Daniel Wagner, Diretor de Produto e Engenharia na Q2 – Série de Entrevistas

Daniel Wagner, Diretor de Produto e Engenharia na Q2, é um líder experiente em tecnologia e produto com um histórico que abrange inteligência artificial, aprendizado de máquina, plataformas de dados, banco digital e entrega de software corporativo. Antes de ingressar na Q2 por meio de sua aquisição da Sensibill, Wagner passou mais de uma década na Sensibill, avançando em cargos de liderança, incluindo Gerente de Entrega, Diretor de Entrega, Diretor de Engenharia e Vice‑Presidente de Engenharia. Ele liderou equipes de Dados e IA desenvolvendo projetos de aprendizado de máquina, supervisionou soluções móveis para grandes instituições financeiras e, mais recentemente, liderou a engenharia de uma plataforma de dados de clientes focada em enriquecimento de dados e insights. No início de sua carreira, Wagner co‑fundou e atuou como CEO das operações brasileiras da Itelios, uma empresa de desenvolvimento de aplicativos posteriormente adquirida pela Capgemini, após começar sua carreira como engenheiro de software. A Q2 adquiriu a Sensibill em 2022 para reforçar suas capacidades de dados e aprendizado de máquina para instituições financeiras.

Q2 é uma empresa de tecnologia financeira que fornece soluções de banco digital e empréstimos para bancos, cooperativas de crédito, fintechs e provedores de financiamento alternativo. Sua plataforma abrange banco de consumo, pequenas empresas e corporativo, além de onboarding digital, finanças incorporadas, precificação de relacionamento, gerenciamento de risco e fraude, e personalização orientada por dados. A Q2 está cada vez mais incorporando IA em todo o seu portfólio de produtos, incluindo ferramentas projetadas para melhorar a produtividade dos banqueiros, detectar atividades fraudulentas, personalizar experiências de titulares de contas e ajudar as instituições financeiras a tomar decisões mais rápidas e baseadas em dados. A empresa atende a mais de 1.000 instituições financeiras em seu amplo portfólio e posiciona sua tecnologia como uma camada de infraestrutura para ajudar as instituições a modernizar e expandir seus serviços digitais.

Seu trabalho na Q2 tem se concentrado em resiliência cibernética e como as organizações se preparam e se recuperam de incidentes de segurança. À medida que as instituições financeiras começam a implantar agentes de IA que podem executar ações em vez de apenas analisar informações, quais novos riscos de segurança mais lhe preocupam?

Cibersegurança e mitigação de fraude abordam diferentes partes do problema. A cibersegurança é responsável por “proteger o perímetro”, incluindo garantir que o acesso à conta esteja protegido e que o software subjacente seja sólido. Meu trabalho parte daí, uma vez que alguém já ultrapassou esse perímetro, e foca em determinar se a pessoa é quem afirma ser.

Com a ascensão dos agentes de IA, a pessoa que atravessa essa porta é um agente delegado que age em nome de outra pessoa. O risco que mais me preocupa é a injeção de prompt. Isso ocorre quando um fraudador manipula o agente legítimo de um usuário para executar ações que o usuário nunca autorizou e que não atendem aos interesses desse usuário. É uma nova fronteira de fraude que pode gerar desafios de detecção.

Bancos tradicionalmente construíram sistemas de identidade e gerenciamento de acesso em torno de pessoas, aplicativos e contas de serviço. Um agente de IA agora deve ser tratado como uma identidade distinta própria, e o que isso significaria na prática?

A analogia mais clara vem do banco empresarial, onde o acesso delegado já é uma disciplina madura. As empresas concedem rotineiramente aos funcionários acesso limitado para executar tarefas específicas, como visualizar saldos, sem conceder a autoridade total do proprietário da conta.

Os bancos devem aplicar o mesmo quadro aos agentes de IA. Um agente deve ser tratado da mesma forma que uma empresa trata um assistente humano, como uma identidade distinta com um papel definido e limitado. Isso significa construir identidade e gerenciamento de acesso em torno de permissões de agente estreitamente definidas desde o início, em vez de conceder aos agentes o mesmo status que o proprietário da conta.

Quando um agente de IA atua em nome de um funcionário ou cliente, como o banco deve determinar exatamente quais dados ele pode acessar, com quais contas pode interagir e quais ações financeiras ele está autorizado a executar?

Comece com acesso somente leitura como padrão. O setor bancário já possui a infraestrutura para suportar esse nível de granularidade, em grande parte porque o banco empresarial o exige há anos. As instituições financeiras têm a capacidade de ser muito precisas sobre o que um agente pode ver e fazer.

Iniciar uma transação e aprová‑la podem ser tratadas como permissões separadas, e ambas podem ser ainda mais delimitadas por valor em dólares ou tipo de transação. Muitas instituições já utilizam ciclos de aprovação de duas pessoas para contas empresariais, e esse mesmo fluxo de trabalho se estende naturalmente aos agentes. Um agente pode iniciar uma ação, mas a aprovação final deve permanecer com o titular da conta, mantendo uma pessoa no circuito para tudo que vá além da simples visualização de informações.

O acesso de privilégio mínimo torna-se mais complicado quando um agente pode precisar executar dezenas de etapas em vários sistemas para concluir uma tarefa. Como as instituições financeiras podem conceder aos agentes autoridade suficiente para ser útil sem conceder permissões excessivas?

Nenhum dinheiro precisa ser movimentado para que um agente seja útil.  A maior parte do valor que um agente oferece vem da recuperação e organização de informações, como verificar saldos, acompanhar gastos ou identificar tendências. Isso não requer permissões elevadas e é em grande parte o motivo pelo qual as pessoas fazem login em suas contas. Qualquer coisa além disso, como movimentar dinheiro ou alterar detalhes da conta, pertence a um nível separado, mais rigidamente controlado, de autoridade.

Sistemas de fraude são projetados para identificar comportamentos humanos suspeitos, como logins incomuns ou padrões de transação. Como a detecção de fraude precisa evoluir quando agentes de IA legítimos podem operar em velocidade de máquina e exibir comportamentos que pareceriam anormais para um usuário humano?

Alguns controles existentes dependem fortemente da velocidade da transação como sinal. Esses sinais precisarão ser recalibrados para um mundo onde agentes legítimos também podem se mover rapidamente. Dito isso, a maioria de nossos sinais comportamentais, que analisam o que é normal para um determinado usuário e um determinado beneficiário, ainda são relevantes para detectar fraude. As instituições financeiras conseguem avaliar o comportamento além de verificar a identidade.

No futuro, as instituições financeiras precisarão da capacidade de ajustar a sensibilidade da detecção para cima ou para baixo, dependendo do contexto, e ter as permissões e registros necessários para distinguir o agente de um usuário legítimo daquele operado por um fraudador.

O que acontece se um atacante comprometer um agente de IA, manipular suas instruções ou enganá‑lo a executar uma ação não autorizada? Que sinais poderiam ajudar uma instituição financeira a distinguir uma ação autônoma legítima de uma comprometida?

Nesse cenário, um agente faz algo que o usuário nunca lhe pediu, frequentemente como resultado de um ataque de injeção de prompt. No entanto, a abordagem de detecção não muda fundamentalmente. Continuamos analisando o comportamento. Uma ação que foge dos padrões estabelecidos de um usuário é um sinal que vale a pena sinalizar, independentemente de ter sido iniciada por um humano ou por um agente.

Movimentação de dinheiro representa um caso de uso de risco particularmente alto. Onde os bancos devem manter aprovação humana obrigatória, e existem tipos de transação ou limites em dólares nos quais você acredita que agentes autônomos não deveriam ser autorizados a agir independentemente?

Sim, limites são necessários. Conforme mencionado anteriormente, o banco empresarial oferece um precedente que pode ser facilmente adaptado para agentes de IA. Aprovações temporárias podem permitir que um agente inicie uma ação, mas um humano ainda precisa revisar e aprová‑la antes que seja finalizada.

Na prática, isso significa definir limites tanto para o valor de transferências individuais quanto para o número de transferências que um agente pode iniciar em um determinado período. A aprovação humana obrigatória não deve se limitar apenas à movimentação de dinheiro. Por exemplo, alterar detalhes de pagamento de um beneficiário estabelecido e confiável pode ser tão arriscado quanto transferir fundos.

Agentes de IA podem interagir cada vez mais com outros agentes operados por fintechs, fornecedores, clientes ou outras instituições financeiras. Como isso amplia o risco de terceiros, e como um banco pode estabelecer confiança quando pode não controlar todos os agentes que participam de um fluxo de trabalho financeiro?

Existem dois cenários que vale a pena destacar aqui. O primeiro seria o usuário concedendo a um agente acesso à sua conta. Esse agente atua em nome do usuário, sob a autoridade desse usuário. Se eles permitirem que esse agente trabalhe sob um protocolo Agente‑para‑Agente e sob a direção de outros agentes, então é o usuário quem assume esse risco. Tudo acontece sob sua autorização, e os bancos não tentarão estender sua responsabilidade.

O perfil de risco muda quando uma instituição cria ou opera seu próprio agente proprietário específico para seu banco. Nesse ponto, a instituição assume responsabilidade direta pelo comportamento desse agente, o que difere de honrar o acesso delegado de outra parte. As instituições financeiras precisarão fazer a devida diligência em qualquer agente de terceiros que permitirem em um fluxo de trabalho, mas parte dessa responsabilidade acaba sendo repassada ao usuário final. O “círculo de controle” do cliente define até onde a obrigação da instituição se estende.

Se um agente de IA autorizado tomar uma decisão incorreta que resulte em perda financeira, exposição de dados ou transação fraudulenta, como a responsabilidade deve ser dividida entre o funcionário que delegou a tarefa, a instituição financeira, o provedor de tecnologia e o modelo subjacente do agente?

O Reg E, a norma federal que regula a proteção ao consumidor para transações eletrônicas, ainda se aplica aqui. Ele estabelece os limites de responsabilidade por fraude e os requisitos de investigação que os bancos devem seguir. Por causa do Reg E, o dever de uma instituição financeira de investigar uma transação contestada não desaparece.

O que muda é a questão da responsabilidade subjacente. Se um usuário delegou conscientemente o acesso a um agente e esse agente toma uma decisão incorreta, a obrigação da instituição de reembolsar o usuário pela perda resultante é diferente da que ocorreria em caso de fraude de terceiros não autorizada.

Em efeito, delegar essa autoridade significa que o usuário aceita parte do risco que a acompanha. A instituição não assumirá a responsabilidade que pertence ao proprietário da conta simplesmente porque o erro foi cometido por software e não por uma pessoa.

Olhando para o futuro, quais fundamentos de segurança e governança os bancos e cooperativas de crédito devem estabelecer hoje antes de permitir que agentes de IA tenham maior autonomia sobre dados sensíveis, contas de clientes e transações financeiras?

A maior oportunidade é trazer o modelo de governança que já existe no banco empresarial para o banco pessoal. Contas empresariais têm anos de precedentes em permissões granulares, acesso delegado e fluxos de aprovação construídos exatamente para esse tipo de cenário.

Em vez de construir um framework totalmente novo para a governança de agentes, bancos e cooperativas de crédito deveriam observar o que já se provou eficaz no lado empresarial e adaptar esses mesmos controles, níveis de permissão e estruturas de aprovação para contas pessoais.

Obrigado pela ótima entrevista, leitores que desejam saber mais devem visitar Q2.