AI agent sprawl é o acúmulo descontrolado de agentes de IA construídos por times diferentes, sem inventário central, sem dono nomeado e sem regra de aposentadoria. A definição vem da Gartner, que projeta que a empresa média da Fortune 500 terá mais de 150 mil agentes de IA até 2028, contra cerca de 15 em 2025, e que apenas 13% das organizações acreditam ter hoje a governança certa para gerenciá-los, segundo a cobertura do anúncio pelo Tech.co (abril de 2026). Este artigo é para quem responde por risco, tecnologia ou operações e precisa de um plano concreto antes que o número de agentes passe do que alguém consegue explicar.
O que é AI agent sprawl (e o que ele não é)
O termo descreve um problema de crescimento, não de existência. Ter agentes de IA em produção é o objetivo; o sprawl começa quando ninguém sabe quantos são, quem responde por eles nem quando devem ser desligados. A Alura resume: é a multiplicação descontrolada de agentes, sem inventário central, sem dono definido e sem governança.
Vale separar de três temas vizinhos já cobertos aqui, porque cada um responde a uma pergunta diferente:
| Tema | Pergunta que responde | Foco |
|---|---|---|
| Inventário de sistemas de IA (AI-BOM) | O que existe hoje? | Fotografia estática |
| Governança de agentes de IA autônomos | Quanta autonomia cada agente pode ter? | Limites e aprovação |
| Shadow AI | O que está sendo usado fora do radar? | Uso não autorizado |
| AI agent sprawl | O que acontece quando o número cresce sem parar? | Crescimento, duplicação, retirada |
O sprawl é o que o inventário, a autonomia e o shadow AI produzem juntos quando ninguém cuida do ciclo de vida: criação, revisão, mudança e desligamento.
Por que o sprawl acontece
Segundo a Alura, a proliferação tem causas estruturais, e nenhuma delas é má-fé de alguém:
- Agentes embutidos em plataformas corporativas. Entram na empresa junto com a aprovação do software, sem passar por uma decisão própria.
- Conectores e APIs. Qualquer serviço interno ganha um agente com pouco código.
- Automações com etapas de IA. Ferramentas que encadeiam ações e tomam decisões sozinhas.
- Agentes de hackathons e sprints. Continuam em produção depois que o time original mudou de projeto. Quem organiza hackathons internos de IA precisa planejar também o fim do que for criado ali.
- Criação barata em plataformas no-code, somada a métricas que premiam entregar mais, não governar melhor.
O ponto de atenção é o último: se o indicador de sucesso é "número de agentes criados", o sprawl é o resultado esperado do sistema, não uma falha dele.
Os cinco riscos do sprawl
A mesma fonte organiza os riscos em cinco categorias, que servem como checklist para o comitê de risco:
- Complexidade. Ninguém tem o mapa completo; cada incidente exige investigar qual agente agiu.
- Governança. Agentes redundantes dão respostas divergentes e a responsabilidade pela decisão automatizada se dispersa. A pergunta jurídica "quem responde?" fica sem resposta, tema que desdobramos em responsabilidade civil por decisões de IA.
- Segurança. Credenciais herdadas e permissões acumuladas ampliam o alcance de qualquer falha. Veja como tratar isso em gestão de identidade para agentes de IA.
- Custo. Licenças duplicadas, tokens consumidos por agentes esquecidos e infraestrutura replicada. É o terreno de FinOps para IA.
- Confiança. Respostas conflitantes fazem as pessoas voltarem ao processo manual e o retorno do investimento se perde.
O modo de falha mais comum, segundo a Alura, é o agente implantado e nunca desligado. Ele não aparece em nenhum painel de uso, mas continua com acesso a dados.
Os seis passos da Gartner para controlar o sprawl
A recomendação publicada pela Gartner (via Tech.co) tem seis passos. Abaixo, com a tradução para a rotina de uma empresa brasileira:
| # | Passo da Gartner | Na prática |
|---|---|---|
| 1 | Definir governança e políticas: quando e como agentes são construídos, quem pode criar e compartilhar, quais conectores são permitidos | Um documento curto de "regras de criação", ancorado na política de uso de IA |
| 2 | Manter inventário central, inclusive de agentes não sancionados, com controles proporcionais ao risco | Registro único, com classificação de risco por agente |
| 3 | Gerenciar identidade, permissões e ciclo de vida; aposentar agentes redundantes | Identidade própria por agente, revisão periódica, desligamento formal |
| 4 | Governar o acesso à informação: limitar o que os agentes alcançam, manter dados atualizados e arquivar os obsoletos | Revisão de permissões de dados, conectada a RAG com permissões |
| 5 | Monitorar e corrigir comportamento | Logs e alertas, como em observabilidade de agentes em produção |
| 6 | Estimular o uso responsável: treinamento e comunidade de prática | Comunidades de prática em IA e trilhas por função |
Um detalhe que muda o tom da conversa interna: o analista da Gartner Max Goss recomenda não bloquear nem restringir o acesso a agentes e ferramentas, e sim encontrar o equilíbrio entre governar e administrar o sprawl. Proibir empurra a criação para fora do radar, o mesmo mecanismo que o artigo sobre shadow AI descreve.
Duas ressalvas de rigor. A Gartner não publicou, nas fontes consultadas, o tamanho da amostra por trás dos 13%, e as projeções de 150 mil agentes são globais, para a Fortune 500; não há ainda número equivalente específico para o Brasil. Use-os como ordem de grandeza, não como meta.
Controles mínimos: inventário, dono e ciclo de vida
Para a maior parte das empresas, o plano começa por três controles. Eles são deliberadamente simples, porque o sprawl se alimenta de processos complicados que as pessoas contornam.
1. Inventário vivo
Um registro único com, no mínimo: nome, finalidade, dados acessados, ferramentas e conectores, nível de risco, plataforma onde roda e data da última revisão. A Alura recomenda atualizar o registro automaticamente a cada deploy; sem isso, o inventário envelhece em semanas.
2. Dono nomeado
Cada agente tem uma pessoa responsável que documenta propósito, acessos e status. A regra, nas palavras da Alura: "Se não houver dono, não há agente." Quando a pessoa muda de área ou sai da empresa, a titularidade é transferida antes do desligamento do acesso dela. É a lógica que desenvolvemos em continuidade de apps vibe coded quando o criador sai, válida para agentes.
3. Ciclo de vida com data de validade
Todo agente nasce com identidade própria, privilégio mínimo e prazo de revisão. Ao vencer o prazo, o dono justifica a continuidade ou o agente é desligado. Para o desligamento de emergência, o desenho está em kill switch para agentes de IA.
Uma cadência de 90 dias para começar
Sem inventar benchmark, um roteiro realista para a primeira rodada:
- Dias 1–30: descobrir. Levantar agentes por plataforma (suíte de produtividade, CRM, automação, repositórios de código) e por entrevista com as áreas. O objetivo não é completude; é saber a ordem de grandeza.
- Dias 31–60: classificar e nomear donos. Dividir em três níveis de risco (acesso a dado pessoal ou financeiro; ação externa irreversível; uso interno de baixo impacto) e atribuir dono a cada um. Agente sem dono candidata-se ao desligamento.
- Dias 61–90: instituir a rotina. Revisão trimestral, regra de criação publicada e um indicador de saúde, como a proporção de agentes com dono e revisão em dia.
Esse indicador é o que o comitê enxerga. Um painel de governança de IA que só conta agentes criados mede o sprawl; o que importa é a proporção sob controle.
O elo humano: quem cria agentes precisa de critério
Sprawl é, em boa parte, um problema de capacidade: pessoas sem formação criam agentes porque a ferramenta permite. Por isso o sexto passo da Gartner, treinamento e comunidade, não é decorativo. A capacitação para trabalhar com agentes de IA e o desenho de sistemas multiagente com governança são o complemento do controle técnico.
Na Jetpacks, o método Flight Plan começa por um diagnóstico por área que gera um mapa de impacto (Launchpad) e termina com métricas de adoção acompanhadas (Mission Control). É nesse mapa que costuma aparecer o que está rodando sem dono. O desenho geral da disciplina está em governança de IA na prática.
FAQ
O que é AI agent sprawl?
É o acúmulo descontrolado de agentes de IA construídos por times diferentes, sem inventário central, sem dono definido e sem governança. O termo descreve o crescimento sem controle, não a existência de agentes.
Quantos agentes de IA uma grande empresa terá?
A Gartner projeta que a empresa média da Fortune 500 terá mais de 150 mil agentes de IA até 2028, ante cerca de 15 em 2025. É uma projeção global para empresas muito grandes; para o Brasil, use como ordem de grandeza.
Qual a diferença entre agent sprawl e shadow AI?
Shadow AI é o uso de ferramentas de IA sem aprovação. Agent sprawl é o acúmulo de agentes, aprovados ou não, sem gestão de ciclo de vida. Um agente criado com autorização, mas esquecido em produção, é sprawl sem ser shadow AI.
Qual o primeiro passo para controlar o sprawl?
Montar um inventário central, mesmo imperfeito, e nomear um dono para cada agente. Sem esses dois itens, as demais medidas (permissões, monitoramento, custo) não têm onde se apoiar.
Proibir a criação de agentes resolve?
Não. A própria Gartner recomenda não bloquear o acesso, e sim equilibrar governança e uso. Proibir tende a mover a criação para fora do radar da empresa.
Com que frequência revisar os agentes?
Uma cadência trimestral é um ponto de partida razoável, com revisão mais curta para agentes de risco alto (acesso a dado pessoal ou ações irreversíveis). A frequência certa depende do risco e da velocidade de mudança do agente.
O que fazer com agentes sem dono?
Tratá-los como candidatos ao desligamento: dar um prazo para alguém assumir a titularidade e, se ninguém assumir, desligar. É a aplicação direta da regra "sem dono, sem agente".
Conclusão: o problema é o crescimento sem dono
Agentes de IA são a parte da adoção que mais promete retorno, e é justamente por isso que precisam de ciclo de vida. O caminho é curto: inventário vivo, dono nomeado e prazo de revisão, acompanhados por um indicador simples de quantos agentes estão sob controle.
Para mapear o que já roda na sua empresa e priorizar o que governar primeiro, comece pelo diagnóstico gratuito de 30 a 45 minutos, e, se precisar levar o tema à diretoria, use o business case da Jetpacks.
Descubra onde a IA gera mais resultado na sua empresa.
Comece com um diagnóstico gratuito: mapa de impacto por área e o desenho de um primeiro piloto medível, sem compromisso.