Digital Inside
As instituições financeiras estão a passar por um momento de reorganização silenciosa. A adoção de agentes de inteligência artificial está a modificar não apenas processos específicos, mas também a forma como as responsabilidades e os privilégios são distribuídos dentro das organizações. Na prática, operam como uma espécie de gestores digitais com capacidade de executar tarefas críticas, tomar decisões automatizadas e aceder a informações confidenciais.
O impacto dessa transformação reflete-se na gestão de identidades. De acordo com o relatório 2025 Identity Security Landscape da CyberArk, as organizações financeiras atualmente lidam com um volume muito elevado de contas técnicas e credenciais associadas a sistemas automatizados, muito superior ao dos utilizadores humanos. As instituições financeiras gerem até 96 identidades de máquina por cada funcionário humano, e quase metade dessas credenciais tem acesso direto a dados sensíveis. Essas identidades de máquina incluem agentes de IA, bots e outros sistemas automatizados que atuam em nome da organização em tarefas operacionais, comerciais ou de conformidade.
Apesar desse peso crescente, a proteção específica desses sistemas ainda não é generalizada. O mesmo relatório indica que apenas uma minoria do setor implementou controlos projetados especificamente para IA, como no caso dos grandes modelos de linguagem. Apenas 31% das empresas dispõem de controlos específicos para sistemas de IA, o que deixa a maioria das organizações com estruturas de segurança concebidas para utilizadores humanos, mas não para agentes automatizados. Esta lacuna entre o nível de privilégios atribuídos aos agentes e os mecanismos de controlo disponíveis configura um terreno de risco em termos de segurança e conformidade regulamentar.
Três tipos de agentes que reorganizam o organograma financeiro
A presença de agentes de IA não se limita a tarefas isoladas, mas está a começar a alterar a própria estrutura interna das organizações financeiras. Os usos mais comuns estão a consolidar-se em três grandes áreas: conformidade, negociação e orquestração de processos.
Na área de conformidade, os responsáveis podem implantar vários agentes para revisar operações em tempo real, monitorizar padrões suspeitos ou apoiar a elaboração de relatórios regulatórios. Esses agentes atuam como extensões da própria equipa de conformidade, multiplicando a sua capacidade de supervisão sobre transações e clientes. Quando um único responsável pela conformidade coordena vários agentes que verificam as operações em tempo real, ocorre uma concentração de privilégios tanto nessa pessoa como em sistemas automatizados que nem sempre são formalmente autorizados. O risco é que uma área tradicionalmente concebida como mecanismo de controlo acabe por se tornar, devido ao excesso de privilégios ou à falta de supervisão específica sobre os agentes, um foco de preocupação para reguladores e auditores.
No campo da negociação, o uso de agentes autónomos leva a automação um passo adiante. Alguns destes sistemas assumem diretamente funções que antes eram realizadas por operadores humanos, executando estratégias à velocidade da máquina. Estes agentes podem operar sem supervisão contínua por parte de um gestor, dentro dos parâmetros que lhes foram definidos. Se as credenciais de um agente de negociação autónomo estiverem mal configuradas, o sistema pode executar operações com capacidade de desestabilizar mercados ou amplificar riscos sistémicos em questão de segundos. A combinação de alta velocidade, acesso direto aos sistemas de negociação e ausência de validação humana imediata torna a configuração de privilégios um elemento especialmente sensível.
A terceira área é a dos orquestradores multiagentes, que coloca alguns sistemas de IA numa posição de coordenação transversal. Estes agentes podem gerir processos completos de negócio, supervisionando tanto outros agentes como funcionários humanos. Um único orquestrador pode, por exemplo, gerir as operações das contas dos clientes, derivar tarefas para diferentes agentes especializados e atribuir determinadas ações a equipas humanas, gerando cadeias de delegação complexas. A rastreabilidade das decisões e a clareza sobre quem (ou que sistema) realizou cada ação tornam-se questões centrais.
A combinação destes três modelos reforça a ideia de que os agentes de IA já fazem parte do tecido estrutural das instituições financeiras, mesmo que não apareçam como tal nas descrições de cargos ou nos organogramas. Na prática, operam como unidades com capacidade operacional própria, com acesso a dados sensíveis e influência direta sobre os resultados de negócios e o cumprimento das obrigações regulatórias.
Perante esta situação, a abordagem aos agentes de IA tende a equiparar-se à que é aplicada ao pessoal humano. Para reduzir o risco, os agentes de IA devem estar sujeitos ao mesmo rigor que qualquer funcionário, com controlos rigorosos sobre credenciais, políticas de acesso de privilégio mínimo e just-in-time, auditorias contínuas e limites claros à sua atuação. Isso implica tratar credenciais como chaves API e certificados com o mesmo nível de proteção que as contas de utilizador dos funcionários e revisar sistematicamente o que cada agente pode fazer, por quanto tempo e sob quais condições.
Juntamente com as medidas técnicas, surge a necessidade de formalizar processos de ciclo de vida específicos para esses sistemas. Da mesma forma que existem procedimentos de admissão, mudança de função e demissão para pessoas, as organizações financeiras precisam de mecanismos definidos para a incorporação de novos agentes, a modificação de suas responsabilidades e a retirada ordenada de seus acessos quando eles deixarem de ser necessários. A gestão completa do ciclo de vida dos agentes de IA (desde a sua incorporação até à sua desativação) é um elemento central para aproveitar o seu potencial sem comprometer a segurança nem o cumprimento normativo. Só com esta abordagem estruturada, que reconhece o papel real dos agentes dentro da organização, as entidades financeiras poderão integrar a IA nas suas operações diárias, mantendo o controlo sobre identidades, privilégios e responsabilidades.
