PulseFlow Tecnologia
← Insights
·6 min de leitura·framework-playbook·governanca-de-agentes·identidade·auditoria
PulseFlow Tecnologia

Framework de governança para agentes corporativos

Quando três das maiores plataformas de nuvem do mundo desenham, ao mesmo tempo, sistemas de identidade, registro e auditoria específicos para agentes de IA, isso deixa de ser opinião de fornecedor e vira sinal de mercado: governança de agente não é um adendo de compliance, é parte da arquitetura. Dá para extrair um framework prático olhando o que Microsoft, Google e AWS realmente construíram.

Identidade e permissões

A Google Cloud trata identidade de agente como um problema de infraestrutura, não de política: o Agent Identity atribui "IDs criptográficos únicos" a cada agente, e o Agent Registry funciona como "biblioteca central de agentes, ferramentas e skills aprovados" - nada roda sem estar registrado. A Microsoft resolve o mesmo problema por cima da identidade que a empresa já usa: Entra (identidade), governança centralizada via Agent 365. Em ambos os casos, a lógica é a mesma: um agente não é uma instância anônima de um modelo - é uma identidade rastreável, com escopo de permissão próprio.

Dados e ferramentas

A AWS aborda essa dimensão pelo lado dos dados: o Managed Knowledge Base conecta agentes a fontes corporativas (S3, SharePoint, Confluence, Google Drive, entre outras) através de conectores nativos - o que significa que o acesso a dados passa por um ponto único e gerenciado, não por integrações artesanais espalhadas pelos times. Do lado das ferramentas, a Google Cloud usa o Agent Gateway para "controle centralizado e políticas de segurança unificadas", e o Model Armor especificamente contra prompt injection e vazamento de dados.

Contexto e memória

Memória persistente deixou de ser recurso experimental: o Memory Bank da Google já é parte formal da plataforma, com "Memory Profiles" que retêm contexto entre sessões - o caso do Payhawk (redução de mais de 50% no tempo de submissão de despesas) só existe porque o agente lembra do contexto entre interações. Governar essa camada significa decidir o que é retido, por quanto tempo, e quem pode auditar essa memória.

Logs, evals e auditoria

A Google Cloud tem o Agent Anomaly Detection (detecção de comportamento suspeito em tempo real) e o Agent Security Dashboard, integrado ao Security Command Center. A Microsoft aposta no ciclo "source, test, deploy, observe, and improve" como parte do próprio Agent 365. O padrão comum: nenhuma das três empresas trata observabilidade como algo que se adiciona depois - é parte da mesma camada que registra identidade e permissão.

Aprovação humana

Nenhuma das plataformas propõe autonomia total sem supervisão. A melhoria contínua da Microsoft acontece "under human supervision"; a Google oferece Agent Simulation e Agent Evaluation antes de qualquer coisa rodar contra tráfego real. Governança madura não é sinônimo de bloquear o agente - é definir onde a aprovação humana entra no ciclo, e onde o agente pode agir sozinho.

As dez dimensões do framework

Juntando o que essas três plataformas realmente implementaram:

  1. Identidade - ID único e rastreável por agente
  2. Permissões - escopo de acesso definido por agente, não por sistema inteiro
  3. Dados - conectores centralizados, não integrações artesanais
  4. Tools - registro central de ferramentas aprovadas
  5. Contexto - o que o agente vê, e de onde vem
  6. Memória - o que é retido entre sessões, por quanto tempo
  7. Logs - cada decisão e chamada de ferramenta registrada
  8. Evals - testes contra tráfego simulado antes de produção
  9. Aprovação humana - pontos definidos de checkpoint, não bloqueio total
  10. Auditoria - dashboard e detecção de anomalia contínuos

Fontes