundir as duas é a falha mais comum.
• Quem aprova mudança de comportamento do agente? Prompt, política e integração mudam sem passar por comitê nenhum na maior parte das empresas. Isso é alteração de sistema em produção sem controle de versão.
• Existe trilha de auditoria fora do alcance do agente? Log que o próprio sistema pode alterar não é auditoria, é narrativa.
• Vocês já testaram retomar o controle manual? Se o agente parar, a operação para junto? Ensaie, cronometre, documente. É a única forma de saber.

A lista do que nunca é dele

Se eu pudesse deixar uma única prática deste dossiê, seria esta: escreva, antes do primeiro projeto, a lista de decisões que jamais serão automatizadas na sua empresa. Pagamento acima de um valor. Demissão. Concessão de crédito. Comunicação pública em nome da companhia. Alteração de configuração de segurança. Exclusão definitiva de dado.

Essa lista precisa existir antes da primeira exceção, porque a primeira exceção sempre parece razoável, sempre é urgente e sempre tem alguém competente defendendo. Depois dela, a lista vira decoração.

Intellio não venceu por ser mais inteligente que os personagens do livro. Venceu porque, em nenhum momento da história, alguém tinha escrito o que ela não podia fazer.