5 Melhores Práticas para Governança de IA Agêntica em Serviços Financeiros

Por Maneeza Malik, Diretor de Marketing de Produto

A Agentic AI está transformando os serviços financeiros e o setor de seguros a um ritmo mais rápido do que a governança consegue acompanhar. O setor está indo além dos copilotos e chatbots, avançando para agentes autônomos de IA que operam em escala de produção. Isso exigirá uma mudança fundamental na gestão de riscos, na governança e no controle corporativos.

Gartner prevê que, até 2028, a empresa média da Fortune 500 implantará mais de 150.000 agentes de IA em todas as funções de negócios. Ao mesmo tempo, o Gartner alerta que as organizações — particularmente aquelas em setores regulamentados, como serviços financeiros e seguros — não estão adequadamente preparadas para a complexidade de governança, segurança, conformidade e operacional que a implantação de agentes em grande escala introduz.

Para bancos e seguradoras, isso cria uma nova realidade. Cada agente de IA se torna um ator digital interagindo com os principais sistemas de negócios. Cada novo agente expande a superfície de ataque da empresa. Cada fluxo de trabalho autônomo introduz novos riscos operacionais, de segurança e regulatórios.

É por isso que a IA agêntica não pode ser tratada como mais uma iniciativa de IA ou outra camada na pilha tecnológica. Ela exige controles de governança, identidade, segurança, observabilidade e conformidade que estejam integrados em toda a empresa.

Como o Agentic AI altera o modelo de risco financeiro

Os sistemas de IA tradicionais normalmente executavam tarefas estritamente definidas dentro de fluxos de trabalho financeiros bem estabelecidos, como classificar transações, gerar previsões ou recomendar ações. Os controles corporativos foram desenhados em torno desses casos de uso limitados, com humanos ou regras de negócio determinísticas governando o fluxo de trabalho geral e a execução.

O Agentic AI muda esse modelo. Os agentes de IA podem planejar e executar tarefas com várias etapas, acionar aplicativos corporativos e APIs, acessar dados em diversos sistemas, coordenar-se com outros agentes e adaptar suas ações de acordo com as mudanças no contexto. Em vez de dar suporte a uma única tarefa, eles podem orquestrar processos de negócios inteiros.

À medida que os agentes de IA se tornam participantes ativos nas operações empresariais, o modelo de risco corporativo se expande. As instituições financeiras devem governar não apenas o modelo de IA, mas também a identidade, as permissões, o acesso a ferramentas, os limites de decisão, o acesso a dados e o comportamento em tempo de execução de cada agente ao longo de seu ciclo de vida.

Isso introduz três mudanças significativas.

• Os limites de decisão tornam-se menos explícitos. À medida que os agentes executam fluxos de trabalho cada vez mais complexos, as organizações precisam de políticas claras que definam quando um agente pode agir de forma autônoma, quando a aprovação humana é necessária e como as decisões são monitoradas, governadas e auditadas.
• As integrações passam a fazer parte da superfície de ataque. Agentes dependem de APIs, aplicativos corporativos, plataformas SaaS, fontes de dados e serviços externos para concluir tarefas. Cada conexão introduz riscos potenciais relacionados a autenticação, autorização, exposição de dados e dependências de terceiros.
• A escala se torna um desafio de governança. Os sistemas multi-agentes podem crescer rapidamente, passando de um punhado de agentes para centenas ou milhares que executam funções especializadas. Sem o gerenciamento do ciclo de vida de agentes de IA, inventário, propriedade, imposição de políticas e monitoramento contínuo, as instituições financeiras e seguradoras correm o risco de perder a visibilidade sobre o que os agentes podem acessar ou como eles interagem em toda a empresa.

Padrões emergentes como o Protocolo de Contexto do Modelo (MCP) irá acelerar ainda mais essa tendência ao padronizar como os agentes de IA se conectam a ferramentas corporativas e fontes de dados. À medida que se torna mais fácil integrar agentes a sistemas empresariais, as organizações precisam de identidade, governança, imposição de políticas e controles de tempo de execução consistentes em cada interação de agente.

Melhores Práticas para Implementar Governança de IA em Serviços Financeiros

Para enfrentar esses desafios, as instituições financeiras devem estabelecer estruturas de governança que, ao mesmo tempo, reduzam o risco e preparem a empresa para comportamentos inesperados de agentes. As cinco melhores práticas a seguir fornecem uma base para:

• Reduzindo riscos operacionais, de segurança e de conformidade associados à implementação de IA agêntica em escala empresarial.
• Elaboração de planos de contingência para detectar, conter e reagir quando os agentes de IA apresentarem comportamentos inesperados, violarem políticas ou sofrerem falhas operacionais.

Melhores Práticas #1:
Governe Agentes de IA como Funcionários Digitais

O primeiro princípio é simples: trate cada agente de IA como um funcionário digital.

Todo agente deve ter:

• Uma função e um objetivo claramente definidos
• Um conjunto de responsabilidades delimitado
• Acesso de privilégio mínimo
• Ferramentas e fontes de dados aprovadas
• Fonteiras de decisão claramente definidas
• Supervisão com intervenção humana, quando apropriado

Sem esses controles, os agentes de IA se tornam atores não gerenciados operando em sistemas empresariais.

A governança também deve ser orientada por políticas, em vez de ser manual. As organizações precisam de políticas legíveis por máquina que definam o que os agentes têm permissão para fazer, quando podem agir de forma autônoma e quando precisam de aprovações com intervenção humana.

Em setores regulados como o bancário e o de seguros, a governança de IA é mais do que uma boa prática. É uma necessidade e uma função de controle que viabiliza a auditabilidade, a responsabilização e a conformidade regulatória.

Melhores práticas #2:
Proteja Todo o Ecossistema de Agentes de IA

Um erro comum é focar a segurança apenas no próprio Modelo de Linguagem Grande (LLM). Na realidade, a superfície de ataque corporativa se estende muito além do modelo assim que você começa a introduzir agentes de IA. Os agentes de IA interagem com:

• APIs
• Bancos de dados
• Sistemas de identidade
• Aplicativos e sistemas corporativos (por exemplo, CRM, ERP, RH, finanças, etc.)
• Fluxos de trabalho internos
• Serviços externos
• Ferramentas compatíveis com MCP

Toda conexão que um agente de IA pode acessar se torna parte da superfície de ataque da empresa.

À medida que os agentes de IA se tornam mais autônomos, a segurança deve ir além da proteção dos modelos subjacentes para abranger todo o ecossistema de agentes. Isso inclui gerenciamento de identidade e acesso, autenticação e autorização, segurança de APIs e ferramentas, controles de acesso a dados e aplicação de políticas para dados sensíveis – incluindo informações de identificação pessoal (PII) e informações comerciais confidenciais. O monitoramento contínuo em tempo de execução para detectar comportamento não autorizado, violações de políticas e ameaças emergentes é imperativo.

Cada ação que um agente executa deve ser tratada como uma transação empresarial privilegiada. Antes de acessar dados, invocar uma ferramenta ou executar um fluxo de trabalho, o sistema deve verificar a identidade, validar permissões, aplicar políticas e registrar a ação para fins de auditoria.

Para instituições financeiras e seguradoras, proteger a IA agêntica significa tratar os agentes de IA como identidades corporativas de primeira classe, governadas com o mesmo rigor aplicado a funcionários, aplicativos e contas de serviço.

Melhores práticas #3:
Implementar o Gerenciamento do Ciclo de Vida do Agente

Gerenciar alguns agentes de IA é simples. Gerenciar centenas ou milhares em unidades de negócios, ambientes, geografias e casos de uso é um desafio de governança empresarial. Sem um gerenciamento centralizado do ciclo de vida dos agentes e os controles adequados, a complexidade rapidamente se torna inacessível.

As organizações precisam de uma abordagem centralizada para gerenciar todo o ciclo de vida dos agentes – do provisionamento e implantação ao monitoramento, otimização, atualizações e desativação. Nenhum agente deve existir sem governança ou persistir indefinidamente.

O gerenciamento do ciclo de vida do agente deve incluir:

• Inventário e propriedade de agentes
• Gerenciamento de versão e configuração
• Gerenciamento de identidade e credenciais
• Observabilidade de tempo de execução e monitoramento de desempenho
• Aplicação de políticas e monitoramento de conformidade
• Logs de auditoria e histórico de atividades
• Avaliação contínua e avaliação de riscos
• Descomissionamento seguro

Sem esses recursos, as organizações perdem rapidamente a visibilidade sobre quais agentes existem em toda a empresa (inventário), por que eles existem (finalidade) e quem é o responsável por eles (propriedade, rastreabilidade e prestação de contas). Para setores regulamentados, manter essa visibilidade — e a trilha de auditoria correspondente — é essencial para a governança, a conformidade e a gestão de riscos.

Em muitos casos, os agentes são criados para funções ou processos específicos da empresa, mas, com o tempo, esse contexto se perde. Isso gera o risco de agentes de IA não gerenciados ou “sombra”, além de incertezas sobre a quais sistemas eles podem acessar, como se comportam e se continuam a operar dentro dos limites aprovados.

A observabilidade é um componente essencial do gerenciamento do ciclo de vida dos agentes. Ao contrário dos aplicativos tradicionais, os agentes de IA tomam decisões dinâmicas, acionam ferramentas e se adaptam a contextos em constante mudança. As organizações precisam de visibilidade em tempo real sobre a atividade dos agentes, o uso de ferramentas, as violações de políticas, as falhas e os caminhos de execução para dar suporte à resposta a incidentes, ao diagnóstico de problemas operacionais e à conformidade regulatória.

Melhores práticas #4:
Definir Métricas de Desempenho de Agentes

Instituições financeiras e seguradoras devem definir métricas claras de desempenho e eficácia para garantir que os agentes de IA entreguem consistentemente valor de negócios enquanto operam dentro de limites aprovados de risco e conformidade.

A gestão de desempenho de agentes deve incluir:

• Métricas de resultado de negócios e sucesso de tarefas: medir se os agentes estão alcançando os objetivos de negócios pretendidos e entregando o valor esperado.
• Qualidade de decisão e consistência de saída: avaliar continuamente a precisão, a confiabilidade e a consistência das decisões e respostas do agente.
• Monitoramento do comportamento e da conformidade com as políticas: detectar a ferramenta não autorizada usage, caminhos de execução inesperados ou ações que estejam fora das políticas de governança aprovadas.
• Detecção de desvio de modelo e de comportamento: identificar mudanças no desempenho do modelo ou no comportamento do agente ao longo do tempo que possam indicar desvio do modelo, problemas de qualidade de dados, alterações de prompt ou adaptação não intencional.
• Métricas de integridade operacional e supervisão humana: monitorar a disponibilidade, a latência, as falhas, as taxas de escalonamento e as intervenções humanas para garantir que os agentes permaneçam confiáveis e fidedignos.

A gestão de desempenho de sistemas baseados em agentes vai além do monitoramento tradicional de aplicativos. As organizações precisam de visibilidade contínua sobre a qualidade das decisões, os caminhos de execução, a ferramenta usage e as mudanças comportamentais ao longo do ciclo de vida de um agente. Desvios em relação ao comportamento esperado — sejam eles causados por desvio do modelo, alterações de configuração, dados em evolução ou outros fatores — devem acionar uma revisão estruturada e, quando apropriado, a intervenção humana. É por isso que os fluxos de trabalho com participação humana e a supervisão continuam sendo um controle de governança essencial.

Junto com o gerenciamento do ciclo de vida dos agentes, a medição contínua de desempenho fornece a base operacional para governar a IA agêntica em escala empresarial.

Melhores Práticas #5:
Incorporar a conformidade e a supervisão humana aos fluxos de trabalho dos agentes

Em indústrias reguladas, a conformidade não pode ser uma etapa de validação externa. Ela deve ser integrada diretamente ao design, à execução e ao monitoramento dos agentes.

Os requisitos de conformidade — incluindo disposições regulatórias, políticas internas, padrões de auditabilidade e regras de governança de dados — devem ser aplicados de forma contínua nos fluxos de trabalho dos agentes. Isso inclui a incorporação de restrições para dados usage, controles jurisdicionais, rastreabilidade de decisões e requisitos de retenção diretamente na lógica de execução.

A supervisão com intervenção humana continua sendo um controle essencial, mas deve ser aplicada de forma seletiva e com base no risco. Nem todas as ações exigem envolvimento humano. No entanto, ações de alto impacto, como transações financeiras, decisões relacionadas ao cliente ou acesso a dados confidenciais, devem acionar revisões do fluxo de trabalho com intervenção humana com base em limites de risco definidos.

A supervisão também deve ser estruturada e consistente. As organizações precisam de caminhos de escalonamento definidos, fluxos de trabalho de aprovação e mecanismos de intervenção que sejam padronizados em todos os agentes. Isso garante que o envolvimento humano seja previsível, auditável e alinhado com as políticas de risco da empresa, em vez de ser uma intervenção ad hoc.

Para instituições financeiras e seguradoras, incorporar conformidade e supervisão humana nos fluxos de trabalho dos agentes é o que permite escalar sem perder o controle regulatório.

Transformando o Agentic AI em execução com o Jitterbit Harmony

O desafio para as instituições financeiras e seguradoras não é construir agentes de IA, mas torná-los operacionais com governança, segurança, conformidade e observabilidade consistentes em ambientes corporativos híbridos.

Jitterbit Harmony aborda isso com uma plataforma low-code unificada e com infusão de IA que reúne:

• iPaaS
• Desenvolvimento de aplicativos
• Gerenciamento de API de ciclo de vida completo
• Assistentes de IA e agentes de IA

Com o Harmony, instituições financeiras e seguradoras podem integrar fontes de dados e sistemas e orquestrar fluxos de trabalho complexos e agentes em grande escala – a partir de um único ambiente. Controles abrangentes de segurança, governança de IA, observabilidade e conformidade estão integrados à plataforma. Isso permite que as organizações ampliem a automação, mantendo:

• Controle operacional
• Auditabilidade
• Alinhamento regulatório
• Aplicação de segurança

Jitterbit Agentic AI Services: Da estratégia à produção

Agentic AI e Professional Services da Jitterbit a equipe ajuda as organizações a passarem da estratégia para a implantação pronta para produção de sistemas agênticos.

Com profunda experiência em integração, design de fluxo de trabalho e arquiteturas agênticas, a equipe apoia o desenvolvimento de:

• fluxos de trabalho baseados em RAG
• Controles com intervenção humana
• Arquitetura de agente seguro
• Estrutura de governança corporativa

As organizações podem acelerar a adoção enquanto garantem que os agentes sejam implantados com salvaguardas adequadas, rastreabilidade e supervisão operacional.

Pronto para começar sua jornada em IA agêntica?

Veja como a Jitterbit ajuda instituições financeiras e seguradoras a criar, conectar e dimensionar soluções de IA agêntica com assistentes de IA, agentes de IA e a base de integração necessária para competir em um mercado impulsionado por IA.