Agentes de IA na sua empresa: quem criou, o que acessam e o que fazer antes do estrago

O acesso que ninguém autorizou

Um colaborador do financeiro criou um agente de IA no Microsoft 365 para agilizar a geração de relatórios. Ele funciona, economiza tempo e o gestor ficou satisfeito. O problema: o agente tem acesso à pasta de contratos, às planilhas de folha de pagamento e ao SharePoint do jurídico. Ninguém sabia. Ninguém autorizou. E ninguém sabe o que ele fez com o que leu.

O que muda quando qualquer colaborador pode criar um agente de IA?

O número de agentes ativos no Microsoft 365 cresceu até 18 vezes em grandes empresas em um único ano. Eles são criados por pessoas que não são desenvolvedores, não passam por aprovação de TI e não seguem política de acesso. Cada um deles é um ponto novo de entrada a dados corporativos, sem rastro de quem autorizou, o que pode acessar e o que já fez.

Impacto prático nas empresas

O risco não é teórico. Uma empresa B2B com Microsoft 365 ativo provavelmente já tem agentes rodando em áreas de financeiro, RH e operações, criados por colaboradores com boas intenções e sem envolvimento do time de segurança. Quando um agente mal configurado vaza uma informação sensível ou executa uma ação indevida, o custo já está feito. A empresa perde dados, pode responder legalmente por isso e descobre o estrago depois do fechamento ou da auditoria.

Cenários reais de aplicação

No financeiro, um agente criado para consolidar dados de despesas pode acessar planilhas com margens e acordos comerciais que não deveriam circular. Em RH, um agente de triagem de currículos pode ler arquivos de avaliação de desempenho armazenados na mesma biblioteca. Em operações, um agente de acompanhamento de pedidos pode alcançar contratos de fornecedores por acesso herdado do usuário que o criou. Em todos esses casos, o dano acontece antes de qualquer alerta.

Pontos de atenção

Dar identidade própria a cada agente é o primeiro passo, mas exige que o ambiente tenha Microsoft Entra configurado para suportar identidades não humanas. Classificar os dados acessados requer que o ambiente já tenha rótulos aplicados, o que raramente está completo. O licenciamento do Microsoft 365 Copilot e das ferramentas de automação varia conforme o plano contratado, e algumas capacidades de observabilidade só estão disponíveis em planos superiores. Antes de criar políticas, o time de TI precisa de um inventário real do que já existe.

Como a Memory pode apoiar

A Memory realiza o mapeamento de agentes ativos no ambiente Microsoft 365, identifica o que cada um pode acessar e o que já fez, e estrutura as camadas de proteção adequadas ao porte da operação. A atuação inclui a configuração de identidades via Microsoft Entra, a revisão de permissões e a sustentação contínua pelo Memory Care. O ponto de partida é uma conversa com o time de segurança em memorycomp.com.br/pt-BR/contato/.

Conclusão

Agentes de IA criados sem rastreabilidade não são um problema de TI isolado: são um passivo financeiro e legal que cresce a cada semana sem inventário. A pergunta que orienta a prioridade não é se a empresa deve adotar IA, mas quantos agentes já estão rodando hoje e o que cada um deles pode alcançar.