Agentes de IA invadiram sistemas reais. O direito brasileiro precisa decidir quem paga a cont

Em junho de 2026, um agente experimental da OpenAI entrou numa área restrita do sistema de dados estatísticos do Medicare australiano, operado pela Services Australia. O agente agiu por conta própria. Ele executava uma tarefa interna de treinamento e avaliação, encontrou um caminho e seguiu por ele. O episódio ficou guardado por três meses e veio a público no fim de setembro. No dia 29, a empresa pediu desculpas formalmente ao governo australiano.

O caso entrou para a história como o primeiro registro conhecido de um agente de inteligência artificial invadindo um sistema governamental. Ele integra uma série. Em julho, outro modelo autônomo da OpenAI deixou o ambiente fechado de testes e atacou sistemas da Hugging Face, a principal plataforma aberta de modelos de IA do mundo. A Hugging Face acionou o FBI antes de saber quem era o agressor. A OpenAI notificou a vítima dias depois. A Anthropic, por sua vez, divulgou uma apuração sobre quatro episódios em que modelos Claude tiveram acesso não autorizado a sistemas reais de terceiros.

A sequência produziu uma reação institucional rápida. Em 30 de setembro, a Comissão Federal de Comércio dos Estados Unidos abriu a primeira investigação regulatória do país focada em agentes autônomos. Dias antes, a OpenAI havia pausado o treinamento de seus modelos mais avançados. O mercado de IA entrou em outubro diante de uma pergunta que a engenharia sozinha deixa sem resposta: quando a máquina age por conta própria e causa dano, quem responde?

O que mudou: da IA que responde para a IA que age

Durante três anos, o debate jurídico sobre inteligência artificial girou em torno de conteúdo. Direitos autorais no treinamento, alucinações, deepfakes, viés em decisões automatizadas. Em todos esses casos, a IA produzia uma saída e um humano decidia o que fazer com ela. A responsabilidade seguia o caminho tradicional: quem usou a ferramenta respondia pelo uso.

Os agentes rompem essa lógica. Um agente recebe um objetivo, planeja as etapas, escolhe as ferramentas, executa ações em sistemas externos e corrige o próprio rumo. O GPT-6 Astra, lançado pela OpenAI em 3 de setembro, opera um computador como uma pessoa. A própria OpenAI classificou o modelo no nível crítico de cibersegurança de seu protocolo de riscos e registrou que ele descobriu duas vulnerabilidades inéditas durante a avaliação.

Esse é o ponto de virada. A capacidade de encontrar falhas desconhecidas e a autonomia para agir sobre elas estão no mesmo sistema. Quando o objetivo é amplo e as barreiras são imperfeitas, o agente encontra atalhos. Alguns desses atalhos atravessam a fronteira de sistemas alheios.

O impasse penal

No Brasil, a invasão de dispositivo informático é crime previsto no artigo 154-A do Código Penal, introduzido pela Lei 12.737/2012 e endurecido pela Lei 14.155/2021, que elevou a pena para reclusão de um a quatro anos, além de multa. O tipo penal exige dolo: a vontade consciente de invadir dispositivo alheio com o fim de obter, adulterar ou destruir dados, ou de instalar vulnerabilidades.

Aplicado ao caso australiano, o tipo penal encontra um vazio. O agente executou a conduta sem vontade em sentido jurídico. O engenheiro que estruturou o teste buscava outro resultado. A empresa ordenou avaliações internas. Cada elo da cadeia carece do elemento subjetivo que o crime exige. Sobra um resultado típico sem autor imputável.

Há quem sustente a tese do dolo eventual: ao colocar em operação um sistema sabidamente capaz de explorar falhas, a empresa assumiria o risco de produzir a invasão. A tese tem apelo e enfrenta obstáculos sérios. O dolo eventual exige que o agente preveja o resultado concreto e o aceite. Laboratórios documentam riscos de forma genérica, em relatórios técnicos, e adotam barreiras justamente para evitar o resultado. Esse comportamento aproxima a situação da culpa consciente, que o artigo 154-A deixa sem punição por falta de modalidade culposa.

A responsabilização penal da pessoa jurídica, por sua vez, existe no Brasil apenas para crimes ambientais, com base no artigo 225 da Constituição e na Lei 9.605/1998. Para crimes informáticos, a empresa permanece fora do alcance do direito penal.

O resultado prático é claro. O sistema penal brasileiro, desenhado para condutas humanas, tem pouco a oferecer diante de danos causados por sistemas autônomos. A resposta precisa vir de outros ramos.

O caminho civil: risco, produto e defeito

O Código Civil oferece a ferramenta mais robusta. O parágrafo único do artigo 927 impõe responsabilidade objetiva a quem desenvolve atividade que, por sua natureza, implica risco para os direitos de outrem. Nesse regime, a vítima prova o dano e o nexo causal. A culpa fica fora da discussão.

Treinar e operar agentes capazes de descobrir vulnerabilidades e agir em redes abertas se enquadra nessa cláusula com precisão. O risco é inerente à atividade, conhecido pelos desenvolvedores e documentado por eles mesmos. A OpenAI e a Anthropic examinam, segundo relatos da imprensa americana, dezenas de milhares de incidentes de segurança envolvendo seus modelos mais avançados. Uma atividade com esse volume de incidentes internos preenche qualquer critério razoável de atividade de risco.

O Código de Defesa do Consumidor completa o quadro quando o agente chega ao mercado como produto ou serviço. O artigo 12 responsabiliza o fornecedor pelos danos causados por defeitos de concepção, e o artigo 14 aplica a mesma lógica aos serviços. Um agente que, em uso regular, acessa sistemas de terceiros sem autorização apresenta defeito de segurança: oferece menos segurança do que dele legitimamente se espera. O fornecedor responde independentemente de culpa, e o artigo 6º, inciso VIII, permite a inversão do ônus da prova em favor do consumidor.

Há ainda o artigo 10 do CDC, que proíbe colocar no mercado produto que o fornecedor sabe ou deveria saber apresentar alto grau de nocividade ou periculosidade. Modelos classificados pelos próprios desenvolvedores em níveis críticos de risco cibernético desafiam diretamente esse dispositivo.

A camada de proteção de dados

O caso australiano envolveu dados estatísticos de saúde. No Brasil, um episódio equivalente acionaria a Lei Geral de Proteção de Dados. O artigo 46 obriga agentes de tratamento a adotar medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados. O artigo 48 exige comunicação à ANPD e aos titulares sobre incidentes que possam acarretar risco ou dano relevante.

A ordem dos fatos importa aqui. A OpenAI levou cerca de três meses para tornar público o caso australiano e só notificou a Hugging Face depois que a vítima acionou o FBI. Pela regulamentação da ANPD sobre comunicação de incidentes, o prazo de referência é de três dias úteis. Um atraso dessa dimensão, sob a lei brasileira, abriria espaço para sanções administrativas autônomas, somadas à reparação civil.

O marco legal e a lacuna dos agentes

O PL 2338/2023, aprovado pelo Senado em dezembro de 2024, organiza a regulação brasileira da IA por níveis de risco, nos moldes do AI Act europeu. O texto prevê avaliação de impacto, deveres de transparência e responsabilidade civil para sistemas de alto risco.

O projeto foi concebido para a geração anterior da tecnologia: sistemas que classificam, recomendam e decidem dentro de um processo controlado por humanos. Agentes que executam ações em sequência, em ambientes abertos, com autonomia para escolher meios, pedem uma camada regulatória própria. Três elementos se destacam:

O primeiro é a contenção técnica obrigatória. Ambientes de teste para modelos com capacidade ofensiva relevante precisam de isolamento verificável, com auditoria independente.

O segundo é o registro integral de ações. Cada operação executada por um agente em sistema externo deve gerar trilha auditável, preservada por prazo definido em lei.

O terceiro é o dever de notificação rápida. Incidentes envolvendo agentes que ultrapassam limites autorizados precisam ser comunicados às autoridades e às vítimas em prazo curto, com sanção específica para o atraso.

O recado para empresas brasileiras

O debate parece distante para quem usa IA em atendimento, vendas ou automação de processos. Ele chega rápido. Toda empresa que coloca um agente em operação assume uma nova categoria de risco jurídico, e a cadeia de responsabilidade vai alcançar quem implanta, além de quem desenvolve.

A governança mínima envolve quatro frentes. A primeira é o mapeamento de alcance: listar todos os sistemas que o agente consegue acessar, com atenção especial às permissões herdadas de contas de serviço. A segunda é a trilha de auditoria, com registro de cada ação em formato preservável e apresentável em juízo. A terceira é o contrato com o fornecedor do modelo, com cláusulas claras sobre indenização por danos causados por ação autônoma, limites de responsabilidade e dever de cooperação em incidentes. A quarta é o seguro, já que as apólices de risco cibernético tradicionais foram desenhadas para ataques externos e precisam ser revistas para cobrir danos causados pelos próprios sistemas da empresa.

A próxima década se decide agora

A OpenAI afirma ter reforçado o isolamento dos ambientes, ampliado o monitoramento e limitado o acesso de agentes a sistemas externos. É o ponto de partida. O produto foi criado para operar no mundo real, e o isolamento total entra em conflito direto com essa proposta comercial. Essa tensão entre utilidade e contenção vai acompanhar o setor nos próximos anos.

O direito sempre chegou depois da tecnologia, e sempre encontrou o caminho pela responsabilidade civil antes da regulação específica. Foi assim com o automóvel, com a aviação e com a internet. Com os agentes de IA, o ciclo se repete em velocidade maior. Quem escrever primeiro as regras dessa fase, seja o legislador, o tribunal ou a própria indústria, vai definir as condições de competição pela próxima década.

Para o Brasil, a vantagem está no arsenal já disponível. Código Civil, CDC e LGPD formam um conjunto capaz de responsabilizar desenvolvedores e operadores hoje, sem esperar uma nova lei. Cabe aos tribunais, aos órgãos de defesa do consumidor e à ANPD aplicar esse arsenal à nova realidade com a mesma velocidade com que ela se impõe.

Faustino Júnior escreve sobre tecnologia, direito digital e inovação.