Porque é que os agentes de IA precisam de um novo tipo de confiança
Atualmente, quando compra algo online, é uma pessoa que clica em "comprar". O sistema de pagamento confia que a pessoa por trás dos dados do cartão autorizou efetivamente a compra. Essa suposição está a começar a desmoronar-se. O Intelligent Commerce da Visa, o Agent Pay da Mastercard, o Agent Payments Protocol (AP2) da Google e a parceria da Stripe com o ChatGPT já existem. Cada um destes permite que um agente de IA conclua uma compra sem que uma pessoa confirme cada etapa.
Quando é um agente, e não uma pessoa, a tomar a decisão, o rasto habitual desaparece. Três questões ficam por responder.
Pergunta | O que significa |
|---|---|
Quem enviou o agente | O agente representa mesmo a empresa que afirma representar, ou foi falsificado |
O que está autorizado a fazer | Pode o agente gastar 50 euros ou 50 000, comprar material de escritório ou encomendar um novo servidor |
Durante quanto tempo essa permissão é válida | A autorização é válida para uma única compra, ou mantém-se ativa indefinidamente, um risco de segurança caso o agente seja comprometido |
Sem respostas a estas perguntas, uma rede de pagamentos apenas vê que um pagamento chegou. Não tem forma de confirmar se o agente estava de facto autorizado a enviá-lo.
O que já existe e o que ainda é uma proposta
A GLEIF (Global Legal Entity Identifier Foundation) publicou um documento de discussão (PDF) a 13 de agosto de 2026. O título é "Agentic AI in Payments: Establishing Interoperable Trust and Control". Há um pormenor importante: trata-se de um documento de discussão, não de uma norma concluída. A própria GLEIF enumera várias questões em aberto, entre as quais quem deve emitir o mandato de um agente e quem deve gerir limites, como tetos de gastos, assim que estes entrarem em vigor.
A ideia central do documento é a Agent Mandate Credential (AMC): uma prova criptográfica que liga um agente aos dados LEI verificáveis (vLEI) da sua organização. Define também o âmbito e o prazo de validade da autoridade do agente. A GLEIF é clara quanto a um ponto: o objetivo não é criar um sistema de identidade totalmente novo para agentes. O plano reutiliza a identidade organizacional que as empresas já possuem.
O documento nomeia quatro protocolos de pagamento com os quais espera que este modelo de confiança funcione em conjunto: o Intelligent Commerce da Visa, o Mastercard Agent Pay, o AP2 da Google e a integração Instant Checkout da Stripe com o ChatGPT.
Porque é que um simples código LEI continua a ser a base essencial
O modelo AMC depende inteiramente dos dados LEI subjacentes da organização. O registo LEI de uma empresa pode expirar, conter uma morada desatualizada ou perder o estatuto ativo. Quando isso acontece, qualquer camada de autorização construída sobre essa base assenta em alicerces frágeis. Como Agente de Registo (RA), observamos este padrão diariamente. Há empresas que se esquecem de renovar o código LEI a tempo, ou que deixam o registo por atualizar após uma mudança de proprietário. Hoje, isso é sobretudo uma questão de conformidade. Mas os modelos de autorização de agentes vão em breve depender dos mesmos dados LEI. Quando isso acontecer, manter esse registo exato passa a fazer parte da própria cadeia de confiança. Deixa de ser apenas uma formalidade que os reguladores pedem às empresas para cumprir.
A emissão de uma credencial vLEI depende de uma infraestrutura exigida pela GLEIF, designada Key Event Receipt Infrastructure (KERI). A KERI atribui a cada autorização e rotação de chaves um histórico rastreável e à prova de adulteração. Construir e operar a infraestrutura KERI é dispendioso e tecnicamente exigente. É também exatamente o que torna viável o modelo de confiança vLEI. Para nós, isso significa aderir a este caminho apenas quando o ecossistema vLEI e a procura por ele tiverem amadurecido, não antes. Por agora, o nosso contributo mantém-se simples: garantir que o seu registo LEI existente permanece exato e ativo. É esse registo que serve de base a tudo o resto, incluindo o vLEI, que venha a ser construído mais tarde.
Se os dados LEI ou o estatuto de registo da sua empresa precisam de ser verificados, trate disso agora. Vale a pena fazê-lo antes de estruturas como esta passarem a ser amplamente utilizadas. A mesma lógica já se aplicava ao Agent Name Service for AI agents, uma norma relacionada que já abordámos anteriormente.
O que isto significa para a sua empresa neste momento
Nada disto é ainda obrigatório. Nenhum regulador ou rede de pagamentos transformou o modelo AMC numa exigência. A própria GLEIF afirma que a arquitetura ainda está em aberto. Um código LEI que se mantenha exato e atualizado é um seguro barato contra esse futuro. Isto aplica-se quer este modelo específico venha ou não a ser o que prevalece.
Se a sua empresa ainda não tem um código LEI, podemos ajudá-lo a registar um. Se já tem um, podemos verificá-lo e renová-lo antes que expire.
Perguntas frequentes
A minha empresa precisa de um código LEI para agentes de IA neste momento? Não. Isto ainda não é obrigatório. Um código LEI padrão é simplesmente a base de que os futuros modelos de autorização de agentes deverão depender.
A LEI System vai oferecer a emissão de vLEI? Planeamos aderir a esse caminho assim que o ecossistema vLEI e a procura por ele tiverem amadurecido. A infraestrutura KERI necessária é dispendiosa e tecnicamente exigente. Por agora, estamos a acompanhar a sua evolução em vez de emitir credenciais vLEI.
A Agent Mandate Credential já está em utilização? Não. Trata-se de uma proposta apresentada num documento de discussão da GLEIF publicado em agosto de 2026, e não de uma norma concluída nem de uma exigência.