Classificação de dados para agentes de IA: guia

O mesmo agente pode lidar com dados de riscos muito diferentes

Um agente de atendimento recebe nome, telefone, histórico de conversas, número de pedido e motivo da solicitação. Em alguns casos, a mensagem também traz documento pessoal, dado bancário, informação de saúde ou uma credencial copiada por engano.

Tratar todo esse conteúdo como um único bloco cria duas saídas ruins. A empresa pode liberar o fluxo inteiro com controles insuficientes ou bloquear qualquer automação por medo do caso mais sensível.

A classificação de dados cria uma terceira opção. Ela identifica o tipo de informação, a finalidade autorizada e o impacto de uma exposição ou uso indevido. A arquitetura usa essa classificação para decidir quem pode acessar, qual modelo pode processar, o que entra no contexto, o que aparece nos logs e quando uma pessoa precisa assumir o caso.

Uma etiqueta sozinha não protege nada. O valor surge quando a classe altera o comportamento do sistema.

O que significa classificar dados para agentes de IA

Classificar consiste em atribuir uma categoria operacional a um dado ou conjunto de dados. A categoria representa o tratamento exigido durante coleta, consulta, processamento, armazenamento, compartilhamento e descarte.

Para agentes de IA, a classificação precisa acompanhar o dado por várias camadas:

• sistema de origem;
• conector ou API;
• orquestrador;
• contexto enviado ao modelo;
• ferramenta acionada;
• memória temporária ou persistente;
• logs e traces;
• artefato produzido;
• sistema que recebe o resultado;
• fornecedor ou subfornecedor envolvido.

A informação pode sair de uma fonte bem protegida e terminar copiada em um prompt, painel ou arquivo com controle menor. A política precisa cobrir o caminho completo.

O guia sobre dados prontos para IA avalia se um caso possui fontes, qualidade, autoridade e acesso suficientes. A classificação resolve outra pergunta: qual tratamento cada informação exige quando o caso começa a operar?

Use poucas classes com diferenças verificáveis

Uma taxonomia enorme costuma produzir etiquetas inconsistentes. Para muitas empresas, quatro classes oferecem um começo legível.

Pública

Informação aprovada para divulgação externa, como página do site, material institucional publicado, catálogo público ou documento oficialmente aberto.

Mesmo aqui, confirme versão e integridade. Um preço antigo publicado em PDF continua público, mas talvez tenha perdido validade operacional.

Interna

Informação destinada ao trabalho cotidiano, com impacto limitado se circular fora do grupo correto. Exemplos incluem procedimentos gerais, pautas internas, indicadores agregados e documentação sem segredo relevante.

Acesso interno não significa uso irrestrito. Uma equipe pode consultar o procedimento sem receber permissão para alterar sua versão oficial.

Confidencial

Informação cuja exposição, alteração ou uso fora da finalidade pode causar prejuízo comercial, contratual ou operacional. Entram nessa classe propostas, margens, estratégia, base de clientes, contratos, previsões, credenciais indiretas e dados pessoais usados em processos comuns.

O agente pode processar parte desse conteúdo, desde que identidade, finalidade, provedor, retenção e saída estejam controlados.

Restrita

Informação de maior impacto ou obrigação específica, como credencial, segredo técnico crítico, dado financeiro sensível, informação de saúde, documento de identidade, dado trabalhista protegido ou conteúdo sujeito a isolamento contratual.

Essa classe costuma exigir rota dedicada, minimização forte, registro reduzido, aprovação, bloqueios técnicos e acesso por poucas identidades. Alguns usos devem permanecer proibidos.

Os nomes podem mudar conforme a política da empresa. O importante é que cada classe produza controles diferentes e compreensíveis.

Classifique com base em consequência e finalidade

O rótulo não deve nascer apenas do formato do arquivo. Uma planilha pode conter dados públicos ou uma lista completa de salários. Um e-mail pode trazer uma dúvida comum ou uma credencial ativa.

Avalie pelo menos cinco dimensões.

Confidencialidade

Qual seria o impacto se a informação chegasse a uma pessoa, cliente, fornecedor ou sistema sem autorização?

Considere dano financeiro, fraude, exposição pessoal, quebra contratual, perda competitiva e impacto reputacional.

Integridade

O que acontece se o dado for alterado, resumido de forma incorreta ou associado à entidade errada?

Uma descrição de produto tolera correção editorial. Um dado bancário incorreto pode direcionar pagamento ao destino errado. Integridade elevada pode exigir confirmação na fonte oficial mesmo quando o conteúdo não parece secreto.

Disponibilidade e tempo

O processo depende do dado dentro de qual janela? Uma informação atrasada pode produzir decisão ruim sem ter sido exposta ou alterada.

A linhagem de dados em agentes de IA ajuda a preservar origem, transformação e tempo ao longo do fluxo.

Finalidade

Por que o agente precisa desse dado? A finalidade deve ser ligada a uma responsabilidade concreta, como validar um pedido, preparar uma reunião ou encaminhar um chamado.

Um dado autorizado para atendimento não entra automaticamente em treinamento, prospecção, avaliação ou memória de longo prazo. Cada reutilização precisa de regra própria.

Consequência da ação

A leitura prepara uma decisão ou pode gerar efeito externo? Dados comuns podem sustentar uma ação sensível. Um nome, um valor e uma conta de destino, combinados, permitem preparar uma transferência.

Classifique também a unidade de trabalho e a consequência. Proteger campos isolados sem observar o efeito deixa uma abertura no processo.

Monte uma matriz de tratamento

A matriz conecta a classe aos controles executáveis.

| Controle | Pública | Interna | Confidencial | Restrita | |---|---|---|---|---| | acesso | qualquer fonte aprovada | identidades internas autorizadas | por função e finalidade | por caso, função e necessidade | | modelo | rota aprovada geral | perfil corporativo aprovado | provedor e perfil autorizados | rota dedicada ou processamento proibido | | contexto | conteúdo necessário | mínimo da tarefa | campos reduzidos ou mascarados | referência, tokenização ou trecho estritamente necessário | | logs | conteúdo quando útil | metadados e amostra controlada | identificadores e campos protegidos | metadados mínimos, acesso restrito | | memória | conforme vigência | prazo por processo | somente fatos necessários e com fonte | desativada por padrão ou isolamento específico | | ação | regras normais | limites do processo | confirmação e alçada | aprovação obrigatória ou bloqueio | | retenção | vigência editorial | prazo operacional | finalidade e evento definidos | menor prazo viável e descarte comprovado |

A tabela deve ser adaptada por caso. Uma classe não substitui análise jurídica, contratual ou setorial. Ela oferece uma linguagem comum para transformar requisitos em arquitetura.

Aplique a regra antes de enviar dados ao modelo

O melhor ponto para reduzir exposição fica antes da chamada ao provedor.

O artigo sobre minimização de dados para agentes de IA detalha como transformar finalidade em contrato de campos, recortes, memória, observabilidade e descarte por unidade de trabalho.

Um fluxo seguro segue esta ordem:

1. autentica a identidade solicitante;
2. identifica processo, cliente, ambiente e finalidade;
3. localiza a fonte autorizada;
4. recupera somente os campos necessários;
5. classifica ou confirma a classe herdada;
6. aplica máscara, redução ou tokenização;
7. escolhe um perfil de modelo compatível;
8. bloqueia conteúdo ou rota proibida;
9. registra a decisão de política;
10. envia o contexto permitido.

O gateway de IA para empresas pode aplicar parte dessas políticas de forma comum. A lógica também pode ficar no orquestrador ou no serviço responsável pelo dado. O controle precisa ocorrer antes da exposição, independentemente da camada técnica escolhida.

Usar o próprio modelo para decidir se pode receber um conteúdo cria um paradoxo operacional: o sistema já expôs o dado que tentava avaliar.

Herde a classe da fonte e trate combinações

Sempre que possível, o sistema de origem deve fornecer classificação, proprietário e finalidade permitida. O agente não deveria redescobrir essas condições em cada execução.

Quando a origem ainda não possui classificação, comece pelos campos e objetos usados no caso prioritário. Evite iniciar um programa que pretende etiquetar todos os arquivos da empresa antes do primeiro controle útil.

Combinações merecem atenção própria. Três informações internas podem formar um conjunto confidencial quando reunidas. Nome, agenda e histórico comercial revelam relação com cliente. E-mail, identificador e status de pagamento podem facilitar fraude. Um resumo pode revelar estratégia mesmo sem copiar o documento original.

A política deve considerar:

• classe mais alta entre os componentes;
• sensibilidade criada pela combinação;
• finalidade da consulta;
• identidade e cliente associados;
• artefato final;
• destino do resultado.

A saída pode herdar a classe do dado mais sensível ou receber uma nova classificação calculada pelo processo.

Separe dado do negócio, instrução e segredo técnico

Agentes recebem conteúdos com naturezas diferentes.

Dado do negócio

Cliente, pedido, contrato, mensagem, documento, política e indicador. A classificação segue finalidade, sensibilidade e impacto.

Instrução operacional

Prompt de sistema, regra, skill, critério de decisão e procedimento. Expor essa camada pode facilitar contorno de controles ou revelar método interno. Ela precisa de versão, acesso e integridade.

Segredo técnico

Token, senha, chave de API, certificado e credencial. Segredos não devem entrar em prompt, memória ou log de conteúdo. Ficam em cofre apropriado e são injetados na ferramenta somente durante a execução autorizada.

Misturar essas classes dentro do mesmo histórico aumenta o raio de exposição. O catálogo de ferramentas para agentes ajuda a manter credenciais fora dos argumentos produzidos pelo modelo.

Use controles determinísticos para campos conhecidos

Classificação automática pode ajudar em textos livres, anexos e grandes repositórios. Ela não deve substituir regras simples onde os campos já são conhecidos.

Exemplos determinísticos:

• cpf e documento_identidade seguem classe definida pelo catálogo de dados;
• senha, token e api_key são bloqueados no conteúdo;
• dados bancários exigem rota e alçada específicas;
• um contrato de cliente herda isolamento daquela conta;
• um arquivo marcado como confidencial não entra em provedor fora da lista aprovada;
• produção e homologação usam políticas e destinos separados.

Um classificador pode detectar provável dado pessoal em mensagem livre. Casos incertos devem seguir a classe mais protetiva ou uma fila de revisão. A empresa precisa medir falsos negativos, pois são eles que deixam o conteúdo atravessar a fronteira errada.

Classificação precisa chegar aos logs e à memória

O agente pode respeitar a política durante a chamada e vazar o mesmo conteúdo depois.

Logs

Registre identificador da execução, classe, política aplicada, modelo, ferramenta, resultado e referência à evidência. Conteúdo integral deve ser exceção, com motivo, acesso e prazo.

Traces

Spans e eventos podem carregar prompts, respostas e argumentos de ferramenta. Configure redaction antes do envio para a plataforma de observabilidade.

Memória

Só persista fatos que sustentem continuidade. Guarde fonte, validade, entidade, finalidade e classe. Inferências sensíveis exigem cuidado adicional, pois podem ser erradas e ainda assim afetar decisões futuras.

Avaliação

Casos reais usados em testes precisam de seleção e proteção próprias. Anonimização deve ser verificada. Trocar o nome e manter contrato, endereço, datas e contexto ainda pode permitir identificação.

A política de retenção de dados em agentes de IA define prazo, correção e descarte para esses objetos. Classificação define o tratamento enquanto eles existem.

Trate exceções sem criar atalhos permanentes

Uma pessoa pode precisar processar um caso urgente com dado restrito. A exceção deve declarar:

• unidade de trabalho;
• dado e classe envolvidos;
• finalidade;
• rota temporária;
• pessoa que autoriza;
• prazo;
• registro necessário;
• condição de encerramento;
• limpeza de cópias e acessos;
• revisão posterior.

Evite mudar a classe do dado apenas para liberar o fluxo. A exceção altera temporariamente a autorização, com alcance conhecido. A classificação original permanece.

Quando exceções viram rotina, existe um sinal de arquitetura mal desenhada. O processo talvez precise de uma rota dedicada, integração melhor ou redução real do dado usado.

Métricas para operar a política

Acompanhe o efeito da classificação no processo:

• fontes e campos sem classe;
• execuções bloqueadas por classe;
• conteúdo mascarado por tipo;
• chamadas enviadas a rota incompatível;
• dados restritos encontrados em logs;
• memórias sem finalidade ou validade;
• exceções abertas e vencidas;
• falsos negativos do classificador;
• artefatos sem classe de saída;
• incidentes por uso fora da finalidade;
• tempo para corrigir classificação na origem;
• processos que pedem acesso acima do necessário.

Uma taxa alta de bloqueio pode indicar proteção ativa ou desenho ruim do fluxo. Relacione o número à causa, ao retrabalho e ao tempo de conclusão.

Como implementar em sete etapas

1. Escolha uma unidade de trabalho

Comece por um processo recorrente que usa dados identificáveis. Descreva entrada, saída, fontes, efeito e dono.

2. Inventarie os dados realmente usados

Observe campos recuperados, trechos enviados, argumentos de ferramenta, logs, memória e artefatos. A documentação idealizada costuma omitir cópias temporárias.

3. Defina quatro classes e seus tratamentos

Use nomes simples. Declare diferenças de acesso, modelo, contexto, registro, ação e retenção.

4. Classifique na origem ou na primeira fronteira

Prefira metadados herdados. Para conteúdo livre, combine regras, detectores e revisão dos casos incertos.

5. Aplique bloqueios antes da chamada

Teste rota, finalidade, identidade, ambiente e campos proibidos. Registre a decisão sem copiar o conteúdo que foi bloqueado.

6. Rode em modo sombra

Compare o tratamento proposto com casos reais sem permitir consequência. Revise falsos negativos, bloqueios indevidos e impacto no tempo.

7. Libere e revise por mudança

Atualize a política quando surgir nova fonte, modelo, fornecedor, finalidade, ferramenta ou classe de ação. Mudança técnica pode alterar o caminho do dado.

Checklist de classificação para agentes de IA

• [ ] As classes possuem definições compreensíveis?
• [ ] Cada classe altera controles reais?
• [ ] Finalidade e consequência entram na decisão?
• [ ] Campos conhecidos usam regras determinísticas?
• [ ] Combinações de dados recebem avaliação própria?
• [ ] A classe acompanha contexto, ferramenta, memória, log e saída?
• [ ] Segredos ficam fora de prompts e argumentos livres?
• [ ] O provedor e o perfil são compatíveis com a classe?
• [ ] Logs e traces aplicam redução antes do armazenamento?
• [ ] Exceções têm autorização, prazo e encerramento?
• [ ] Falsos negativos são medidos com casos representativos?
• [ ] Alterações de fonte e finalidade disparam revisão?
• [ ] Existe um dono operacional da política?

A classificação precisa governar o caminho do dado

Uma política útil permite que a empresa automatize casos comuns sem tratar todo conteúdo como público e sem bloquear o processo inteiro por causa das exceções mais sensíveis.

O resultado aparece na arquitetura: cada dado entra com finalidade e classe, percorre somente rotas autorizadas, chega ao modelo no menor volume necessário e deixa evidência compatível com seu risco. A empresa ganha capacidade operacional com fronteiras mais legíveis para pessoas, sistemas e agentes.