Autorização de agentes de IA: níveis de permissão por confiança

A autorização de agentes de IA é o conjunto de regras que define o que um agente pode ler, alterar e enviar, e quem precisa aprovar cada tipo de ação. A forma mais confiável de definir essas regras é por níveis de permissão: o agente começa no nível mais baixo e sobe um degrau por vez, somente quando os registros mostram que ele se comporta de forma confiável no nível atual. Capacidade não dá autoridade. Histórico dá.

Principais pontos

• A autoridade deve seguir a evidência do seu próprio ambiente, não a reputação do agente nem sua capacidade bruta.
• Defina poucos níveis, de observar até agir sozinho dentro de limites, e mantenha uma lista reservada de ações que sempre exigem uma pessoa.
• A promoção precisa de critérios escritos: casos reais suficientes, erros revisados e classificados por tipo, avaliações aprovadas, logs completos e um responsável nomeado que assine a decisão.
• Aplique os níveis nas credenciais e na camada de ferramentas, nunca apenas no prompt, e dê ao agente uma identidade própria.
• Planeje o rebaixamento com o mesmo cuidado da promoção, para que reduzir a autoridade seja um passo rotineiro e sem culpados.

Por que a autoridade deve seguir a evidência e não a capacidade?

Quando se fala de agentes muito capazes, até superinteligentes, a autorização costuma aparecer como algo a relaxar conforme o sistema fica mais esperto. O instinto mais seguro é o oposto. Quanto mais um agente consegue fazer, mais cara fica uma permissão errada, e menos provável é que um revisor humano perceba o erro só olhando o resultado.

Capacidade diz o que um agente pode fazer em geral. Evidência mostra o que ele faz com os seus dados, com as suas entradas irregulares, com os seus clientes e com as suas exceções. Um bom paralelo é o profissional novo e talentoso. Ninguém duvida do talento, mas ele não recebe poder de aprovar pagamentos no primeiro dia. Ele ganha escopo à medida que os colegas veem o trabalho se sustentar.

Há também uma razão de responsabilização. Quando algo dá errado, alguém precisa conseguir explicar quem permitiu a ação e com base em quê. Um nível com critérios de promoção escritos entrega essa resposta de antemão. Referências como o NIST AI Risk Management Framework pedem que as organizações atribuam papéis e meçam e gerenciem riscos de forma contínua, e a revisão de níveis é uma maneira concreta de fazer exatamente isso.

Quais são os níveis de permissão?

Cinco níveis bastam para a maioria dos papéis. Dê nomes simples, para que o dono do processo, a equipe técnica e qualquer auditor leiam da mesma forma.

• Nível 0, Observar: o agente lê um conjunto restrito e aprovado de fontes e não produz nada que alguém de fora do piloto veja. As saídas que ele propõe são comparadas com o que as pessoas realmente fizeram.
• Nível 1, Rascunhar: o agente escreve rascunhos, resumos ou registros propostos em uma fila de revisão. Uma pessoa envia, salva ou aplica tudo.
• Nível 2, Agir com aprovação: o agente prepara uma ação completa, como a atualização de um registro ou uma mensagem de saída, e uma pessoa aprova cada uma antes de ela ser executada.
• Nível 3, Agir dentro de limites: o agente executa sozinho uma lista definida de ações de baixo risco e reversíveis, dentro de ttetos de volume, destinatários e escopo, e uma amostra do trabalho é revisada depois.
• Nível 4, Agir com revisão por exceção: o agente cuida de uma gama maior de ações, e uma pessoa revisa apenas exceções, casos sinalizados e amostras periódicas.

Acima de todos esses níveis fica uma lista reservada: ações que sempre exigem uma pessoa, qualquer que seja o nível. Entradas típicas são tudo o que for irreversível, pagamentos ou reembolsos acima de um limite definido por você, compromissos legais ou contratuais, exclusão de registros, mensagens a órgãos reguladores e qualquer mudança nas permissões do próprio agente. O agente nunca deve conseguir se promover sozinho.

Os níveis valem por tarefa, não por agente. O mesmo agente pode estar no Nível 3 para classificar solicitações recebidas e no Nível 1 para responder a uma reclamação. Pense na autoridade como uma tabela de tarefas e níveis, e não como um único botão de ajuste. O acesso de leitura também é uma permissão, então até o Nível 0 deve começar com o menor conjunto de fontes que o papel exige, como explicado em privilégio mínimo e minimização de dados em agentes de IA.

Que evidência deve levar um agente ao nível seguinte?

A promoção deve ser uma decisão com registro, não uma sensação de que tudo parece bem. Antes de o agente entrar em um nível, escreva o que ele precisa demonstrar para sair dele. Uma lista de verificação que funciona:

• Volume: uma contagem definida de casos reais tratados no nível atual, escolhida por você conforme a variedade do trabalho. O tempo passar não é evidência se poucos casos chegaram.
• Revisão de erros: cada correção feita por um revisor é classificada por tipo, como fato errado, tom inadequado, ferramenta errada, escalonamento perdido ou fora de escopo.
• Gravidade: nenhum erro grave na janela de revisão, e cada tipo de erro leve ou desapareceu ou é bem compreendido.
• Avaliações: o agente passa por um conjunto fixo de casos de teste, incluindo os difíceis, e esse conjunto cresce a cada nova falha encontrada.
• Comportamento de escalonamento: diante de uma situação pouco clara ou fora do escopo, o agente parou e perguntou em vez de adivinhar.
• Rastreabilidade: os logs mostram o que o agente leu, qual ferramenta chamou, com quais parâmetros e quem aprovou a etapa.
• Aprovação formal: um responsável de negócio nomeado, e não só a equipe técnica, aprova a mudança por escrito.

O comportamento de escalonamento merece peso extra. Um agente que sabe quando parar é mais seguro em um nível alto do que um agente um pouco mais preciso que nunca hesita. Para decidir onde colocar essas paradas, veja quando seu agente de IA deve parar e perguntar. O ritmo da revisão pode se inspirar na revisão trimestral de IA na empresa: objetivos, evidências, feedback e mudanças.

Promova uma tarefa e um nível por vez. Se você amplia fontes de dados, ferramentas e nível ao mesmo tempo, não consegue saber qual mudança causou um problema.

Como aplicar os níveis para que o agente não consiga contorná-los na conversa?

Um nível que existe apenas no prompt do sistema é um pedido, não um controle. Modelos podem interpretar mal as instruções, e um texto dentro de um documento ou e-mail pode tentar sobrescrevê-las. A aplicação das regras deve ficar nas camadas que o modelo não consegue reescrever.

• Identidade separada: o agente tem conta própria, nunca o login de uma pessoa, de modo que suas ações sejam atribuíveis e seu acesso possa ser revogado sem afetar ninguém.
• Credenciais com escopo: conceda apenas os escopos que o nível exige. Padrões de autorização como o OAuth 2.0 são construídos em torno de escopos, então um agente de Nível 1 pode receber acesso de leitura e criação de rascunhos sem acesso de envio.
• Verificações na camada de ferramentas: cada chamada de ferramenta é conferida na tabela de níveis daquela tarefa antes de rodar, e as chamadas negadas ficam registradas.
• Limites rígidos: tetos de volume, destinatários, valores e janelas de tempo ficam na ferramenta, não nas instruções.
• Portões de aprovação: no Nível 2, a etapa de executar é uma ação separada que só uma pessoa pode disparar.
• Chave de desligamento: uma forma documentada de suspender as credenciais do agente imediatamente.

Isso também é a sua defesa contra injeção de prompt e contra o que o OWASP Top 10 for LLM Applications chama de agência excessiva. Se uma instrução maliciosa entrar em um documento, o dano fica limitado ao que o nível atual permite. A orientação geral de autorização do OWASP recomenda negar por padrão, aplicar privilégio mínimo e verificar permissões a cada requisição, e a mesma disciplina vale para cada chamada de ferramenta que um agente faz.

Como é uma promoção na prática? Um cenário ilustrativo

Cenário ilustrativo: uma distribuidora quer um agente para cobrar faturas vencidas.

No Nível 0, o agente lê a lista de faturas em aberto e as anotações dos clientes. A cada semana, o lembrete que ele sugere é comparado com o que a equipe de contas a receber realmente enviou. No Nível 1, ele escreve rascunhos de lembretes em uma fila e a equipe os edita. A equipe classifica as edições e percebe que muitas correções tratam do tom com clientes antigos, então uma regra e vários casos de teste novos são adicionados.

No Nível 2, o agente prepara cada e-mail e o responsável pela cobrança os aprova um a um. Depois de uma longa sequência de aprovações com poucas edições, e depois de o agente ter escalado corretamente todos os casos em que o cliente contestou uma fatura, o responsável promove uma única tarefa ao Nível 3: primeiros lembretes para faturas com atraso pequeno, com um teto diário de envios. Planos de pagamento, contestações e baixas contábeis continuam na lista reservada.

Mais tarde, um lembrete chega a um contato que saiu da empresa do cliente. O responsável devolve essa tarefa ao Nível 2, a equipe corrige o dado do contato na origem, e a tarefa é promovida de novo quando as verificações passam. Ninguém foi culpado, e a tabela agora registra por que a mudança aconteceu.

Como começar e quando um agente deve descer de nível?

É possível configurar isso para um único papel em uma sessão curta de trabalho. Siga estes passos:

• Liste as tarefas do papel e escreva o pior resultado realista caso cada uma dê errado.
• Marque as ações reservadas que sempre exigem uma pessoa.
• Atribua a cada tarefa um nível inicial, normalmente o Nível 0 ou o Nível 1.
• Escreva os critérios de promoção de cada tarefa antes de o agente começar a trabalhar.
• Configure identidade, escopos, limites e registros de acordo com a tabela.
• Agende uma revisão recorrente em que o responsável analisa erros, avaliações e a tabela de níveis.
• Registre cada promoção ou rebaixamento junto com a evidência que o motivou.

Defina também de antemão os gatilhos de rebaixamento: um erro grave, uma nova ferramenta ou fonte de dados, uma mudança de política, ou um padrão de correções dos revisores que insiste em voltar. A troca do modelo subjacente merece destaque. Ela pode alterar o comportamento sem nenhuma mudança na sua configuração, então rode as avaliações de novo antes de o agente manter o nível. Se ocorrer um incidente real, siga um plano escrito, como um runbook de operação para agente de IA. O rebaixamento deve parecer um passo rotineiro do processo, e não um veredito sobre o trabalho de alguém.

Como a Be Human trabalha com níveis de permissão?

No primeiro projeto, a Be Human define um papel útil junto com a memória e as ferramentas de que ele precisa, os limites de aprovação e um critério de sucesso observável. A tabela de níveis faz parte dessa definição: cada tarefa começa no nível mais baixo que ainda seja útil, e as ações reservadas ficam escritas. Na operação gerenciada, a Be Human monitora o agente, executa avaliações recorrentes, revisa permissões, mantém as integrações e trata incidentes. Mudanças de nível são feitas como melhorias controladas, com o responsável do cliente aprovando cada uma e mantendo o controle dos pontos de aprovação humana.

Perguntas frequentes

Qual é a diferença entre autenticação e autorização para um agente de IA? A autenticação comprova qual identidade está agindo, e a autorização decide o que essa identidade pode fazer. O agente precisa das duas, e deve ter identidade própria para que cada ação seja rastreável e seu acesso possa ser revogado sem mexer na conta de uma pessoa.

Quantos casos bastam antes de promover um agente? Não existe um número universal. A amostra revisada deve incluir os casos de rotina e os difíceis que a tarefa realmente produz. Defina a contagem de cada tarefa antes de o agente começar e aumente-a para ações em que o custo do erro é maior.

Um modelo mais avançado deve receber um nível mais alto automaticamente? Não. Um modelo novo zera a evidência para o seu fluxo de trabalho, mesmo que seja mais forte em geral. Mantenha o nível atual, rode suas avaliações de novo e promova somente se os resultados e os casos revisados sustentarem a decisão.

Um agente pode chegar à autonomia total? Em tarefas restritas e reversíveis, o Nível 4 chega perto, mas ainda inclui revisão por exceção e trilha de auditoria. As ações reservadas devem continuar com pessoas, e algumas decisões podem trazer deveres legais de supervisão humana, então confira as regras que se aplicam à sua empresa antes de ampliar o escopo. Para o lado da proteção de dados, veja LGPD e agentes de IA nas empresas.

Orientação editorial Be Human. Exemplos são ilustrativos, salvo atribuição explícita. Fontes oferecem contexto; a implementação depende do seu processo.