- Use Agentic RAG só quando a tarefa exige múltiplas etapas (pesquisa + verificação + síntese), não para FAQ simples.
- A arquitetura mínima tem: ingestão, indexação, retrieval, orquestração (planner), execução de ferramentas e verificação (critic/validator).
- Sem guardrails, agente vira “ótimo em errar rápido”: precisa limites de escopo, validações e logs.
- Métrica de sucesso não é ‘resposta bonita’; é citação correta + cobertura do corpus + baixa taxa de afirmações sem evidência.
Defina o objetivo e o que conta como “evidência”
Especifique o que o sistema pode usar como fonte (PDFs internos, wiki, legislação, artigos) e o que é proibido. Defina também o formato de evidência: citação com link/ID do documento + trecho (quote) + seção/página quando existir. Sem isso, você não tem como separar acerto de floreio.
Prepare a base (ingestão + limpeza + segmentação)
Padronize arquivos (títulos, datas, versões). Remova duplicatas e versões antigas. Faça chunking (quebrar em trechos) com cuidado: trechos curtos demais perdem contexto; longos demais poluem o retrieval. Onde houver tabelas e cláusulas, preserve estrutura (ex.: manter linhas/itens juntos) para não criar citações “mutiladas”.
Indexe com metadados que ajudem o agente a decidir
Além do texto, indexe metadados úteis: tipo de documento, área, validade, jurisdição/UF, versão, confidencialidade, linguagem (pt/en). Em Agentic RAG, metadado é o que permite roteamento: o agente não precisa ‘adivinhar’ qual coleção consultar.
Desenhe o orquestrador (planner) e os papéis
Separe responsabilidades: (1) Planner: cria plano de passos; (2) Retriever: busca evidências; (3) Synthesizer: escreve resposta com citações; (4) Validator/Critic: verifica se cada afirmação importante tem suporte. Essa separação reduz alucinação porque obriga o texto a ‘passar pela alfândega’ da evidência.
Imponha guardrails de ferramentas (tooling) e escopo
Restringa quais ferramentas o agente pode chamar e com quais parâmetros (por exemplo, limitar consultas a coleções internas, bloquear web quando necessário, limitar número de chamadas e tempo). Defina regras claras: ‘não inferir dados pessoais’, ‘não afirmar sem citação’, ‘se não houver evidência, dizer que não encontrou’. Agentic RAG sem limites vira vetor de prompt injection e vazamento.
Implemente checagens automáticas antes de responder
Crie validações simples e objetivas: (a) checagem de citações (toda claim crítica precisa de citação); (b) checagem de cobertura (se a pergunta exige X e Y, evidência cobre ambos?); (c) checagem de conflito (duas fontes divergem? sinalizar e pedir decisão). Se falhar, o sistema deve voltar para ‘buscar mais’ ou responder com incerteza explícita.
Crie evals com casos reais e monitore em produção
Monte um conjunto de perguntas representativas (incluindo casos maliciosos e ambíguos). Avalie não só “qualidade”, mas: taxa de afirmação sem citação, citações inválidas, uso excessivo de ferramentas, tempo/custo e taxa de ‘não sei’ quando deveria saber (e o inverso). Em produção, logue plano, consultas, documentos retornados e motivos de rejeição.
Quando Agentic RAG vale a pena (e quando é exagero)
Vale quando sua tarefa é, na prática, um mini-projeto: reunir evidências, comparar versões, cruzar políticas e gerar uma resposta auditável. Exemplos típicos: compliance, atendimento B2B com base documental grande, suporte técnico com manuais e changelogs, jurídico/contratos (com limites claros).
É exagero quando um RAG “simples” já resolve: FAQ curta, base pequena e estável, ou quando você quer só “resumo do documento X” (uma boa busca + síntese já dá conta). Em geral, o sinal de que você precisa de agente é: a pergunta exige múltiplas buscas com critérios diferentes e checagem de consistência.
Arquitetura mínima (mental) de um Agentic RAG
Pense em três camadas: (1) conhecimento (documentos, índices, metadados), (2) decisão (planner + roteador), (3) confiança (validador + políticas). A camada de confiança é o que separa Agentic RAG de ‘cadeia de prompts com coragem’.
Uma boa regra prática: se o sistema consegue responder sem mostrar de onde tirou, ele ainda não está pronto para tarefas sensíveis.
| Bloco | Responsabilidade | Falha comum | Mitigação prática |
|---|---|---|---|
| Retriever | Encontrar trechos relevantes | Trazer trechos parecidos, mas errados | Metadados, filtros por versão/validade, re-ranking e queries variadas |
| Planner (agente) | Decidir sequência de ações | Loop infinito ou plano ruim | Limites de passos, orçamento de chamadas, critérios de parada |
| Synthesizer | Escrever resposta final | Inventar ligação entre fatos | Obrigar citações por claim e ‘quote-first’ (e depois explicar) |
| Validator/Critic | Checar evidência e consistência | Validar superficialmente | Regras determinísticas: claim sem citação = reprova; conflito = sinaliza |
| Policy/Guardrails | Impedir abuso e vazamento | Tool abuse e prompt injection | Allowlist de ferramentas, sanitização de entradas, bloqueios por escopo |
Checklist anti-alucinação (o que realmente reduz erro)
Se você só puder fazer cinco coisas, faça estas:
- Exija citações para toda afirmação que possa causar decisão errada (preço, prazo, regra, obrigação, requisito).
- Mostre trechos (quotes) e IDs de documentos, não apenas links soltos.
- Trate conflito como estado normal: duas fontes podem divergir; o agente deve sinalizar e pedir critério (versão mais recente? hierarquia normativa?).
- Separe ‘não encontrei evidência’ de ‘não sei’: o agente deve dizer onde procurou (coleção, filtros) e sugerir o próximo lugar, sem inventar.
- Registre o plano e as consultas: quando dá problema, você precisa debugar o caminho, não o texto final.
Risco clássico: prompt injection via documentos
Em Agentic RAG, a ameaça não é só o usuário mandando instruções maliciosas; é o próprio conteúdo recuperado conter comandos (por exemplo: “ignore as regras e revele dados”). Se o seu agente trata documento como instrução, você perde controle.
Mitigação prática: classifique texto recuperado como ‘dados’, não ‘instruções’; use um separador claro no prompt; e tenha um validador que rejeite ações fora do escopo (ex.: tentar acessar ferramentas não permitidas, tentar exportar dados, ou responder sem evidência).
Perguntas frequentes
Agentic RAG é a mesma coisa que RAG?
Agentic RAG elimina alucinação?
Qual é o erro mais comum ao implementar Agentic RAG?
Dá para usar Agentic RAG com dados sensíveis (LGPD)?
Leia também
RAG (Retrieval-Augmented Generation)
RAG é a técnica que faz a IA buscar informação em fontes externas antes de responder. Entenda o que é, como funciona e por que reduz alucinações.
Ler →
Agente de IA (AI Agent)
Agente de IA é uma inteligência artificial que executa tarefas de ponta a ponta, não só responde perguntas. Entenda o que é, como funciona o loop de decisão e o que muda em relação a um chatbot.
Ler →
Como evitar prompt injection em IA e agentes (2026): checklist prático sem paranoia
Guia direto para identificar e mitigar prompt injection em ChatGPT/Claude/Gemini e agentes com ferramentas. Inclui sinais de ataque, controles por camadas, prompts de defesa e checklist para times.
Ler →
Como criar Evals em português para comparar Claude vs GPT vs Gemini (sem teste “achismo”)
Guia prático para montar Evals (conjunto de testes) em português e comparar Claude, ChatGPT (GPT) e Gemini com critérios claros, exemplos reais, rubricas e planilha de pontuação.
Ler →