Um agente de IA é um modelo de linguagem cercado por camadas que definem o que ele sabe, o que ele faz e o que ele não pode fazer. É nessas camadas que estão hoje o valor e o risco.
Peça a um assistente de IA para renegociar uma dívida e ele vai responder com fluência. Vai explicar o que é um acordo, sugerir um desconto razoável e talvez até redigir a mensagem. O que ele não consegue fazer sozinho é saber quanto você deve, consultar a política do credor, calcular a proposta e registrar o acordo. Para isso, o modelo de linguagem precisa de algo em volta.
Essa é a diferença entre um modelo e um agente. O modelo é a inteligência: interpreta o pedido e raciocina sobre ele. O agente é o modelo mais as camadas que dizem o que ele sabe, o que ele pode fazer e o que ele não pode fazer de jeito nenhum. É nessas camadas, e não no modelo, que estão hoje a maior parte do valor e do risco.
Nem toda aplicação de IA é um agente. Vale separar três desenhos, do mais simples ao mais autônomo.
Recebe uma pergunta e devolve uma resposta. Não consulta sistemas nem executa nada. É o uso mais comum do ChatGPT e de ferramentas parecidas.
O modelo participa de um caminho definido em código. Por exemplo: recebe um documento, extrai os campos e passa para a etapa seguinte. Quem decide a sequência é quem programou.
O modelo decide os próprios passos e funciona em ciclo. Ele entende o pedido e decide o que fazer. Depois usa uma ferramenta, observa o resultado e recomeça. O ciclo só termina quando a tarefa está concluída ou quando o caso precisa passar para uma pessoa.
A distinção entre workflow e agente vem de um texto de referência da Anthropic, de dezembro de 2024. Ele recomendava começar pela solução mais simples possível e só aumentar a complexidade quando necessário. O conselho continua valendo: muito do que hoje se vende como agente é, e deveria ser, um workflow bem desenhado.
No centro de qualquer agente está um modelo de linguagem: um LLM ou, em tarefas mais restritas, um SLM. O modelo foi treinado para prever a continuação mais provável de um texto. Na prática, isso o torna bom em interpretar pedidos escritos de formas diferentes, resumir, classificar e raciocinar sobre o que recebe.
Para quem decide, três limites importam mais do que essas qualidades:
O modelo não conhece o saldo, o histórico nem a política de nenhuma empresa, a menos que essa informação seja entregue a ele.
Sem ferramentas, ele não consulta sistemas, não garante a precisão de um cálculo e não registra nada.
Quando falta informação, o modelo tende a preencher a lacuna com algo plausível. É o que se chama de alucinação.
Esses limites ajudam a explicar por que os próprios provedores passaram a tratar o modelo como peça substituível. O agente que o Google lançou para empresas em 8 de outubro escolhe, por padrão, o modelo mais adequado para cada tarefa. O cliente pode trocar por outro, inclusive de terceiros, a começar pelo Claude, da Anthropic. A Microsoft foi mais direta. Hayete Gallot, responsável pela área de segurança da empresa, afirmou que “frontier models, regardless of their origin, cannot be trusted”: modelos de fronteira, qualquer que seja a origem, não são confiáveis.
Quem compra “o melhor modelo do momento” compra o item que mais rápido se substitui. O que não se troca com um novo contrato é o que está em volta dele.
Em engenharia de agentes, harness é o nome dado à estrutura que cerca o modelo e o conecta ao mundo. Proponho lê-lo em três camadas, do centro para a borda.
Os dados certos na hora certa: cadastro, produto, histórico de relacionamento, estágio de atraso e regras vigentes. Sem contexto, o melhor modelo responde com fluência sobre um cliente que não conhece.
Decide a sequência e dá ao modelo suas ferramentas. Define quando consultar um sistema, quando calcular, quando encerrar e quando escalar para uma pessoa. É aqui que a maior parte das decisões deve seguir regra, e não improviso.
Define o que o agente pode e não pode fazer, aplicado fora do modelo. Inclui alçadas, limites, permissões de acesso, trilha de auditoria e a capacidade de interromper. É a camada que o agente não consegue sobrescrever, por mais convincente que seja o pedido que recebe.
A ordem importa. A autoridade fica na borda porque precisa valer mesmo quando as camadas internas falham. Foi o desenho que a Microsoft colocou em versão final em 7 de outubro. Com os Microsoft Execution Containers, a organização define quais arquivos e redes um agente pode alcançar, e a regra é aplicada em tempo de execução, fora do agente. Satya Nadella, CEO da Microsoft, resumiu a ideia em uma frase:
“We need to separate the supply of intelligence from the authority over it.”Em tradução livre: é preciso separar a oferta de inteligência da autoridade sobre ela.
Para ver as camadas funcionando, vale seguir um único pedido. Um cliente com uma parcela em atraso escreve no WhatsApp do credor: “quero fazer um acordo”.
O modelo entende a intenção, mesmo que o pedido venha escrito de outro jeito, como “dá pra parcelar?” ou “tô sem dinheiro esse mês”.
O agente recebe o saldo, os dias de atraso, os acordos anteriores e a política vigente para aquele produto e aquele estágio.
Um motor de cálculo, e não o modelo, simula as opções. A orquestração decide se o caso segue no fluxo automático ou vai para um negociador.
Antes de a proposta chegar ao cliente, uma regra fora do modelo confere desconto, prazo e elegibilidade. Se a proposta passar do limite, ela é bloqueada. Tudo fica registrado em nome do agente.
O ponto central está na etapa 4. Em crédito e cobrança, a camada de autoridade tem um nome conhecido: alçada. Uma alçada escrita no prompt é uma sugestão ao modelo. Uma alçada aplicada fora dele é uma regra. A edição Nº 07 detalhou esse desenho com grafos de decisão.
Três consequências práticas:
O Google passou a registrar as ações do seu agente corporativo em nome dele, e não de um funcionário. No Brasil, a Resolução CMN nº 5.274, de dezembro de 2025, alterou a Resolução CMN nº 4.893. Ela incluiu mecanismos de rastreabilidade entre os controles mínimos de segurança cibernética, com trilhas de auditoria do processamento de ponta a ponta. Um agente que transaciona sem trilha é um ponto cego.
O Banco do Brasil publicou diretrizes para IA generativa e agêntica com autonomia faseada, supervisão humana em situações críticas e mecanismos para interromper agentes. O banco informa mais de 12 mil agentes em operação. Autonomia se concede por etapas, conforme o histórico, como uma alçada que cresce com o tempo. A edição Nº 08 discutiu onde o autopilot faz sentido e onde o julgamento humano continua necessário.
O art. 20 da LGPD garante ao titular o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, inclusive as que definem o perfil de crédito. A lei também obriga o controlador a informar os critérios e procedimentos usados. Isso só é possível se a operação conseguir reconstruir o que o agente decidiu e por quê.
Enquanto isso, o Marco Legal da IA (PL 2338/2023), aprovado pelo Senado em dezembro de 2024, segue aguardando o parecer do relator na comissão especial da Câmara.
Um agente útil e seguro não nasce da API mais cara do momento. Ele nasce de decisões tomadas antes: que dados recebe, que caminhos pode seguir e, principalmente, quem tem autoridade sobre o que ele faz.
A pergunta para a liderança é simples:
Na sua operação, quem tem autoridade sobre o que o agente faz, e onde essa regra está escrita fora do modelo?
As respostas passam a trazer gráficos, botões, mapas e pequenas calculadoras interativas. O recurso chegou primeiro aos planos pagos e, no dia seguinte, ao plano gratuito, com uma versão mais leve do modelo.
No Android Auto, o assistente do Google pode avisar que um voo está atrasado e informar o portão de embarque. A personalização só funciona se o usuário ativar e escolher quais apps conectar, e pode ser desligada a qualquer momento. O lançamento é global, com exceção do Espaço Econômico Europeu, da Suíça, do Reino Unido e da Nigéria. É a camada de autoridade nas mãos do próprio usuário.
O dado é do Agentic Commerce Report 2026, da Global Payments, com 8.027 consumidores em sete países ouvidos pela The Lantern. Em 2025, a fatia era de 39%, e o Brasil hoje só fica atrás da China. As maiores preocupações são a segurança do pagamento (50%), a privacidade (45%) e a IA fazer a escolha errada (41%). Além disso, 36% não sabem quem responde se algo der errado.
O comprador escolhe o banco no próprio chat e autoriza o pagamento no app do banco. No mesmo pacote, a Meta passou a cobrar das empresas por volume de texto quando a IA responde no lugar do vendedor. As informações são da AI Brasil, com base no registro oficial de mudanças da plataforma.
O dado é da VU, empresa de prevenção a fraudes, apresentado em setembro. A fatia de conteúdo sintético nas fraudes detectadas passou de 0,1% em março de 2025 para 6,5% em 2026. As perdas de bancos e da infraestrutura financeira com fraudes ligadas a IA chegaram a R$ 1,8 bilhão entre julho de 2025 e abril de 2026.
Este texto expressa exclusivamente a opinião pessoal do autor, construída a partir de fontes públicas. Não representa a visão de nenhum empregador, atual ou anterior, e não usa informação interna de nenhuma instituição.
