A chegada dos agentes de inteligência artificial marca um novo capítulo na história da tecnologia corporativa, especialmente no setor financeiro, em que vivemos um momento em que a IA deixa de ser apenas uma ferramenta que responde comandos, e agora passa a ser um ente capaz de agir por conta própria, tomar decisões, negociar com outros sistemas e aprender continuamente com os ambientes que a cercam.
Isto é o que chamamos de "agentic AI", uma inteligência artificial com a capacidade de perseguir objetivos, adaptar estratégias e se reconfigurar em tempo real com base nos dados que coleta e nas interações que realiza. Mas esse salto não é apenas tecnológico, mas é sim acima de tudo, conceitual. Em que a gestão de riscos que por décadas se estruturou em torno de controles, compliance e auditoria de processos estáticos, agora se vê diante de uma entidade viva, que opera em redes, que interage em múltiplos canais, que aprende com os erros e que pode, inclusive, tomar caminhos não intencionados pelos humanos que a criaram.
Na minha visão acho que o impacto disso será profundo, em que a gestão de riscos entra de forma definitiva em uma nova era da supervisão adaptativa, da ética de sistemas, da governança contínua e da resiliência cognitiva.
Para entender a profundidade dessa mudança, é preciso começar pela natureza dos próprios agentes de IA, que diferentemente dos modelos preditivos tradicionais ou mesmo dos LLMs usados de forma passiva, os agentes são sistemas compostos por múltiplos módulos interativos que englobam percepção, memória, raciocínio, planejamento, tomada de decisão e ação.
Assim eles são capazes de receber objetivos de alto nível e decompor esses objetivos em tarefas menores, orquestrando recursos, acessando APIs, consultando bancos de dados, interagindo com outros sistemas e ajustando continuamente sua estratégia de execução com base no feedback recebido do ambiente. Em outras palavras agentes são estruturas de IA projetadas para operar em ciclos de percepção e ação autônoma, com autonomia crescente. Na prática isso significa que eles não apenas respondem a comandos, mas tomam iniciativas. E é justamente aí que os riscos e as oportunidades se ampliam.
No mercado financeiro essa nova classe de IA tem sido aplicada com intensidade em diversas frentes, em que agentes estão sendo treinados para executar tarefas que vão desde o atendimento ao cliente com personalização em tempo real até a orquestração de processos de onboarding, avaliação de crédito, monitoramento de transações, detecção de fraudes e suporte à decisão em cenários complexos de risco de mercado.
Imagine por exemplo um agente que monitora continuamente todas as fontes de dados internos e externos de uma instituição de sistemas de core banking a notícias globais e alertas de sanções, identifica padrões emergentes, estima impactos financeiros potenciais, ativa rotinas de stress testing automaticamente e reporta ao comitê de riscos um alerta contextualizado com recomendações de resposta. Não se trata mais de dashboards estáticos ou alertas de exceção, mas sim de uma inteligência que raciocina com o gestor de riscos, age antes da crise e aprende com os eventos.
Esse tipo de capacidade cria uma nova camada de resiliência organizacional, pois em vez de esperar que analistas humanos detectem sinais de alerta, agentes podem operar como “sentinelas inteligentes”, sempre ativos, sempre vigilantes, sempre ajustando sua lente de análise com base em novos dados. Em incidentes operacionais ou cibernéticos por exemplo agentes podem disparar rotinas automáticas de contenção, executar manobras de reroute de sistemas, acionar backups, contatar stakeholders e gerar documentação para auditoria e regulação, tudo isso em segundos. E após o incidente, podem aprender com os dados e ajustar sua resposta futura.
É a transição de uma gestão reativa de riscos para uma gestão auto-adaptativa, preventiva e orientada por objetivos.
Mas se por um lado esses sistemas aumentam exponencialmente a capacidade de resposta da empresa, por outro abrem portas para novos riscos, sendo que um dos principais é o desalinhamento de objetivos, que ocorre quando o agente de IA interpreta seu objetivo de forma literal, mas otimiza suas ações de modo a gerar consequências inesperadas ou indesejadas. Por exemplo um agente encarregado de maximizar detecção de fraudes pode começar a bloquear um número excessivo de transações legítimas, gerando impacto na experiência do cliente e na receita da empresa.
Outro risco crítico é a autonomia excessiva, pois se não forem estabelecidos limites técnicos e organizacionais claros, o agente pode executar ações em escala e velocidade que fogem à capacidade humana de supervisão em tempo real. Isso é especialmente perigoso quando múltiplos agentes interagem entre si em ecossistemas digitais densos, pois há risco de colapsos sistêmicos, efeitos em cascata e colisões de decisões autônomas.
Esses riscos exigem uma nova abordagem de governança, pois os modelos tradicionais de três linhas de defesa, ou de supervisão periódica, já não são suficientes, pois agora se exige é uma supervisão contínua, embutida na arquitetura dos agentes e de suas interfaces. Isso implica desenvolver guardrails técnicos robustos como limites operacionais codificados, mecanismos de override humano, logs auditáveis, switches de emergência, entre outros, além de estabelecer responsabilidades claras entre desenvolvedores, usuários, auditores, comitês e conselhos.
A questão central aqui não é apenas “quem desenvolveu o agente?”, mas sim “quem é responsável por suas ações ao longo de sua vida útil?”. Assim a governança de agentes precisa ser dinâmica, atualizável e com visão sistêmica. É preciso repensar o ciclo de vida do risco, agora estendido à autonomia digital.
Além disso para que a governança funcione, é essencial investir em letramento em IA. Agora os conselheiros, auditores, comitês de riscos e áreas de compliance precisam entender como esses agentes operam, quais são suas limitações, como se dá seu processo de raciocínio, quais métricas são usadas para medir seu desempenho e, principalmente, como interpretar os riscos que eles geram. Sem essa alfabetização, qualquer tentativa de supervisão será frágil, reativa e superficial. A gestão de riscos portanto passa a incluir também a gestão do entendimento sobre os sistemas que geram risco, é a supervisão da supervisão, o "metacontrole".
Por fim, é preciso lembrar que a adoção desses sistemas deve ser feita de forma progressiva, estratégica e responsável. A dica aqui é que as empresas comecem por casos de uso de alto valor e baixo risco, com impacto claro e mensurável. A partir daí, devem mapear os riscos associados, redesenhar os controles existentes, criar mecanismos de governança integrados e monitorar continuamente o desempenho dos agentes em produção. A implementação não deve ser tratada como um projeto isolado, mas como parte de uma jornada de maturidade em inteligência autônoma. Essa jornada exige não só capacidade técnica, mas visão estratégica, ética aplicada e liderança transformadora.
O papel da gestão de riscos nessa jornada é essencial, mas não como barreira à inovação, mas como bússola que orienta o uso responsável da tecnologia. O gestor de riscos do futuro será menos um técnico de controle e mais um arquiteto de confiança. Um profissional capaz de dialogar com engenheiros de IA, tradutores de ética, especialistas em direitos digitais, reguladores e stakeholders internos. Seu valor estará em sua capacidade de antecipar cenários, desenhar estruturas resilientes, criar métricas sistêmicas, implementar princípios de responsabilidade algorítmica e, sobretudo, construir pontes entre a inovação e a integridade.
Vivemos uma era em que o risco deixou de ser um subproduto da atividade econômica e passou a ser um fator estruturante do próprio desenho dos sistemas. Nesse novo mundo, não basta reagir a riscos, mas é preciso co-projetar com eles. E os agentes de IA, com todo seu potencial e suas ameaças, nos obrigam a desenvolver um novo tipo de liderança: aquela que não apenas controla, mas que também compreende, dialoga, adapta e transforma.
No campo da governança, já não se trata mais de governar “sistemas” ou “modelos” como antes, mas de governar agora agentes autônomos, inteligentes e adaptativos, que aprendem ao longo do tempo, interagem com múltiplas fontes e tomam decisões em ambientes incertos. Assim, a governança tradicional centrada em conformidade regulatória e documentação estática já não é suficiente para dar conta da dinâmica desses novos atores. É necessário um novo modelo, que podemos chamar de governança de comportamento algorítmico. Ou seja, não basta auditar o código-fonte, mas é preciso entender como o agente pensa, como age, com que propósito interage, sob quais limites opera, que regras de decisão adota, como lida com ambiguidade e como se adapta a estímulos inesperados. A gestão de riscos nesse novo paradigma deixa de ser uma função apenas técnica e passa a ser profundamente filosófica, ética e interdisciplinar.
Essa nova governança exige a construção de limites técnicos e organizacionais, com proteções que vão além da conformidade e que operam como trilhos seguros dentro dos quais os agentes devem atuar. Esses trilhos devem ser incorporados desde a fase de design e treinamento, passando pela validação de testes, pelo monitoramento em produção e pela capacidade de intervenção humana em situações críticas. Os limites técnicos incluem, por exemplo, a limitação de escopo, mecanismos de override e interrupção, registros auditáveis de todas as ações tomadas, e monitoramento contínuo de desempenho e deriva de comportamento (model drift). Os limites organizacionais envolvem definição clara de responsabilidades, atribuição de papéis em múltiplas áreas, como riscos, tecnologia, auditoria, jurídico e compliance, estruturação de comitês de ética algorítmica e criação de planos de resposta para eventos adversos causados por agentes.
Outro ponto que já se começa a discutir nas empresas de ponta é a criação de centros de monitoramento centralizados para agentes, que funcionem como “torres de controle” para todos os sistemas autônomos em operação. Esses centros devem operar com equipe multidisciplinar, em regime contínuo, com dashboards integrados, inteligência contextual e capacidade de resposta imediata em caso de comportamentos anômalos. Ou seja, a supervisão do agente precisa ser tão inteligente quanto o próprio agente. Não se trata de vigilância burocrática, mas de uma governança inteligente para sistemas inteligentes.
Outro aspecto decisivo é o letramento em IA em todos os níveis da empresa, especialmente nos conselhos e comitês de auditoria e riscos, pois agora os boards e líderes executivos não podem mais se isentar da responsabilidade sob o argumento de que “não entendem IA”. Obviamente, eles não precisam ser programadores, mas precisam sim entender os conceitos centrais: o que é um agente, como ele opera, quais métricas importam, que riscos ele pode gerar e quais princípios devem nortear sua atuação. Isso inclui compreender conceitos como autonomia algorítmica, desalinhamento de objetivos, opacidade de decisão, fairness, explicabilidade e accountability. O futuro da boa governança depende de decisores que saibam fazer as perguntas certas sobre agentes inteligentes antes, durante e depois da sua ativação.
Superado esse bloco conceitual e de infraestrutura, vamos avançar para o plano prático, de como então começar essa jornada de forma segura, responsável e orientada a valor? A resposta é clara: com pragmatismo e propósito...
A primeira etapa recomendada é a identificação criteriosa de casos de uso prioritários, que devem reunir três atributos, que são o valor estratégico claro, viabilidade técnica concreta e riscos controláveis. Vejam que não se trata de implementar IA por modismo ou competição, mas por impacto. A recomendação é começar pequeno, com casos de alto retorno e baixa ambiguidade, como atendimento a clientes de baixa complexidade, auditoria automatizada de processos operacionais, ou extração de dados regulatórios para preenchimento de obrigações do Bacen, da CVM ou da SUSEP.
Na sequência, é essencial realizar uma avaliação formal de riscos, tanto operacionais quanto éticos, jurídicos e reputacionais. Essa avaliação deve incluir o mapeamento dos dados usados, os critérios de decisão do agente, os impactos esperados e não esperados, os stakeholders envolvidos e os limites que não podem ser ultrapassados. Cada agente deve ter sua própria matriz de riscos, seus indicadores de desempenho (KPIs) e seus indicadores de risco (KRIs), com alertas, auditorias programadas e relatórios periódicos.
Com o uso de agentes em escala, será necessário também ajustar a estrutura de governança da instituição. Isso envolve atualizar comitês existentes, criar funções híbridas como “Chief AI Risk Officer” ou “Auditor Algorítmico”, estabelecer fóruns transversais de decisão, incorporar IA nos mapas de risco corporativo, e garantir a participação ativa de conselhos e comitês em todas as fases de design, aprovação, supervisão e melhoria dos agentes. O princípio é simples: nenhum agente deve operar fora da governança.
O próximo passo é o monitoramento contínuo e a aprendizagem organizacional, em que os agentes devem ser observados em produção com a mesma atenção que se dá a uma nova unidade de negócios. Devem ser submetidos a auditorias periódicas, simulações de crise, revisões de comportamento e reavaliação de riscos à medida que o contexto muda. E os times humanos devem aprender com os agentes, para entender o que eles revelam sobre os processos, onde estão os gargalos, como melhorar a eficiência e onde é possível inovar com segurança. Essa relação homem-agente não deve ser de dependência, mas de cooperação inteligente.
Quando tudo isso se integra governança inteligente, controle técnico, alfabetização organizacional, implementação estratégica e aprendizagem contínua, nasce um novo patamar para a gestão de riscos. Um patamar em que o risco não é mais algo a ser evitado ou neutralizado, mas um fator de transformação e evolução consciente.
Acredito que os agentes de IA não são ameaças em si mesmos, mas são convites para repensar como tomamos decisões, como projetamos sistemas, como alocamos responsabilidades e como construímos organizações antifrágeis.
O caminho é exigente, sem dúvida. Mas também é inspirador. Porque pela primeira vez temos a chance de redesenhar a gestão de riscos desde o princípio, mas com inteligência, ética, adaptabilidade e propósito.
E talvez esse seja o verdadeiro papel dos agentes de IA de não nos substituir, mas nos provocar a evoluir.
A verdadeira revolução que os agentes de IA trazem não está apenas na automação de tarefas complexas, nem na agilidade em detectar riscos ou responder a incidentes. Ela reside de forma mais profunda e silenciosa, na maneira como reconfiguram nossa própria concepção de controle, confiança, responsabilidade e estratégia. Pela primeira vez na história organizacional, estamos diante de entidades não humanas que agem, decidem, aprendem e interagem com um nível de complexidade que desafia nossas estruturas tradicionais de governança, supervisão e accountability. Isso exige muito mais do que boas práticas técnicas. Exige uma reinvenção intelectual e ética da gestão de riscos.
Essa reinvenção começa por uma mudança de postura, em que o gestor de riscos deixa de ser aquele que apenas impõe limites, audita conformidade e reage a desvios. Ele se transforma em curador de propósito, designer de confiança, arquiteto de limites dinâmicos e mediador de decisões algorítmicas. Sua atuação passa a ser orientada não apenas por frameworks regulatórios ou políticas internas, mas por uma visão sistêmica de futuro, que antecipa as tensões entre inovação, eficiência e segurança, e atua como ponte entre esses mundos.
Mais do que isso: agentes de IA nos forçam a fazer perguntas melhores sobre que tipo de autonomia estamos dispostos a conceder? Que decisões devem ser exclusivas de humanos? Que valores devem ser inegociáveis na atuação de agentes? Como auditar uma cadeia de decisões que evolui sozinha? Como preparar o conselho para tomar decisões sobre temas que mudam antes mesmo da próxima reunião trimestral?
Essas são perguntas difíceis, mas são as perguntas certas. E é exatamente esse tipo de questionamento que diferencia organizações resilientes daquelas que apenas correm atrás do prejuízo. A gestão de riscos do futuro não será medida apenas por sua capacidade de evitar perdas, mas por sua capacidade de orientar a inovação com responsabilidade, proteger a confiança com inteligência e construir vantagem competitiva a partir da ética aplicada à tecnologia.
Nesse sentido os agentes de IA não devem ser vistos como o fim do papel humano na gestão de riscos, mas ao contrário: eles representam a ampliação da nossa inteligência coletiva, o espelho do nosso sistema decisório, a ferramenta que nos ajuda a ver além dos relatórios e dos indicadores. Mas só cumprirão esse papel se forem guiados por estruturas de governança legítimas, se operarem sob limites transparentes, se forem auditáveis, reversíveis, compreensíveis, e acima de tudo se forem integrados a um projeto institucional claro, ético e adaptativo.
Estamos entrando em uma era em que a resiliência organizacional não será definida apenas por capital regulatório, planos de contingência ou simulações de estresse. Ela será definida pela qualidade das nossas decisões algorítmicas, pela clareza dos nossos propósitos organizacionais e pela maturidade da nossa supervisão sobre aquilo que criamos para nos ajudar a decidir. O risco do futuro não é o erro técnico do agente, mas é a ausência de direção estratégica, ética e institucional sobre onde queremos chegar com eles.
Portanto que a gestão de riscos não perca essa oportunidade histórica. Que não se limite a dizer “não” à tecnologia, mas que aprenda a dizer “sim” com responsabilidade, com limites, com métricas, com transparência, com participação. Que lidere a transformação com coragem e curiosidade.
Para terminar para ilustrar e tornar o tema mais visual, segue abaixo uma apresentação que eu fiz a respeito deste assunto. Basta clicar para vê-la online. Se desejar que eu faça uma assim na sua empresa me procure diretamente para combinarmos.
