Certifique a autoridade, seja qual for o ator.
As contas de serviço, as identidades de carga de trabalho e os agentes de IA superam largamente o número de pessoas, e a maioria das organizações não sabe dizer quem os detém. O mercado disputa aquilo a que um agente pode aceder. A REVIEWIT responde a uma pergunta diferente: quem o autorizou, um humano decidiu, e pode prová-lo depois.
Todos estão na primeira. Ninguém está na quarta.
1. A que pode aceder?
O grafo de permissões. Concorrido, bem financiado, e não é onde vive a certificação.
2. Quem o autorizou?
Um titular identificado, responsável, com uma razão para a identidade existir sequer.
3. Um humano decidiu?
Não uma política, não uma automação. Uma pessoa, numa data, com um comentário.
4. Pode prová-lo?
Seis meses depois, perante um regulador. Selado, encadeado, exportável. Esta é a pergunta da REVIEWIT.
A obrigação é periódica. O gesto é o mesmo.
Supervisão humana com capacidade de intervenção, registos automáticos retidos, demonstrabilidade a pedido. O AI Act pede aos agentes o que o DORA e o NIS2 já pedem às pessoas: mostrar, periodicamente, que uma autoridade humana supervisiona. A campanha de certificação não muda. O seu objeto, sim.
- A pergunta muda. Para uma pessoa: este acesso deve continuar? Para uma identidade não humana: quem é o titular disto, e porque é que ainda existe?
- A política existe. As políticas de titularidade e de recursos órfãos já preveem titulares mínimos, aceitação, estratégias de designação e prazos. Aplicam-se a uma conta de serviço tal como se aplicam a um site.
- A prova existe. A decisão de um humano identificado, validada, selada no registo de auditoria. Seja qual for o ator certificado.
Governamos primeiro o nosso próprio agente.
O registo da RITA regista, para cada interação, o que o assistente efetivamente fez e com que ferramentas, sob que sessão. Esse é o elemento primitivo de que uma governação de agentes precisa: não o que foi permitido fazer, mas o que fez, e sob que autoridade. A REVIEWIT aplica à sua própria IA o que aplicará à sua.
Comece pela atestação de titularidade.
Nomeie um titular, justifique a existência, defina um prazo. É a campanha com que todo o programa de identidades não humanas começa, e a REVIEWIT executa-a hoje.