Gartner 2026
Quando a IA ganha acesso, identidade e capacidade de agir
Nossa análise a partir do Gartner Security & Risk Management Summit 2026.
4 e 5 de agosto de 2026 · São Paulo
Nossa presença
Nossa presença no Gartner 2026
Nos dias 4 e 5 de agosto, acompanhamos em São Paulo o Gartner Security & Risk Management Summit 2026, dedicado a segurança, riscos cibernéticos, identidade e resiliência empresarial.
Uma discussão atravessou diferentes temas do evento: a Inteligência Artificial começa a ocupar uma posição diferente dentro das organizações.
Um modelo pode recomendar uma ação. Uma solução agêntica pode consultar informações, utilizar ferramentas, acessar outros sistemas, iniciar processos e executar sequências de tarefas.
Essa diferença muda o objeto da segurança.
O risco deixa de estar apenas no que a IA diz. Ele passa a incluir o que ela tem autorização para fazer.
O ensaio produzido pelo Observatório após o evento identifica justamente essa passagem, de sistemas que produzem conteúdo para sistemas capazes de atuar sobre processos, registros, dados e decisões.
Identidade
Identidade também passa a ser uma questão de IA
Empresas sempre administraram identidades de pessoas, aplicações e máquinas.
Com agentes de IA, surge uma identidade operacional capaz de utilizar credenciais, consultar bases, herdar permissões e agir em nome de uma pessoa ou organização.
- 01Em nome de quem a IA está agindo?
- 02A quais dados pode acessar?
- 03Quais ferramentas pode utilizar?
- 04Por quanto tempo as permissões permanecem válidas?
- 05Quem autorizou essa ação?
Princípios conhecidos de segurança, como privilégio mínimo, segregação de funções, credenciais temporárias e revisão de acessos, tornam-se ainda mais importantes nesse ambiente.
Capacidade técnica≠autoridade institucional
Uma IA pode ser capaz de executar uma tarefa sem necessariamente estar autorizada a fazê-la de forma autônoma.
Guardrails
Guardrails não bastam
Guardrails continuam importantes para limitar determinados comportamentos e respostas.
Mas, quando um sistema possui ferramentas e permissões reais, proteger apenas a camada de conteúdo se torna insuficiente.
Uma instrução maliciosa pode chegar por uma pessoa, mas também por um documento, e-mail, página ou base consultada pelo próprio sistema.
Se a IA apenas responde, uma falha pode gerar uma informação inadequada.
Se a IA também age, a mesma falha pode produzir uma consequência operacional.
Quando a IA age, a segurança precisa acompanhar a ação.
É por isso que segurança em IA precisa alcançar identidade, dados, permissões, ferramentas, integrações, observabilidade e recuperação, e não apenas aquilo que aparece na interface.
Supervisão
Supervisão precisa funcionar na prática
Outra consequência da autonomia é a necessidade de mecanismos reais de intervenção.
Não basta afirmar que existe supervisão humana.
- 01Quem pode interromper o sistema?
- 02Em quais situações?
- 03Com que autoridade?
- 04Uma ação executada pode ser revertida?
- 05A operação consegue continuar se o modelo ou fornecedor ficar indisponível?
Quando a IA atua em pagamentos, cadastros, contratos, crédito, seleção de pessoas, saúde ou outros processos críticos, essas questões deixam de ser apenas técnicas.
Passam a fazer parte da continuidade e da responsabilidade empresarial.
O Observatório resume essa necessidade em três capacidades: interromper, corrigir e reparar.
A supervisão humana só é efetiva quando existe tempo e autoridade para intervir.
Os dados
O risco já está nas operações
O debate sobre sistemas autônomos pode parecer antecipar um futuro distante.
Os dados mostram o contrário.
22 mil+
interações e decisões de Inteligência Artificial auditadas
11,1%
apresentaram riscos relevantes
Foram encontrados problemas relacionados à exposição inadequada de dados pessoais, vieses, compromissos comerciais indevidos e situações capazes de afetar pessoas e organizações.
Esses desvios foram identificados em sistemas que, muitas vezes, ainda atuavam principalmente no campo da linguagem.
Quando a mesma decisão passa a gerar automaticamente uma ação, a distância entre a falha e sua consequência diminui.
Seis perguntas
Seis perguntas para levar para a empresa
Antes de aumentar a autonomia da IA, uma organização deveria conseguir responder:
- 01.Quem autoriza o sistema a operar?
- 02.Em nome de quem ele age?
- 03.A quais dados, sistemas e ferramentas ele pode acessar?
- 04.Quais decisões não podem ser tomadas autonomamente?
- 05.Que evidências ficam registradas de cada decisão e ação?
- 06.Como interromper, corrigir, reverter e recuperar?
São perguntas de tecnologia, mas também de negócio, jurídico, segurança, compliance, auditoria e liderança.