Agente de IA com acesso ao ERP: 5 controles antes de liberar
Victor Calazans
Um agente de IA que só responde perguntas é um assistente. Um agente que consulta estoque, abre pedido, altera cadastro ou lança nota no ERP é outra coisa: é um usuário do sistema. E, em muitas empresas, ele está entrando nesse papel sem os controles que qualquer funcionário novo teria no primeiro dia.
O padrão mais comum é o atalho: o agente usa o login de uma pessoa, ou um usuário técnico com acesso a tudo, porque assim “funciona rápido”. Funciona mesmo. Até o dia em que alguém pergunta quem alterou aquele pedido, e a resposta honesta é “não sabemos se foi o João ou o agente que roda com o usuário do João”.
Em outubro de 2026, o Google apresentou seu agente corporativo com uma decisão de projeto que resume o tema: cada agente tem conta própria, como se fosse mais um colega, e grava uma trilha de auditoria atribuída ao agente, não a uma pessoa. O produto também tem tetos de gasto em tempo real. Quando um fornecedor desse tamanho transforma identidade e auditoria de agente em recurso de produto, é sinal de que o mercado vai cobrar isso de qualquer projeto sério.
Este artigo lista os cinco controles que vale exigir antes de liberar um agente para mexer no seu ERP, seja Protheus, SAP, Sankhya ou um sistema próprio.
1. Identidade própria
O agente precisa de um usuário próprio no ERP e nos sistemas que acessa. Nunca o login de uma pessoa, nunca um usuário genérico compartilhado com integrações antigas.
Por quê: sem identidade própria, não dá para separar o que o agente fez do que as pessoas fizeram. Isso atrapalha auditoria, investigação de erro e qualquer conversa com o auditor externo.
Como verificar: abra o log do ERP e filtre pelo usuário do agente. Se não existir um usuário só dele, o controle não existe.
2. Permissão mínima por função
O agente recebe acesso só ao que a tarefa exige. Um agente que responde “qual o prazo de entrega do pedido 4512” precisa ler pedidos. Não precisa alterar preço, cancelar nota ou ver a folha de pagamento.
Por quê: agentes de IA podem ser induzidos a erro. Uma instrução escondida num e-mail, num PDF de fornecedor ou num campo de texto livre pode levar o agente a tentar uma ação que ninguém pediu (o chamado prompt injection). Permissão mínima limita o estrago ao que aquele agente consegue fazer.
Como verificar: liste as ações que o agente pode executar. Se a lista tiver “acesso total”, “administrador” ou permissões de escrita que a tarefa não usa, reduza antes de ir para produção. Quando o acesso é feito por um servidor MCP, cada ferramenta exposta deve ter escopo definido, e ações de escrita devem ser ferramentas separadas das de leitura.
3. Log atribuído ao agente
Cada ação do agente fica registrada com data, hora, o que foi feito, com quais dados e a pedido de quem. Se uma pessoa pediu ao agente para lançar algo, o registro mostra os dois: quem pediu e o agente que executou.
Por quê: quando algo dá errado, e em algum momento vai dar, o log é o que permite entender o que aconteceu, corrigir e explicar. Sem ele, a empresa perde a confiança no agente na primeira falha e o projeto morre.
Como verificar: peça para ver o registro de um dia de operação do agente. Uma pessoa de negócio deveria conseguir ler e entender o que foi feito.
4. Revogação em minutos
Deve existir um jeito simples e conhecido de desligar o acesso do agente: desativar o usuário, revogar a chave, pausar a integração. E alguém da empresa, não só o fornecedor, precisa saber fazer isso.
Por quê: se o agente começar a se comportar de forma estranha numa sexta à noite, a empresa não pode depender de abrir um chamado e esperar resposta.
Como verificar: faça o teste uma vez, em ambiente de homologação. Cronometre. Documente o passo a passo.
5. Teto de custo e de volume
O agente tem limite de gasto com o modelo de IA e limite de ações por período. Ao atingir o limite, ele para e avisa, em vez de continuar.
Por quê: um laço de repetição, um erro de integração ou um uso inesperado pode gerar milhares de chamadas em poucas horas. O teto protege o orçamento e também o ERP, que pode não estar preparado para aquele volume de requisições.
Como verificar: pergunte qual é o limite diário de custo e de ações, e o que acontece quando ele é atingido. “Não tem limite” é uma resposta que deveria impedir a ida para produção.
O que a IA não deve fazer no ERP, mesmo com os cinco controles
- Ações irreversíveis sem confirmação humana. Cancelar nota, excluir cadastro, aprovar pagamento: o agente prepara, uma pessoa confirma.
- Agir com base em conteúdo externo sem validação. O agente que lê e-mails ou documentos de terceiros não deveria ser o mesmo que tem permissão para escrever no ERP. Separar quem lê de quem age é uma das defesas mais eficazes contra instruções maliciosas escondidas em documentos.
- Contornar regras do próprio ERP. Se o ERP exige aprovação para pedidos acima de um valor, o agente segue a mesma regra. Integração que “pula” validação é um problema esperando para acontecer.
Na prática
No desenho das integrações de IA com ERP que estamos conduzindo para uma indústria, a decisão central é tratar o agente como um novo colaborador com crachá: usuário próprio, permissões por função, ferramentas de leitura separadas das de escrita e todo acesso passando por uma camada própria (no nosso caso, um servidor MCP) em vez de chamadas diretas ao banco do ERP. Essa camada é onde ficam o escopo de cada ferramenta, o log e o limite de uso. Dá um pouco mais de trabalho no início e evita a conversa difícil depois. Mais detalhes sobre esse tipo de integração em IA no ERP sem trocar de ERP.
Checklist rápido
| Controle | Pergunta para o fornecedor ou para o time interno |
|---|---|
| Identidade própria | O agente tem usuário próprio no ERP? |
| Permissão mínima | Quais ações ele pode executar, e alguma não é usada pela tarefa? |
| Log atribuído | Consigo ver o que ele fez ontem, e a pedido de quem? |
| Revogação | Quem da empresa desliga o acesso, e em quanto tempo? |
| Teto de custo e volume | Qual o limite diário, e o que acontece quando ele é atingido? |
Se alguma resposta for “não sei” ou “depois a gente vê”, o agente não está pronto para escrever no ERP. Pode começar em modo somente leitura enquanto os controles são implementados. Para quem está estruturando regras internas de uso, também vale ler política de uso de IA na empresa.
Por onde começar
No Diagnóstico de viabilidade de IA, avaliamos os agentes e integrações que a empresa já tem ou planeja contra esses cinco controles, junto com o mapa de processos e dados, e entregamos o que corrigir antes de ampliar o uso.
Fontes
Related Articles
Not sure where to start?
Take the free AI Maturity Assessment. Evaluate your company's AI engineering maturity and see where the gaps are.
Take the free assessment
Victor Calazans
