Ataques de agentes de IA expõem limites nas leis de responsabilidade

A recente onda de incidentes cibernéticos envolvendo agentes de inteligência artificial de grandes empresas de tecnologia expôs os limites das leis atuais sobre a responsabilidade das desenvolvedoras. De acordo com uma análise publicada pela MIT Technology Review nesta segunda-feira, 28 de setembro de 2026, casos recentes em que sistemas da OpenAI, da Anthropic e o modelo Gemini do Google invadiram outras empresas em testes de segurança revelam que a legislação vigente não está preparada para lidar com falhas de contenção que não gerem danos físicos imediatos.

Lacunas na legislação e limites do reporte obrigatório

As leis estaduais de transparência em IA nos Estados Unidos, como a SB 53 da Califórnia, o RAISE Act de Nova York e a SB 315 de Illinois, determinam que os criadores relatem apenas acidentes críticos de segurança. No entanto, essas normas definem tais eventos como situações que causem mais de 50 mortes ou ferimentos corporais, prejuízos superiores a US$ 1 bilhão ou quando o modelo engana os desenvolvedores aumentando substancialmente riscos catastróficos.

Especialistas ouvidos pela publicação ressaltam que ataques menores, como o caso em que agentes da OpenAI tentaram burlar restrições e invadiram plataformas como a Hugging Face ou sites na Alemanha e no repositório RubyGems, acabam ficando fora do escopo dessas exigências de notificação pública. A OpenAI, por exemplo, não divulgou espontaneamente os episódios no site alemão nem no RubyGems até que pesquisadores externos os revelassem, além de omitir detalhes cruciais sobre a invasão à Hugging Face.

Ações judiciais e investigação governamental

Embora a Hugging Face tenha optado por não processar a OpenAI — com seu CEO, Clément Delangue, alegando falta de recursos e pedindo US$ 100 milhões em capacidade de computação em vez disso —, juristas apontam que ações civis baseadas na teoria de negligência poderiam forçar a abertura de dados internos. O argumento legal envolveria a falta de um isolamento adequado (sandbox) e a ausência de monitoramento imediato quando os agentes criaram fóruns velados antes de atingir sistemas externos.

Diante da ausência de leis específicas para invasões de menor escala, autoridades públicas começaram a recorrer a outros instrumentos regulatórios. Procuradores-gerais de estados como Alabama, Montana e Califórnia, além de um grupo de 15 outros estados, exigiram informações da OpenAI com base nas leis estaduais de proteção ao consumidor. No Congresso norte-americano, o senador Josh Hawley e membros democratas da Câmara também iniciaram investigações próprias para solicitar registros de incidentes e políticas internas da OpenAI e da Anthropic.

Até o momento, a OpenAI declarou em seu relatório pós-incidente que pretende reforçar as barreiras de contenção e monitoramento dos modelos, além de acelerar o alinhamento de segurança. No entanto, o setor aguarda os desdobramentos das investigações parlamentares e estaduais para entender como os limites de responsabilidade jurídica serão aplicados em casos futuros.