O que é KYA (Know Your Agent): Guia Completo

Explicamos o que é o processo KYA, porque é necessário na era dos agentes de IA, como funciona e o que implica para empresas que operam com agentes autónomos.

O que significa KYA

KYA é a sigla de Know Your Agent (Conhece o teu Agente). É o processo através do qual uma empresa identifica, verifica e monitoriza os agentes de inteligência artificial que interagem com os seus sistemas, serviços ou clientes.

Se o KYC (Know Your Customer) verifica que uma pessoa é quem diz ser, o KYA verifica que um agente de IA é o que diz ser: quem o criou, que permissões tem, em nome de quem atua e o que está autorizado a fazer.

Porque é que o KYA existe

A adoção de agentes de IA está a crescer exponencialmente. Em 2026, milhões de agentes autónomos operam na internet realizando tarefas em nome de pessoas e empresas: reservam viagens, gerem compras, negoceiam contratos, acedem a APIs e executam transações financeiras.

Este novo paradigma gera perguntas que o KYC tradicional não consegue responder:

Quem está por trás deste agente?
Tem autorização para realizar esta operação?
Atua em nome de uma pessoa real e verificada?
As suas credenciais são legítimas ou foram falsificadas?
Que nível de autonomia tem e quem é responsável pelas suas ações?

Sem um enquadramento de verificação para agentes, as empresas ficam expostas a fraude automatizada em escala, usurpação de identidade através de agentes, uso não autorizado de APIs e responsabilidades legais difusas.

Diferença entre KYC e KYA

Conceito	KYC	KYA
Sujeito verificado	Pessoa singular ou coletiva	Agente de IA autónomo
O que é verificado	Identidade do indivíduo	Identidade do agente, o seu criador e o seu mandante
Documentação	CC, passaporte, certidões	Credenciais de agente, certificados, tokens de delegação
Objetivo	Prevenir fraude e branqueamento	Prevenir fraude automatizada e uso não autorizado
Monitorização	Transações do cliente	Ações e padrões do agente
Responsabilidade	Do indivíduo	Do mandante (pessoa/empresa que delega no agente)

O KYA não substitui o KYC. Complementa-o. Um agente de IA que executa uma transação financeira precisa de estar vinculado a um utilizador verificado por KYC, e a sua própria identidade e permissões devem também ser verificadas por KYA.

Como funciona o processo KYA

Um processo KYA completo estrutura-se em quatro fases:

1. Identificação do agente

Cada agente deve ter uma identidade verificável e única:

Identificador único: Um ID criptográfico que distingue o agente de qualquer outro.
Metadados do agente: Nome, versão, propósito declarado, modelo base e capacidades.
Criador/Desenvolvedor: Identificação da empresa ou indivíduo que construiu o agente.
Mandante: A pessoa ou entidade em cujo nome o agente atua.

2. Verificação de credenciais

As credenciais do agente devem ser autênticas e válidas:

Certificados de origem: Assinatura digital do desenvolvedor que garante a integridade do agente.
Tokens de delegação: Credenciais que provam que o agente tem autorização explícita do seu mandante para realizar ações específicas.
Cadeia de confiança: Verificação de que toda a cadeia — desde o desenvolvedor até ao mandante — está autenticada.

3. Verificação de permissões e âmbito

Não basta saber quem é o agente. É preciso verificar o que pode fazer:

Âmbito de atuação: Que operações está autorizado a realizar (consultar, comprar, transferir, assinar).
Limites: Montantes máximos, frequência de operações, jurisdições permitidas.
Restrições temporais: Janelas de atividade, datas de expiração das permissões.

4. Monitorização contínua

Tal como no KYC, a verificação não termina no registo inicial:

Análise comportamental: Deteção de padrões anómalos que possam indicar um agente comprometido ou a atuar fora do seu âmbito.
Rate limiting inteligente: Controlo da velocidade e volume de operações para detetar abuso automatizado.
Revogação em tempo real: Capacidade de desativar imediatamente as credenciais de um agente se for detetada atividade suspeita.

Riscos de não implementar KYA

Fraude automatizada em escala

Um agente malicioso pode executar milhares de transações fraudulentas em minutos. Sem KYA, não há forma de distinguir um agente legítimo de um que foi comprometido ou criado com intenções fraudulentas.

Usurpação de agentes

Tal como existem documentos de identidade falsos, existem agentes que se fazem passar por outros. Um agente que finge ser o assistente autorizado de um cliente de alto património pode realizar operações que o cliente nunca aprovou.

Responsabilidade legal difusa

Se um agente causa danos — uma compra não autorizada, uma fuga de dados, uma transação ilegal —, quem responde? Sem KYA, a cadeia de responsabilidade é impossível de rastrear.

Abuso de APIs e serviços

Agentes sem verificação podem consumir recursos de forma abusiva, realizar scraping massivo, manipular preços ou explorar vulnerabilidades de forma automatizada.

KYA na prática: casos de uso

Serviços financeiros

Um agente de IA que opera em nome de um cliente para executar investimentos ou transferências deve demonstrar:

Que o seu mandante foi verificado por KYC.
Que tem autorização explícita para operar dentro dos limites definidos.
Que as suas credenciais são emitidas por um fornecedor de confiança.

E-commerce e marketplaces

Agentes que realizam compras automáticas, comparam preços ou gerem devoluções devem identificar-se perante a plataforma. Isto previne a manipulação de inventários, compras massivas automatizadas e abuso de promoções.

Plataformas de viagens e hotelaria

Agentes que reservam voos, hotéis ou experiências em nome de utilizadores devem vincular a sua atuação a um utilizador verificado, especialmente quando a regulamentação exige a identificação do viajante.

APIs empresariais

Qualquer API que exponha dados sensíveis ou permita operações de escrita deve verificar a identidade e as permissões do agente que a consome — não apenas a API key, mas a identidade verificada do agente e do seu mandante.

Enquadramento técnico do KYA

Standards emergentes

O ecossistema de identidade de agentes está a amadurecer rapidamente:

Agent Protocol: Standards abertos para comunicação entre agentes que incluem camadas de identificação e autenticação.
OAuth 2.0 para agentes: Extensões do protocolo OAuth que permitem a delegação de permissões a agentes com escopos granulares.
Verifiable Credentials (VCs): Credenciais verificáveis emitidas por autoridades de confiança que certificam a identidade e as permissões do agente.
DID (Decentralized Identifiers): Identificadores descentralizados que permitem aos agentes ter identidades verificáveis sem depender de uma autoridade central.

Arquitetura de confiança

Um sistema KYA robusto baseia-se em:

Registos de confiança: Registos de agentes verificados e das suas credenciais.
Motores de políticas: Motores que avaliam em tempo real se um agente tem permissão para realizar uma ação específica.
Pistas de auditoria: Registos imutáveis de todas as ações realizadas por cada agente para rastreabilidade e compliance.

KYA e regulamentação

Embora ainda não exista uma regulamentação KYA específica equivalente às diretivas AML/KYC, a tendência regulamentar é clara:

EU AI Act: Estabelece obrigações de transparência e rastreabilidade para sistemas de IA, incluindo a identificação do fornecedor e do implementador.
eIDAS 2.0: O enquadramento europeu de identidade digital contempla a extensão de credenciais verificáveis a entidades não humanas.
NIST AI RMF: O framework do NIST para gestão de riscos de IA inclui a governança de agentes autónomos.

É previsível que nos próximos anos se desenvolvam regulamentações específicas que obriguem à verificação da identidade dos agentes de IA que operam em setores regulados.

Perguntas frequentes sobre KYA

O KYA substitui o KYC?

Não. O KYA complementa o KYC. O agente deve estar vinculado a um utilizador ou empresa verificado por KYC. O KYA acrescenta a camada de verificação do próprio agente.

Quem é responsável pelas ações de um agente?

O mandante: a pessoa ou empresa que delegou no agente. O KYA documenta esta cadeia de delegação para que a responsabilidade seja rastreável.

Preciso de KYA se a minha empresa não usa agentes de IA?

Se a sua empresa expõe APIs, serviços web ou plataformas que podem ser consumidos por agentes de terceiros, sim. Não controla quem envia os pedidos, mas pode verificar a identidade do agente que os realiza.

Como se deteta um agente que finge ser humano?

Através de análise comportamental (padrões de navegação, velocidade de interação, fingerprinting), deteção de automatização e, em processos críticos, verificação biométrica que apenas uma pessoa real pode superar.

O KYA afeta o desempenho dos agentes?

Com uma implementação adequada, a verificação acrescenta milissegundos ao processo. Os tokens de sessão permitem verificar uma vez e operar sem fricção adicional durante a sessão ativa.

A sua plataforma interage com agentes de IA e precisa de verificar a sua identidade e permissões? Descubra como a Joinble estende a verificação de identidade ao mundo dos agentes autónomos.