A Governança de Identidades Torna-se Crítica à Medida que os Gastos Empresariais com IA Disparam

O Google News destacou um alerta: os gastos empresariais com IA estão crescendo mais rápido do que muitas empresas conseguem governar as identidades que operam por trás dela. O conflito já não se limita a chatbots experimentais. Agentes de IA agora solicitam dados, acionam aplicações de negócios, geram credenciais e executam tarefas em sistemas corporativos.

Essa expansão muda a questão de segurança. Antes, as empresas se concentravam em decidir quais funcionários poderiam acessar um recurso. Agora, precisam governar usuários humanos, contas de serviço, identidades de aplicações, ferramentas de automação e agentes de IA dentro do mesmo ambiente.

A pressão recai sobre diretores de tecnologia, líderes de segurança e equipes de identidade. Eles são solicitados a apoiar uma implantação mais rápida de IA, mantendo propriedade clara, permissões limitadas e trilhas de auditoria confiáveis. Esses objetivos frequentemente entram em conflito quando um agente consegue planejar trabalho, delegar tarefas e cruzar os limites entre aplicações.

A questão central, portanto, não é se as empresas gastarão mais com IA. É se a governança de identidades conseguirá impedir que esse gasto crie uma camada crescente de autoridade não rastreada.

O Que Mudou com a Aceleração dos Gastos Empresariais com IA

A IA empresarial está passando de software que recomenda ações para sistemas que podem executar ações.

Um funcionário que usa um chatbot cria um problema de governança conhecido. A organização precisa decidir quais informações esse funcionário e a aplicação podem acessar. Um agente de IA cria um problema mais difícil porque pode conectar-se a vários sistemas, reter credenciais, invocar ferramentas e realizar trabalho sem que uma pessoa aprove cada etapa.

Essa diferença se torna relevante quando agentes entram em fluxos de trabalho de produção. Um agente de atendimento ao cliente pode ler registros de contas, resumir interações anteriores, emitir uma solicitação de reembolso e atualizar um ticket. Um agente de programação pode inspecionar repositórios, abrir ferramentas de desenvolvimento, criar alterações de infraestrutura e submeter código para revisão.

Cada ação exige uma identidade. Também exige autorização, que define o que essa identidade pode fazer após a autenticação. Um login, por si só, não responde se o agente deve ler um banco de dados inteiro de clientes ou apenas os registros necessários para uma tarefa específica atribuída.

Os sistemas tradicionais de gestão de identidade e acesso foram projetados principalmente para funcionários, prestadores de serviço, aplicações e contas de serviço relativamente previsíveis. Em geral, eles pressupõem que administradores podem definir uma função estável e associar a ela um conjunto estável de permissões.

Os agentes de IA pressionam esse modelo. Suas tarefas podem mudar durante a execução, e um agente pode pedir a outro agente ou serviço que conclua parte de um fluxo de trabalho. A cadeia de delegação resultante dificulta determinar de onde veio a autoridade original.

Os gastos empresariais ampliam a urgência porque mais projetos financiados criam mais conexões. Cada implantação em produção pode introduzir chaves de API, contas de serviço, conectores de dados, endpoints de modelos, plug-ins e políticas de acesso. Um projeto que parece ser uma única aplicação de IA pode criar diversas identidades nos bastidores.

A Gartner informou que 84% dos participantes de sua pesquisa de 2026 com CIOs esperavam que suas organizações aumentassem o financiamento para IA generativa durante o ano. Sua discussão sobre governança de confiança zero concentrou-se na verificação de dados e na atualização das políticas de governança existentes à medida que informações geradas por IA se disseminam.

Esse gasto não produz automaticamente sistemas inseguros. No entanto, aumenta o número de projetos que as equipes de identidade precisam descobrir, classificar e monitorar. Também reduz o tempo disponível para projetar controles antes que as unidades de negócio esperem resultados.

A manchete do Google News capta essa mudança, mas o evento real é mais amplo do que uma única reportagem. A governança de identidades está se tornando parte da infraestrutura de IA porque os agentes não podem operar com segurança sem propriedade definida e autoridade revogável.

As organizações já não podem tratar a revisão de identidade como uma verificação final de conformidade. Elas precisam tomar decisões de identidade durante o projeto, a implantação, a execução e a desativação. Caso contrário, um agente abandonado pode deixar credenciais ou permissões ativas depois que seu projeto original termina.

Por Que o Google News Está Chamando Atenção para uma Lacuna de Controle da IA

O aumento dos gastos expõe uma lacuna de controle entre quem responde pela IA e quem realmente consegue restringir seu comportamento.

A IBM descreveu essa lacuna em um estudo de junho de 2026 com diretores de informação e tecnologia. Dois terços dos líderes pesquisados disseram ser responsáveis por sistemas de IA que não controlavam plenamente, segundo o estudo sobre controle de IA da empresa.

Essa constatação importa porque responsabilidade sem controle produz ambiguidade organizacional. Um CIO pode ser responsável pelo programa corporativo de IA, enquanto departamentos individuais selecionam modelos, conectam fontes de dados e criam automações de forma independente. A equipe de segurança pode ver a identidade resultante apenas depois de uma revisão ou incidente.

A aquisição de IA também pode fragmentar a autoridade. Um departamento pode comprar uma aplicação que contenha agentes incorporados sem descrevê-la como um projeto de agentes. Outra equipe pode criar um fluxo de trabalho interno usando uma API de modelo e várias ferramentas de automação já existentes.

Ambas as implantações podem criar identidades não humanas. Essas identidades podem estar distribuídas entre plataformas de nuvem, serviços de software, bancos de dados internos e ambientes de desenvolvimento. Nenhum inventário único necessariamente captura o caminho completo.

A questão não é apenas o número de contas. A governança de identidades precisa conectar cinco informações: o que é o agente, quem o possui, por que ele existe, quais recursos pode alcançar e quando sua autoridade deve expirar.

Funcionários humanos fornecem pontos de referência naturais para várias dessas perguntas. Seu gestor aprova o acesso, uma função de trabalho limita permissões e a saída da empresa desencadeia um processo de desligamento. Agentes de IA não têm um status organizacional equivalente, a menos que a empresa crie um.

Um agente também pode usar autoridade emprestada de um usuário humano. Esse desenho pode simplificar a implantação, mas enfraquece a atribuição se os logs não puderem distinguir as ações da pessoa das ações do agente. Credenciais compartilhadas criam uma lacuna ainda maior, porque investigadores podem não saber qual fluxo de trabalho as utilizou.

As equipes de segurança, portanto, enfrentam pressão dos dois lados. Líderes de negócios querem ciclos de implantação mais curtos, enquanto reguladores e clientes esperam acesso controlado a informações sensíveis. As equipes de identidade precisam apoiar ambos sem transformar cada solicitação de agente em uma longa revisão manual.

A lacuna de controle também alcança os sistemas de conhecimento. Um assistente de IA conectado a uma base de conhecimento corporativa pode recuperar informações que parecem inofensivas isoladamente. Ainda assim, ele pode inferir fatos sensíveis ao combinar vários documentos que o fluxo de trabalho solicitante nunca deveria analisar em conjunto.

É por isso que o controle de acesso deve ir além de uma permissão de pasta. As organizações precisam entender as relações entre usuários, agentes, fontes de dados e resultados gerados. Uma base de conhecimento de IA bem estruturada pode melhorar a recuperação de informações, mas seu valor depende da preservação de limites apropriados.

O desafio se torna mais difícil quando a IA muda mais rápido do que as revisões de acesso. Um processo trimestral de certificação pode aprovar um agente para uma finalidade. Semanas depois, desenvolvedores podem adicionar outra ferramenta ou permitir que ele processe uma nova categoria de dados.

Nesse ponto, a aprovação estática deixa de refletir o sistema implantado. A governança de identidades precisa acompanhar mudanças materiais, incluindo novas integrações, escopos mais amplos, caminhos de delegação alterados e regras de retenção modificadas.

O Google News está destacando um problema de segurança que o crescimento dos orçamentos torna visível. As empresas estão financiando a capacidade de agir por meio da IA, mas muitos programas de governança ainda se concentram em controlar a capacidade de fazer login.

Agentes de IA Transformam Permissões no Principal Trade-off

O trade-off central é simples: os agentes se tornam mais úteis à medida que sua autoridade se amplia, mas uma autoridade maior aumenta as consequências de falhas.

Um agente que só pode redigir textos apresenta risco operacional limitado. Um agente que pode acessar arquivos de clientes, acionar sistemas de pagamento, alterar infraestrutura ou enviar mensagens externas pode gerar mais valor. Ele também pode causar mais danos por erro, manipulação ou credenciais roubadas.

O princípio do menor privilégio consiste em conceder apenas o acesso necessário para uma tarefa definida. Aplicá-lo a funcionários já é difícil porque as funções evoluem e as permissões se acumulam. Aplicá-lo a agentes é mais difícil porque a tarefa exigida pode se desenrolar dinamicamente.

Considere um agente encarregado de resolver uma disputa de fatura. Ele pode precisar ler a fatura, examinar um pedido, comparar um contrato, contatar um aprovador interno e criar um ajuste proposto. Não deveria receber acesso permanente a todas as faturas nem a capacidade de aprovar seu próprio ajuste.

Uma conta de serviço com permissões amplas torna esse fluxo de trabalho fácil de criar. Uma identidade com escopo restrito torna-o mais fácil de governar, mas exige um desenho de políticas mais preciso. Essa tensão muitas vezes só aparece depois que um piloto se torna um serviço de produção.

A delegação adiciona outra camada. Um agente orquestrador pode pedir a um agente especialista que recupere dados ou execute uma análise. A empresa precisa decidir se o segundo agente herda todas as permissões, recebe um subconjunto reduzido ou obtém acesso temporário para uma única operação.

Se a autoridade passa por vários agentes, os logs precisam preservar essa cadeia. Investigadores precisam saber qual humano ou serviço iniciou a tarefa, qual agente tomou cada decisão, quais recursos foram usados e se a ação resultante permaneceu dentro da finalidade aprovada.

A McKinsey estimou que a tecnologia voltada a agentes poderia absorver até 15% dos orçamentos empresariais de cibersegurança em três anos. Sua análise afirmou que os gastos se concentrariam em identidade e governança, ao lado da proteção de dados.

Essa previsão reflete uma mudança na arquitetura de segurança. As organizações passaram anos construindo controles em torno de redes, dispositivos e contas humanas. Sistemas baseados em agentes tornam a identidade um ponto central de aplicação de controles, porque um agente pode operar nos três.

A autorização contínua oferece uma possível resposta. Em vez de aprovar o acesso uma vez no login, um sistema avalia se uma ação específica continua permitida no momento em que é solicitada. A decisão pode considerar o agente, a tarefa, o recurso, o horário, o nível de risco e o usuário de origem.

Credenciais temporárias também reduzem a exposição. Um agente pode receber uma credencial para uma tarefa e perdê-la automaticamente quando a tarefa termina. Essa abordagem limita o valor de um token roubado e reduz a chance de que acessos obsoletos permaneçam indefinidamente.

Nenhuma das duas técnicas resolve todo o problema de governança. Um mecanismo de políticas ainda precisa de informações confiáveis sobre a finalidade e a propriedade do agente. Uma credencial temporária pode ser perigosamente ampla mesmo que expire rapidamente.

As empresas também precisam de segregação de funções. Um agente que propõe um pagamento não deve necessariamente autorizá-lo ou executá-lo. Ações de alto impacto podem exigir revisão humana, um segundo agente operando sob uma autoridade diferente ou uma regra de negócio determinística.

Esse controle reduz a autonomia, o que pode frustrar equipes que esperam fluxos de trabalho totalmente automatizados. Ainda assim, o objetivo não deve ser a autonomia máxima. Deve ser o nível mais alto de autonomia que preserve evidências, responsabilização e opções de recuperação aceitáveis.

É aqui que os investimentos empresariais em IA se conectam mais diretamente à governança de identidade. O dinheiro compra modelos, infraestrutura e trabalho de integração. Também precisa financiar os controles que determinam quais ações esses sistemas podem executar.

O Mercado de Segurança de Identidade Tem Seu Próprio Problema de Evidências

Pesquisas de fornecedores apontam na mesma direção, mas seus números exigem interpretação cuidadosa.

Fornecedores de segurança divulgaram diversos estudos descrevendo a rápida adoção de agentes e controles de identidade frágeis. Esses relatórios oferecem sinais úteis porque os fornecedores observam ambientes de clientes e padrões de incidentes. Eles também dão suporte aos produtos vendidos pelas organizações que os publicam.

A Teleport informou que sistemas de IA com privilégios excessivos estiveram associados a taxas de incidentes 4,5 vezes maiores em seu estudo empresarial de 2026. A empresa também afirmou que 92% das companhias pesquisadas estavam implementando IA enquanto os controles de identidade ficavam para trás, segundo seu relatório de segurança empresarial.

Esses números não devem ser tratados como medições universais. Os resultados dependem da amostra, da formulação das perguntas, das definições e de como os respondentes classificam uma implementação de IA ou um incidente de segurança. Uma organização que experimenta um assistente de programação não equivale a outra que permite que agentes modifiquem sistemas de produção.

O padrão geral continua crível mesmo quando os percentuais exatos variam. As empresas estão adicionando identidades não humanas, e muitos programas de identidade existentes têm dificuldade para inventariar contas de serviço e chaves de API. Agentes de IA acrescentam um comportamento mais dinâmico a esse problema já estabelecido.

Outra limitação é a terminologia. Fornecedores usam de maneiras diferentes termos como agente de IA, identidade de máquina, identidade de carga de trabalho, conta de serviço e identidade não humana. Uma pesquisa pode parecer medir a governança de agentes enquanto combina diversas categorias de automação.

Essa ambiguidade afeta as alegações sobre gastos. Uma empresa pode classificar um sistema atualizado de acesso privilegiado como investimento em segurança de IA. Outra pode financiar o mesmo controle por meio de sua plataforma de nuvem ou de seu orçamento geral de identidade.

A IDC informou que 16,7% do investimento global planejado em IA foi destinado à segurança e à governança de agentes de IA. Sua análise das prioridades dos CISOs também identificou a proliferação de ferramentas, a dívida técnica, as lacunas de competências e a dependência de fornecedores como obstáculos às decisões de compra.

Esse número demonstra atenção relevante dos compradores, mas não prova que os gastos estejam produzindo uma governança madura. Organizações podem adquirir ferramentas sobrepostas sem criar um inventário confiável de identidades ou um modelo de aprovação consistente.

A integração continua sendo a parte difícil. Os dados de identidade podem estar em um provedor de identidade, plataforma de nuvem, gerenciador de segredos, sistema de recursos humanos, catálogo de aplicações e plataforma de operações de segurança. Os metadados dos agentes podem estar em um ambiente separado de desenvolvimento ou orquestração.

Um produto de governança só pode exibir o que os sistemas conectados revelam. A IA invisível, que significa o uso de IA não aprovado ou não descoberto, pode permanecer fora dessa visão. Um funcionário pode conectar uma ferramenta de IA para consumidores a dados empresariais sem registrar uma aplicação formal.

A pesquisa da Okta de 2026 descreveu uma desconexão entre a confiança dos executivos e o comportamento dos funcionários. Ela relacionou essa lacuna a políticas pouco claras, ferramentas de IA não aprovadas e salvaguardas insuficientes dentro da empresa agêntica.

A conclusão cautelosa não é que toda empresa enfrente uma crise imediata de identidade. É que as companhias não dispõem de um sistema de medição consistente para as identidades dos agentes, suas permissões efetivas e seu comportamento real.

As permissões efetivas importam mais do que as permissões atribuídas. Um agente pode combinar acessos de diversos sistemas ou inferir informações entre fontes permitidas. Cada permissão pode parecer razoável isoladamente, enquanto a capacidade combinada excede o limite pretendido.

Portanto, os testes precisam ir além da revisão de configurações. As equipes de segurança precisam observar ações tentadas, solicitações negadas, padrões de delegação, uso de credenciais e movimentação de dados. Elas também precisam testar como os sistemas se comportam quando um agente recebe instruções maliciosas ou encontra conteúdo corrompido.

A resposta a incidentes introduz outra incerteza. As organizações podem conseguir desativar uma conta de agente, mas não identificar todas as credenciais, fluxos de trabalho ou tarefas posteriores associadas a ela. Um mecanismo completo de desligamento exige o mapeamento de dependências antes que ocorra um incidente.

As evidências sustentam maior atenção, não confiança cega em uma plataforma ou estatística específica. A governança de identidade só se torna eficaz quando uma organização consegue demonstrar quem é responsável por um agente, o que ele pode fazer e como essa autoridade termina.

Quem Sofre Pressão com a Mudança na Governança

CIOs assumem a pressão pela entrega, CISOs assumem grande parte do risco, e as equipes de identidade herdam a carga operacional.

Espera-se que os diretores de informação transformem o investimento em IA em resultados de negócio mensuráveis. Eles precisam levar projetos além dos protótipos enquanto controlam gastos fragmentados e plataformas incompatíveis. Uma governança que chega tarde pode atrasar a produção ou forçar reformulações caras.

Os diretores de segurança da informação enfrentam um incentivo diferente. Eles precisam evitar acessos excessivos, detectar usos indevidos e explicar incidentes. Um agente que atua por meio de credenciais compartilhadas pode comprometer todas essas três responsabilidades.

As equipes de gerenciamento de identidade e acesso ficam entre essas prioridades. Elas entendem de diretórios, autenticação, acesso privilegiado, revisões de acesso e ciclos de vida de contas. Podem não ser responsáveis pela orquestração de agentes, comportamento de modelos, governança de dados ou design de aplicações.

Essa divisão cria lacunas, a menos que as empresas atribuam responsabilidades explícitas. Todo agente em produção precisa de um responsável de negócio que aceite sua finalidade e suas consequências. Também precisa de um responsável técnico que mantenha a integração, as credenciais, as políticas e o monitoramento.

Os desenvolvedores enfrentam pressão porque os controles de identidade afetam a arquitetura. Um protótipo pode usar uma única chave de API de longa duração armazenada em uma variável de ambiente. Uma implementação em produção deve usar segredos gerenciados, credenciais com escopo definido, rotação, expiração e solicitações rastreáveis.

Esses requisitos acrescentam trabalho de engenharia que é fácil subestimar. O modelo pode gerar uma resposta em segundos, mas o sistema ao redor precisa recuperar informações autorizadas, validar chamadas de ferramentas, registrar decisões, lidar com falhas e evitar novas tentativas inseguras.

Compradores empresariais precisam examinar mais do que a qualidade do modelo. Eles devem perguntar se um produto de IA oferece suporte a identidades separadas para agentes, escopos granulares de permissão, aprovação administrativa, logs exportáveis, rotação de credenciais e revogação imediata.

Também devem perguntar como o fornecedor lida com a delegação. Se um agente invoca outro serviço, o cliente precisa saber qual identidade aparece nos logs posteriores e se o contexto do usuário original é preservado.

Os responsáveis pelos dados têm um papel porque as decisões de acesso não podem depender inteiramente de equipes centralizadas de segurança. A pessoa responsável por dados financeiros, médicos, de clientes ou de engenharia deve definir finalidades aceitáveis e ações de maior risco.

As equipes jurídicas e de conformidade se preocuparão com as evidências. Um documento de política que afirma que os agentes usam o princípio do menor privilégio é mais fraco do que registros que mostram quais permissões foram concedidas, quem as aprovou, quais ações ocorreram e quando o acesso expirou.

Os funcionários também vivenciam a mudança na governança. Um agente rigidamente controlado pode pedir aprovação com mais frequência ou recusar uma tarefa que não consegue concluir dentro de suas permissões. Esse atrito pode incentivar usuários a escolher ferramentas não autorizadas se os sistemas aprovados parecerem inutilizáveis.

A resposta empresarial deve, portanto, equilibrar controle e usabilidade. As políticas devem diferenciar a elaboração de baixo risco da execução de alto impacto. Exigir o mesmo processo de aprovação para ambas pode criar atrasos sem melhorar as proteções mais importantes.

A área de compras pode apoiar essa distinção ao classificar produtos de acordo com sua autoridade. Uma ferramenta que resume documentos apresenta um risco diferente de outra que edita registros ou se comunica externamente.

Os conselhos devem se concentrar na exposição, e não no número de projetos de IA. Dez agentes com acesso somente de leitura a informações públicas podem representar menos risco operacional do que um único agente com uma credencial ampla de produção.

Esse reenquadramento torna a governança de identidade uma decisão de negócio. Ele conecta os gastos com IA ao valor e ao risco das ações que estão sendo automatizadas, em vez de tratar cada implementação como uma compra equivalente de software.

Os leitores do Google News devem, portanto, ver a história da governança de identidade como uma redistribuição de trabalho. Mais gastos com IA não eliminam a responsabilidade humana. Eles transferem essa responsabilidade para as pessoas que projetam, aprovam e monitoram a autoridade das máquinas.

O Que os Compradores Empresariais Devem Observar a Seguir

A próxima fase será medida pela cobertura de identidade, pela qualidade das permissões e pela preparação para incidentes, não pelo número de anúncios de agentes.

O primeiro sinal é se as principais plataformas de IA adotam padrões interoperáveis de identidade. Atualmente, as empresas correm o risco de gerenciar cada ambiente de agentes por meio de diferentes objetos de identidade, logs e sistemas de políticas.

Padrões comuns ajudariam as organizações a identificar um agente de forma consistente em uma plataforma de modelos, estrutura de orquestração, serviço de nuvem e aplicação de negócio. Eles também facilitariam a preservação das cadeias de delegação.

Não basta um fornecedor anunciar suporte à identidade de agentes. Os compradores devem examinar se a identidade é única, persistente, atribuível a um responsável e compatível com os sistemas de autenticação existentes. Também devem verificar se as aplicações posteriores conseguem reconhecê-la.

O segundo sinal é a qualidade da autorização em tempo de execução. Muitas plataformas conseguem limitar o acesso durante a configuração, mas poucas conseguem avaliar cada ação em relação à tarefa e ao contexto atuais.

Os controles em tempo de execução devem responder a perguntas práticas. Este agente tem permissão para acessar este registro de cliente para esta solicitação? Ele pode enviar as informações resultantes para fora da empresa? Uma ação financeira exige uma segunda aprovação?

Observe produtos que ofereçam suporte a credenciais de curta duração, escopos no nível da tarefa, verificações de políticas e registros claros de negação. Essas capacidades indicam que a governança de identidade está passando para a execução, em vez de permanecer uma revisão administrativa.

O terceiro sinal são as evidências de incidentes e auditorias. As empresas descobrirão se seus controles funcionam quando um agente se comportar de modo inesperado, receber instruções manipuladas ou usar autoridade fora de sua finalidade pretendida.

Evidências públicas úteis incluiriam relatórios detalhados de incidentes, conclusões regulatórias, exigências de seguros e orientações de auditoria. Essas fontes podem mostrar se as organizações conseguem rastrear as ações de um agente e revogar rapidamente todas as credenciais relacionadas.

Uma redução nas permissões excessivas fortaleceria o argumento de que os programas de identidade estão acompanhando a evolução. Um aumento nos incidentes envolvendo contas compartilhadas ou responsabilidade pouco clara mostraria que os gastos continuam superando a governança.

As empresas podem começar a medir sua própria posição sem esperar por um novo padrão. Devem contabilizar os agentes em produção, identificar os responsáveis, mapear credenciais, registrar permissões efetivas e acompanhar a expiração dos acessos.

A cobertura é a primeira métrica útil. Uma organização não pode governar um agente que ainda não descobriu. O inventário deve incluir aplicações adquiridas com agentes incorporados, fluxos de trabalho desenvolvidos internamente e automações criadas por funcionários.

A qualidade das permissões é a segunda métrica. As equipes devem medir quantos agentes detêm acesso amplo ou permanente, com que frequência solicitações são negadas e se ações sensíveis exigem aprovação adicional.

O desempenho do ciclo de vida é a terceira métrica. As empresas devem saber quanto tempo leva para criar, revisar, modificar, suspender e desativar uma identidade de agente. Processos lentos incentivam contornos, enquanto a ausência de controles de desativação deixa acessos desnecessários ativos.

A preparação para incidentes oferece o teste final. Uma equipe deve ser capaz de desativar um agente, revogar suas credenciais, interromper tarefas na fila, identificar os recursos afetados e reconstruir a sequência de ações.

Essas medidas não exigem que as empresas abandonem seus sistemas de identidade existentes. Muitas organizações podem ampliar os atuais processos de governança se esses sistemas oferecerem suporte a identidades de máquina, autoridade temporária e dados detalhados de eventos.

No entanto, simplesmente inserir agentes em funções semelhantes às de funcionários não resolverá a delegação dinâmica nem o acesso específico por tarefa. As empresas precisarão de políticas concebidas em torno de ações e finalidades, e não apenas de cargos.

O Google News destacou uma manchete oportuna, mas a história duradoura é operacional. Os investimentos empresariais em IA estão criando sistemas capazes de exercer autoridade à velocidade das máquinas. A governança de identidades precisa determinar de quem é a autoridade que eles utilizam, até onde ela se estende e quando termina.

A próxima pergunta para cada comprador de IA é concreta: sua organização consegue nomear cada agente em produção, identificar seu responsável, explicar suas permissões efetivas e revogá-las sem interromper trabalhos não relacionados? Se a resposta ainda não estiver clara, o orçamento de IA já criou uma obrigação de governança que o orçamento de segurança precisa enfrentar.