Autor: Kevin Bobowski, Diretor de Marketing, Archer
Os diretores executivos de 15 fornecedores líderes em cibersegurança, presentes na RSAC 2026, afirmaram-no de forma direta. Os agentes de IA estão a entrar em produção mais rapidamente do que os controlos, a responsabilização e as provas de auditoria necessários para os regulamentar. A Gestão da Mudança Regulamentar, executada como um fluxo de trabalho contínuo em Operadores de IA, é a disciplina que colmata essa lacuna.
Pontos-chave
- A adoção da IA está a avançar mais rapidamente do que a sua governação. Os agentes de IA estão a entrar em produção enquanto a camada de governação ainda se encontra na fase de planeamento, segundo os CEOs da CrowdStrike, Netskope, Saviynt e de outros sete fornecedores líderes de cibersegurança entrevistados pela CRN na RSAC 2026.
- A arquitetura de identificação dos agentes ainda não está definida. «Não sabemos se vamos ter uma conta por agente, uma conta por utilizador ou uma conta por função», afirmou Sachin Nayyar, CEO da Saviynt. A camada fundamental de qualquer programa de governação ainda não está definida.
- A IA gera mais trabalho relacionado com o risco, e não menos. Tomer Weingarten, CEO da SentinelOne: a IA na cibersegurança «não se limita a automatizar o trabalho, também gera mais trabalho». As funções de governação, risco e conformidade enfrentam o mesmo efeito multiplicador.
- Os seres humanos devem estar no comando, e não apenas a ser informados. A nova perspetiva apresentada pelo CEO da Huntress, Kyle Hanslovan, constitui a formulação mais clara do princípio de governação dos sistemas autónomos.
- A Gestão das Alterações Regulamentares (RCM) é o que colmata essa lacuna. Executada como um fluxo de trabalho contínuo nos Operadores de IA, com uma linha de rastreabilidade de ponta a ponta, a RCM transforma a disciplina de adaptação dos controlos às alterações regulamentares de um projeto trimestral numa resposta em tempo real à aplicação da Lei da IA da UE, às atualizações do RMF da IA do NIST e às obrigações de divulgação da SEC.
Por que razão a adoção da IA está a avançar mais depressa do que a sua governação?
| A adoção da IA está a avançar mais rapidamente do que a sua governação, porque os líderes empresariais estão sob pressão do conselho de administração para implementar agentes de IA ao ritmo da vantagem competitiva, enquanto as equipas de risco e conformidade os estão a gerir ao ritmo dos processos GRC tradicionais, concebidos para ciclos de auditoria anuais. Os dois relógios funcionam em escalas temporais diferentes. É essa a discrepância. |
Sanjay Beri, CEO da Netskope, identificou o ponto central da sua entrevista à CRN na RSAC 2026:
«Com que rapidez pode um CISO implementar a governação da sua IA, mantendo ao mesmo tempo o ritmo de adoção dessa IA na sua empresa?» Sanjay Beri, CEO da Netskope
Ambas as diretrizes são reais. Estão também em conflito direto.
O CEO da Proofpoint, Sumit Dhawan, foi direto quanto às consequências. As equipas de cibersegurança e de gestão de riscos foram postas de lado, não por opção, mas porque a adoção da tecnologia ultrapassou a sua capacidade de estabelecer controlos. A IA é agora uma prioridade para os CEOs. A função de gestão de riscos não está em posição de travar esse processo.
O resultado é uma realidade discreta e assimétrica no seio da maioria das empresas. Os agentes estão a operar em ambiente de produção, enquanto a camada de governação ainda se encontra na fase de planeamento.
Por que razão a gestão dos agentes de IA é um problema de arquitetura de risco e não um problema relacionado com as ferramentas de segurança?
| A gestão de agentes de IA constitui um problema de arquitetura de risco, uma vez que nenhuma ferramenta de segurança pontual consegue integrar o comportamento dos agentes, os controlos de acesso, os quadros de políticas e as pistas de auditoria numa visão única a nível de toda a empresa, tal como a supervisão eficaz exige. É necessária uma infraestrutura de GRC concebida para sistemas autónomos, e não apenas uma funcionalidade. |
George Kurtz, diretor executivo da CrowdStrike, definiu claramente o âmbito da exposição:
«Se os agentes têm acesso a shells, aos dados e aos fluxos de trabalho, como é que se consegue sequer saber o que se está a passar?» George Kurtz, cofundador e diretor executivo da CrowdStrike
Os agentes de IA não são ferramentas passivas. São atores autónomos. Executam fluxos de trabalho, acedem a dados, percorrem sistemas e acumulam permissões à velocidade de uma máquina. Quando são comprometidos ou mal configurados, o alcance do impacto agrava-se em questão de minutos.
Art Gilliland, diretor executivo da Delinea, disse o que a maioria pensa, mas poucos o afirmaram abertamente:
«Não tenho conhecimento de nenhum caso em que um agente de IA tenha sido pirateado e isso tenha sido a causa da violação. Mas isso vai acontecer.» Art Gilliland, CEO da Delinea
A declaração mais marcante partiu do CEO da Saviynt, Sachin Nayyar:
«Ainda não sabemos se vamos ter uma conta por agente, uma conta por utilizador ou uma conta por função. A arquitetura dos agentes ainda não está definida neste momento.» Sachin Nayyar, CEO da Saviynt
A arquitetura de identidade e acesso para agentes de IA, a base sobre a qual se assenta qualquer programa de governação, ainda não está definida. Os agentes estão a ser implementados mais rapidamente do que as estruturas concebidas para os controlar. Colmatar essa lacuna requer uma infraestrutura de GRC que governe os agentes de IA de ponta a ponta, ligando o comportamento dos agentes, os controlos de acesso, as estruturas de políticas e as pistas de auditoria num panorama único a nível de toda a empresa.
Será a IA um novo paradigma de segurança? O CEO da Mimecast diz que não.
| A IA não é um novo paradigma em termos de segurança. Os princípios fundamentais da cibersegurança e da gestão de riscos não se alteraram. O que mudou foi o ritmo operacional a que têm de funcionar. |
O CEO da Mimecast, Marc van Zadelhoff, apresentou na RSAC 2026 o contraponto mais forte à narrativa de que «a IA muda tudo»:
«No fim de contas, é preciso pensar na rede, no terminal, na aplicação, nos dados e na identidade. E, claro, nas pessoas que os utilizam. Esses são os princípios fundamentais da cibersegurança. Sempre foram assim.» Marc van Zadelhoff, CEO da Mimecast
Ele tem razão no que diz respeito aos princípios. Os fundamentos da gestão de risco e conformidade também não mudaram. Visibilidade, controlo, responsabilização, provas. O que mudou foi o ritmo operacional. Os agentes de IA obrigam cada um desses fundamentos a funcionar à velocidade de uma máquina, simultaneamente, em todos os sistemas da empresa. Isso não é uma mudança de paradigma. É um teste de resistência ao paradigma existente.
As plataformas que passarem no teste de resistência serão aquelas concebidas tanto para a rapidez como para a profundidade. As que falharem serão as plataformas GRC tradicionais, concebidas para ciclos de auditoria anuais e controlos estáticos.
Por que é que a IA gera mais trabalho de risco, em vez de menos?
| A IA gera mais trabalho relacionado com o risco, uma vez que cada agente implementado alarga a área de risco: novos controlos a validar, novas provas de auditoria a recolher, novas exposições regulamentares a gerir e novas dependências de terceiros a avaliar. A suposição de que a IA irá reduzir a carga sobre as funções de risco e conformidade não é corroborada pelos operadores que estão mais próximos desta tecnologia. |
Tomer Weingarten, diretor executivo da SentinelOne, contestou diretamente a suposição de que isso poupa trabalho:
«A IA aplicada à cibersegurança não é apenas algo que ajuda a aumentar a força de trabalho, tal como acontece em todos os setores. Também gera mais trabalho para o operador de cibersegurança. Não se trata apenas de automatizar o trabalho, mas também de criar mais trabalho.» Tomer Weingarten, cofundador e diretor executivo da SentinelOne
A mesma lógica aplica-se de forma ainda mais marcante ao risco e à conformidade. Os prazos são concretos. A aplicação das obrigações relativas aos sistemas de alto risco previstas na Lei da IA da UE tem início em agosto de 2026. A adoção do RMF de IA do NIST está a acelerar em todas as agências federais e nas suas cadeias de abastecimento. Os conselhos de administração estão, cada vez mais, a encarar a supervisão da IA como uma responsabilidade fiduciária, e não como um pormenor técnico. O CCO que não conseguir apresentar provas de controlos ao nível dos agentes é aquele cujo nome aparecerá na próxima divulgação 8-K.
As equipas de gestão de risco que partiram do princípio de que a IA iria reduzir a sua carga de trabalho vão ser apanhadas de surpresa. As equipas que terão sucesso serão aquelas que gerirem a Gestão de Alterações Regulamentares como um fluxo de trabalho contínuo, em vez de um projeto trimestral.
O que significa «os seres humanos no comando, e não apenas a fazer parte do processo» para a governação da IA?
| «Humans in the lead» significa que são os seres humanos que definem a propensão ao risco, estabelecem os limites da política e assumem a responsabilidade pelo quadro de prestação de contas antes de a IA agir. «Humans in the loop» requer apenas que um ser humano analise ou aprove resultados específicos. Esta distinção é importante porque a revisão por parte de um ser humano no ciclo falha quando a IA opera à velocidade da máquina, tomando milhares de decisões em simultâneo. |
A formulação mais clara deste princípio partiu do CEO da Huntress, Kyle Hanslovan:
«A IA requer que os seres humanos assumam a liderança, e não apenas que façam parte do processo. Têm de ser eles a orientar a IA. Têm de ser eles a orientar a investigação na área da deteção.» Kyle Hanslovan, cofundador e diretor executivo da Huntress
O conceito de «humans in the loop» tornou-se um mero requisito de conformidade. Um ser humano analisa. Um ser humano aprova. Um ser humano dá o aval final. Esse modelo entra em colapso quando o volume de trabalho aumenta.
«Os seres humanos no comando» é um padrão diferente. Trata-se de uma governação por conceção, em vez de uma governação por exceção. Quando a IA atua, de forma autónoma ou não, fá-lo no âmbito de uma estrutura deliberadamente concebida. Trata-se de um problema de gestão da mudança regulamentar, não de um problema relacionado com ferramentas de segurança. Exige gestão de políticas, quadros de avaliação de riscos, bibliotecas de controlos e fluxos de trabalho de auditoria concebidos para governar sistemas dinâmicos e autónomos.
Como devem os responsáveis pela gestão de riscos classificar os fluxos de trabalho de IA para efeitos de governação?
| Os responsáveis pela gestão de riscos devem classificar os fluxos de trabalho de IA de acordo com o custo do erro. Os fluxos de trabalho em que uma decisão incorreta da IA é recuperável podem ser totalmente autónomos. Os fluxos de trabalho em que uma decisão incorreta cria um risco significativo requerem validação humana. Os fluxos de trabalho que afetam resultados regulamentados exigem responsabilização humana documentada e provas de auditoria. |
O CEO da Arctic Wolf, Nick Schneider, acrescentou esta perspetiva prática na RSAC 2026:
«Há certos fluxos de trabalho em que o sistema pode funcionar de forma totalmente autónoma e, se cometer um erro, não é o fim do mundo. Há outros em que, se cometer um erro, é um problema grave.» Nick Schneider, CEO da Arctic Wolf
É exatamente esse tipo de hierarquização estruturada que um programa maduro de Gestão da Mudança Regulamentar permite. Saber quais decisões podem ser confiadas a máquinas, quais requerem validação humana e quais são regidas por exceções. Não se trata de abrandar a IA. Trata-se de saber onde devem ser colocadas as barreiras de segurança antes de o comboio sair da estação.
Qual é a dimensão da oportunidade na área da governação da IA?
| O CEO da Sophos, Joe Levy, referiu-se à transformação da cibersegurança impulsionada pela IA como «provavelmente a maior oportunidade de mercado que já vi na minha vida», com impacto em centenas de milhões de empresas a nível global. A governação da IA é a vertente dessa transformação que apresenta a infraestrutura menos madura e o custo mais elevado em caso de falhas. |
«Centenas de milhões de empresas estão prestes a passar por esta transformação. Trata-se de uma onda económica que está prestes a atingir todo o planeta. É provavelmente a maior oportunidade de mercado que já vi na minha vida.» Joe Levy, CEO da Sophos
As organizações que conseguirem navegar com sucesso nesta onda encararão a governação da IA como infraestrutura, e não como algo secundário. As organizações que não o fizerem enfrentarão um desfecho diferente: exposição a riscos regulamentares, falhas nas auditorias, perturbações operacionais e danos à reputação decorrentes de sistemas de IA a operar fora de qualquer quadro de risco significativo.
Por que razão os agentes de IA genéricos não cumprem a função de controlo. E o que os Operadores de IA fazem de diferente.
| Os agentes de IA genéricos são invólucros simples de LLM concebidos para a produtividade, e não para servir de segunda linha de defesa. Os Operadores de IA constituem uma categoria diferente: são sensíveis à identidade, têm o âmbito de ação limitado, geram relatórios de auditoria, são supervisionados por especialistas e, por definição, são independentes do fornecedor. A distinção é de natureza arquitetónica, não ao nível das funcionalidades. |
Os diretores executivos entrevistados pela CRN na RSAC 2026 descreveram os modos de falha dos agentes genéricos. Agentes que acedem a shells sem proveniência. Agentes que acumulam permissões sem auditoria. Agentes que atuam à velocidade da máquina sem justificação. Esses modos de falha não são erros. São as consequências previsíveis de tratar um modelo de base, com um prompt e algumas ferramentas, como se fosse uma função de controlo empresarial.
Os Operadores de IA invertem essa arquitetura. A identidade é associada de forma nativa através do SSO e do SCIM. Os limites de ação são artefactos de política, não limites de tokens. Cada ação gera um registo de auditoria estruturado e imutável. A justificação e a confiança são calibradas e vinculadas a um esquema. A camada do modelo é abstraída e substituível. A revisão por especialistas é uma função básica da plataforma, não um complemento do fluxo de trabalho. A linhagem de ponta a ponta liga cada ação do agente à política e à fonte autorizada que a autorizou.
Em termos de produtividade, basta um agente. Em termos de controlo, só a presença de um operador se justifica.
De que forma a gestão da mudança regulatória colmata a lacuna de governação?
| A Gestão de Alterações Regulamentares colmata a lacuna entre a adoção da IA e a governação da IA, transformando a disciplina de adaptação dos controlos às alterações regulamentares de um projeto trimestral num fluxo de trabalho contínuo. Com uma linhagem de ponta a ponta, desde a fonte oficial até à obrigação, ao controlo, ao processo e à ação do agente de IA, cada alteração regulamentar pode ser propagada de forma determinística e cada decisão do agente de IA pode ser rastreada até à política que a autorizou. |
Os prazos que realmente importam não seguem ciclos trimestrais. A aplicação das obrigações relativas aos sistemas de alto risco previstas na Lei da IA da UE tem início em agosto de 2026. As revisões do RMF da IA do NIST são publicadas continuamente. As expectativas da SEC em matéria de divulgação estão em constante evolução. A implementação de agentes de IA também não segue ciclos trimestrais. Novos agentes entram em produção todas as semanas, em todas as unidades de negócio, com cada nova atualização de SaaS.
Um programa de Gestão de Alterações Regulamentares, assente na arquitetura adequada, gere esses dois relógios em simultâneo. Quando o CFR §X é alterado, quando o NIST publica uma revisão, quando é adotada uma nova diretiva da UE, um Operador de IA eficaz identifica todas as obrigações, controlos, unidades de negócio, processos e agentes de IA afetados. Quando um novo agente é implementado, essa mesma linhagem mostra quais as obrigações que este abrange e quais os controlos que deve cumprir.
É isso que torna possível colmatar essa lacuna. Não são revisões mais rápidas. Não são mais revisores. É um fluxo de trabalho contínuo, orientado pela linhagem, e Operadores de IA que funcionam ao ritmo de funcionamento dos sistemas que controlam.
O que devem fazer agora os CISOs, CCOs, CROs e CAEs?
| Em 2026, há três prioridades urgentes para os responsáveis pela gestão de riscos e conformidade: |
1. Estabelecer estruturas de governação da IA agora. A arquitetura de identidade dos agentes ainda não está definida. As organizações que esperarem pelo consenso do setor acabarão por ter de governar retroativamente. Identifique todos os agentes implementados. Defina as responsabilidades para cada classe de decisão. Elabore a política antes que o regulador o faça.
2. Reavaliar a propensão ao risco no que diz respeito aos sistemas autónomos. A questão já não se resume apenas ao que a IA pode fazer. Trata-se, sim, do que se deve permitir que a IA faça. Quem é responsável quando esta age fora desses limites. Que provas a organização pode apresentar quando um auditor ou uma entidade reguladora o solicitar.
3. Implementar a gestão de alterações regulamentares como um fluxo de trabalho contínuo. As plataformas GRC tradicionais , concebidas para ciclos de auditoria anuais e controlos estáticos, não conseguem acompanhar o ritmo operacional dos agentes de IA nem a cadência da regulamentação em matéria de IA. A infraestrutura tem de se adaptar a ambos.
Para o CRO, o resultado esperado é uma postura de controlo da IA defensável que possa ser apresentada ao conselho de administração, à comissão de auditoria e à entidade reguladora. Para o CCO, trata-se de uma plataforma única que aplica a política de forma uniforme em todas as unidades de negócio e produz provas que resistem a uma inspeção regulatória. Para o CISO, trata-se de uma IA vinculada à identidade, com âmbito restrito e capaz de gerar relatórios de auditoria, concebida de acordo com o seu modelo de IAM existente, e não em contradição com ele. Para a Auditoria Interna, trata-se de programas de amostragem, análise passo a passo e testes substantivos que funcionam porque cada ação da IA é estruturada de forma consistente, justificada e passível de revisão.
O que é a infraestrutura de GRC que rege os agentes de IA?
| A infraestrutura de GRC que rege os agentes de IA é a camada de políticas, controlo, evidência e responsabilização, concebida especificamente para supervisionar sistemas autónomos que funcionam à velocidade das máquinas. Esta infraestrutura gere a Gestão de Alterações Regulamentares como um fluxo de trabalho contínuo. Encaram o modelo de base como um componente substituível, em vez de como o próprio sistema. Produz a evidência pronta para auditoria ao nível do agente, tal como os conselhos de administração, os auditores e as entidades reguladoras agora esperam. |
A infraestrutura de GRC que rege os agentes de IA é a camada de políticas, controlo, evidência e responsabilização, concebida especificamente para supervisionar sistemas autónomos que funcionam à velocidade das máquinas. Esta infraestrutura gere a Gestão de Alterações Regulamentares como um fluxo de trabalho contínuo. Encaram o modelo de base como um componente substituível, em vez de como o próprio sistema. Produz a evidência pronta para auditoria ao nível do agente, tal como os conselhos de administração, os auditores e as entidades reguladoras agora esperam.
O problema da governação tem solução. As organizações que criarem programas de gestão da mudança regulamentar preparados para a IA, com os quadros adequados, a integração de dados correta e as estruturas de responsabilização adequadas, avançarão mais rapidamente e com maior confiança do que aquelas que adaptam ferramentas que nunca foram concebidas para sistemas autônomos.
É isso que a gestão moderna das alterações regulamentares torna possível.
Os agentes de IA precisam de mecanismos de proteção. As empresas precisam de infraestrutura de GRC. É essa a oportunidade.
Perguntas frequentes
O que é a governação da IA?
A governação da IA é o quadro de políticas, controlos, estruturas de responsabilização e provas de auditoria que determina o que os sistemas de IA estão autorizados a fazer, que provas a organização apresenta sobre o seu comportamento e quem é responsável quando estes operam fora dos limites definidos. No que diz respeito especificamente aos agentes de IA, trata-se da camada de risco e conformidade necessária para supervisionar sistemas autónomos que funcionam à velocidade das máquinas.
Qual é a diferença entre um agente de IA e um operador de IA?
Um agente de IA genérico é uma camada fina sobre um modelo de base: um prompt, algumas ferramentas e um ciclo de raciocínio. É concebido para a produtividade, não para a função de controlo. Um Operador de IA é uma categoria diferente de sistema, concebido como um agente regulado no seio de uma estrutura de controlo empresarial. Os Operadores de IA são, por definição, sensíveis à identidade, limitados no âmbito de atuação, geradores de relatórios de auditoria, supervisionados por especialistas e independentes do fornecedor. Para fins de produtividade, um agente é suficiente. Para o controlo, apenas um Operador é justificável.
De que forma a Gestão da Mudança Regulamentar colmata o fosso entre a adoção da IA e a governação da IA?
A Gestão de Alterações Regulamentares colmata esta lacuna, transformando a disciplina de adaptação dos controlos às alterações regulamentares de um projeto trimestral num fluxo de trabalho contínuo. Com uma linhagem de ponta a ponta, desde a fonte oficial até à obrigação, ao controlo, ao processo e ao agente de IA, cada alteração regulamentar propaga-se de forma determinística e cada ação do agente de IA remete para a política que a autorizou.
Qual é a diferença entre «humans in the lead» e «humans in the loop»?
«Humans in the loop» significa que um ser humano revê ou aprova resultados específicos da IA antes da ação. «Humans in the lead» significa que os seres humanos definem a propensão ao risco, estabelecem os limites das políticas e assumem a responsabilidade pelo quadro de responsabilização antes da implementação da IA. O primeiro é um ponto de controlo. O segundo é a governação desde a conceção. O CEO da Huntress, Kyle Hanslovan, apresentou esta distinção na RSAC 2026.
Quando é que a Lei da UE sobre a IA entra em vigor no que diz respeito aos sistemas de IA de alto risco?
A aplicação das obrigações relativas aos sistemas de alto risco previstas na Lei da IA da UE terá início em agosto de 2026. As organizações que operam na União Europeia ou que prestam serviços a cidadãos da UE devem estabelecer procedimentos documentados de governação, gestão de riscos e avaliação da conformidade para os sistemas de IA classificados como de alto risco ao abrigo do regulamento.
O que disseram os diretores executivos do setor da cibersegurança na RSAC 2026 sobre os agentes de IA?
A CRN entrevistou os diretores executivos de 15 fornecedores líderes em cibersegurança na RSAC 2026, incluindo a CrowdStrike, a SentinelOne, a Netskope, a Proofpoint, a Mimecast, a Sophos, a Saviynt, a Delinea, a Huntress e a Arctic Wolf. Os temas recorrentes foram que a arquitetura de identidade dos agentes ainda não está definida, que a IA cria mais trabalho para as equipas de risco e segurança em vez de menos, que o conceito de «humanos no comando» deve substituir o de «humanos no circuito» como padrão de governação e que a oportunidade de mercado é uma das maiores da história da cibersegurança.
Em que medida a governação da IA difere da GRC tradicional?
O GRC tradicional foi concebido para ciclos de auditoria anuais e controlos estáticos. A Governança da IA deve funcionar com base na Gestão de Alterações Regulamentares como um fluxo de trabalho contínuo, recolhendo o comportamento dos agentes em tempo real, aplicando políticas à velocidade da decisão e produzindo provas prontas para auditoria ao nível do agente. Os princípios fundamentais da gestão de riscos e conformidade permanecem inalterados. O ritmo operacional e os requisitos de integração de dados, porém, sim.
A Archer é a infraestrutura de GRC que gere os agentes de IA. Assenta em 25 anos de experiência aprofundada em GRC, mais de 1 200 clientes empresariais e na espinha dorsal de inteligência regulatória na qual confiam seis dos dez maiores bancos dos EUA. A velocidade da IA. A profundidade da experiência. Saiba mais em archerirm.com.
