Aprovação humana em agentes de IA: três freios para a produção

O piloto convenceu o time. Agora o agente precisa emitir uma nota, liberar um reembolso ou alterar um cadastro — e a pergunta que trava a reunião é outra: quem responde se ele errar? Enquanto essa resposta não existe, o agente fica na demo.

Para um diretor de TI ou de operações, "autônomo" não é um elogio. É um risco a ser dimensionado. Este post mostra os três freios que transformam um agente aceitável em um agente aprovável: aprovação humana antes de ações sensíveis, teto de gasto por agente e políticas contextuais. E, no fim, uma distinção que costuma ser confundida em due diligence: evidência não é certificação.

Aprovação humana antes de ações sensíveis#

Nem toda ação do agente precisa de um humano. Consultar um pedido, resumir um histórico ou responder uma dúvida de produto são operações de leitura — baratas de errar e fáceis de corrigir. O problema está nas ações que mudam o estado de algo no mundo: pagamentos, cancelamentos, alterações contratuais, envio de comunicação em nome da empresa.

É aí que entra a aprovação humana (HITL, human in the loop). Na Zihin, você define o escopo das ações que exigem aprovação. Quando o agente chega a uma delas, ele para e pede. A solicitação aparece como um card no Zihin Chat, com contexto da ação e dois botões: aprovar ou recusar. Só depois da decisão o processo segue — ou não segue.

Dois detalhes fazem diferença na prática:

• Um membro pode aprovar o que outro disparou. A regra de governança permite que a pessoa que acionou o agente não seja a mesma que autoriza a ação. É accountability entre pessoas, não só entre pessoa e agente.
• A aprovação vale também fora do console. Quem opera os agentes por um cliente compatível com MCP continua sujeito às mesmas políticas: a ação exige aprovação quando a configuração determina.

Teto de gasto por agente#

O segundo medo do diretor é menos dramático e mais frequente: a fatura. Um agente em loop, uma integração mal configurada ou simplesmente um volume maior do que o esperado — e o consumo de modelo sai do controle no meio da noite.

O freio aqui é o orçamento por agente: um limite em dólar definido para cada agente. Ao atingir o teto, o agente para sozinho. Isso vale inclusive quando ele roda com a sua própria chave de provedor (BYOK) — o limite é da plataforma, não do provedor, e por isso não depende de alertas que chegam depois do estrago.

O que isso muda na conversa com a diretoria:

• O custo deixa de ser uma estimativa global e passa a ser um teto por iniciativa. O agente de cobrança tem um orçamento; o de suporte, outro.
• Previsibilidade não exige vigilância. Não é preciso alguém olhando um painel para que o freio funcione.
• O consumo fica consultável no console, e o Zihin Watch envia resumos semanais e relatórios mensais com execuções, custos de IA e pontos de atenção para os responsáveis.

Políticas contextuais: o que o agente nunca faz#

Aprovação cuida de ações pontuais. Orçamento cuida de dinheiro. O terceiro freio cuida de tudo que deveria ser impossível, independentemente de quem pediu: as políticas de segurança contextual (CSP).

Uma política contextual é uma regra aplicada em cada execução, antes da ferramenta rodar. Cinco tipos cobrem a maior parte dos casos:

• Horário — fora da janela definida (horário comercial, dias úteis, fuso), o agente não executa.
• Comportamento — tom, idioma, o que deve e não pode fazer, incluindo bloqueio de ferramentas específicas e limite de iterações.
• Dados — restrição de acesso a campos e entidades sensíveis.
• Origem — de onde o agente pode ser acionado (IPs e domínios permitidos).
• Customizada — regras próprias, em JSON, para o que é específico da sua operação.

As políticas seguem herança de escopo: você define uma vez no nível da empresa e refina por time, agente ou usuário. A regra mais específica prevalece. Uma restrição de LGPD escrita uma vez vale para todos os agentes, sem recolar em cada configuração.

Essas políticas se somam ao controle de acesso: RBAC em quatro níveis (owner, admin, editor, member), aplicado na interface e na API, define o que pessoas podem configurar. As CSPs definem o que o agente pode fazer em execução. Detalhes das duas camadas estão na página de segurança.

O que fica registrado — e por que isso importa#

Freio sem registro é promessa. Os três controles acima só servem ao diretor se ele conseguir provar, meses depois, que funcionaram.

Cada sessão do agente fica registrada por completo: fases, chamadas de ferramenta, tokens, custos e latências. Tudo consultável no console e via API de telemetria. O replay de sessão permite reconstruir o que aconteceu em uma execução passada, chamada por chamada. Decisões de aprovação são registradas antes da continuação do processo. Credenciais de integração ficam em cofre criptografado com AES-256-GCM, nunca em arquivos de configuração.

A distinção importa porque a pergunta do auditor raramente é "você tem o selo?". É "mostre o que o agente fez no dia 14, às 2h17, e quem autorizou". Evidência responde isso. Certificação atesta um processo, mas não reconstrói uma sessão.

Segundo a Deloitte, apenas 21% dos respondentes de sua pesquisa de 2026 afirmam que a organização tem um modelo maduro de governança de agentes de IA. O número não é sobre tecnologia — é sobre a ausência dos freios descritos aqui, com registro. Quem os tem está na minoria.

Conclusão#

Um agente é aceitável para um diretor quando ele consegue responder três perguntas sem hesitar: quem aprovou a ação sensível, quanto o agente pode gastar, e o que ele nunca poderia ter feito. Aprovação humana, teto de gasto e políticas contextuais respondem cada uma delas — e deixam registro.

Se a sua operação tem agentes parados na demo por falta dessas respostas, vale mapear quais ações exigem aprovação, qual teto cabe em cada iniciativa e quais regras já existem no papel sem estarem aplicadas. Veja os planos, consulte as perguntas frequentes ou agende um diagnóstico.

Fontes#

• Deloitte, State of AI in the Enterprise 2026 — comunicado de imprensa. Pesquisa com 3.235 líderes de negócio e TI em 24 países; maturidade declarada pelos respondentes.
• Zihin.ai, Segurança e Perguntas frequentes — controles, RBAC, políticas contextuais e posição sobre certificações.