When agents act on their own, governance has to live in the data layer

À medida que as empresas concedem mais autonomia a agentes de IA — permitindo que planejem, decidam e atuem em sistemas sem a necessidade de aprovação humana a cada passo — surge uma questão crítica nas revisões de arquitetura: o que impede um agente de realizar uma ação não autorizada? A responsabilidade pelo que esses agentes fazem recai sobre as empresas, e essa responsabilidade não pode ser atendida apenas com políticas abstratas. É necessário que os agentes operem sob regras que levem em conta o contexto do momento, pois eles não exercem julgamento próprio sobre suas ações. Um exemplo simples ilustra essa necessidade: uma regra que proíbe abrir a porta do carro pode ser válida até o momento em que uma situação de emergência exige que a porta seja aberta. Portanto, a governança deve ser executável e aplicada no nível dos dados operacionais, no contexto e exatamente no momento em que a ação ocorre. Isso significa que as políticas devem ser implementadas de forma que a violação de regras possa ser evitada antes que um agente tente acessar dados ou realizar ações não autorizadas. Os agentes criam valor ao interagir com dados, e uma política que proíbe o acesso a determinados dados só é eficaz se o sistema puder negar esse acesso no momento da solicitação. Além disso, a auditoria das ações dos agentes só é significativa se a organização puder reconstruir o que foi feito, quais dados foram acessados e quais resultados foram gerados. Assim, a governança que reside na camada de dados é robusta, independentemente de como o agente foi construído ou como se comporta, pois o controle é uma propriedade do banco de dados, não uma promessa do agente. A gestão de identidade deve tratar o agente como um principal, com sua própria identidade e propósito declarado no início da sessão. Isso permite que o mecanismo de políticas avalie a intenção do agente da mesma forma que avalia funções ou departamentos. Em termos práticos, isso se traduz em nove controles agrupados em três imperativos: 1) Aplicar políticas de controle de acesso baseadas em funções e atributos; 2) Garantir visibilidade e auditoria das ações dos agentes; 3) Unificar e fortalecer a gestão de políticas. Esses controles já existem em muitas empresas e são fundamentais para garantir que os agentes operem dentro de limites seguros. O objetivo não é impedir que os agentes realizem trabalhos úteis, mas definir claramente até onde eles podem ir, o que podem tocar e o que requer escalonamento. Com essa governança, os agentes se tornam identificáveis, monitoráveis e auditáveis, permitindo que as empresas os adotem mais rapidamente, pois as equipes de segurança e liderança confiam no modelo operacional subjacente. Além disso, a construção sobre uma base de código aberto, como o Postgres, garante que as empresas mantenham o controle sobre seus dados, o que é essencial, especialmente em setores regulamentados. À medida que os sistemas de agentes se tornam mais autônomos e capazes, a governança eficaz na camada de dados se torna uma prioridade para garantir a segurança e a conformidade.