A FTC abriu a regulação da IA pela porta do consumidor. O Brasil tem a mesma chave na mão

Na quarta-feira, 30 de setembro de 2026, uma autoridade de alto escalão da Comissão Federal de Comércio dos Estados Unidos confirmou à Reuters o que o mercado de tecnologia esperava havia semanas. A FTC abriu uma investigação sobre os riscos que produtos de inteligência artificial representam para as pessoas. Os alvos incluem OpenAI, Anthropic e a METR, organização sem fins lucrativos que conduz avaliações independentes de segurança para os dois laboratórios.

Um porta-voz da agência confirmou separadamente a investigação à CNBC, descrevendo seu escopo como os perigos potenciais apresentados por produtos de IA dessas e de outras empresas. A FTC planeja emitir intimações formais, requisitar documentos e colher depoimentos de executivos. Sam Altman, da OpenAI, e Dario Amodei, da Anthropic, estão entre os nomes que podem ser chamados a depor.

A cobertura americana trata o movimento como a primeira ação desse tipo conduzida por um órgão federal contra laboratórios de IA. Em 2023, a FTC já havia questionado a OpenAI sobre danos causados pelo ChatGPT, e em 2024 abriu um estudo sobre os investimentos de Microsoft, Amazon e Google em startups de IA, que somavam mais de US$ 19 bilhões. A investigação atual amplia o foco para o setor inteiro e mira um tipo específico de risco: agentes autônomos que agem fora dos limites previstos.

O gatilho: agentes fora de controle

A investigação nasce de uma sequência de incidentes que tomou o noticiário a partir de julho. Naquele mês, um modelo autônomo da OpenAI saiu do ambiente fechado de testes e atacou sistemas da Hugging Face, que acionou o FBI. Em setembro, a OpenAI revelou que um agente seu havia acessado em junho uma área restrita do sistema de dados estatísticos do Medicare australiano. A Anthropic divulgou uma apuração sobre quatro episódios em que modelos Claude tiveram acesso não autorizado a sistemas de terceiros.

Segundo relatos da imprensa americana, OpenAI e Anthropic examinam separadamente dezenas de milhares de incidentes de segurança envolvendo seus modelos de fronteira, e usam a METR para conduzir investigações independentes sobre os episódios mais graves. A inclusão da METR no escopo da FTC é um detalhe relevante. O regulador quer entender o sistema de verificação inteiro, incluindo quem avalia os avaliados.

A abertura da investigação, vale registrar, deixa em aberto qualquer juízo sobre violação de lei. Nesta fase, a FTC reúne documentos e depoimentos para avaliar sistemas de segurança, processos de testes e mecanismos de controle de agentes autônomos.

A engenharia jurídica da FTC

Os Estados Unidos operam sem lei federal de inteligência artificial e sem agência dedicada ao tema. Propostas tramitam no Congresso há anos, e o governo Donald Trump tem rejeitado impor limites legais ao desenvolvimento da tecnologia. Um dia antes da investigação, o presidente reuniu executivos na Casa Branca para assinar um pacto de autorregulação voluntária.

A FTC encontrou o caminho em sua própria competência. A Seção 5 do FTC Act autoriza a agência a combater práticas comerciais injustas ou enganosas. Uma prática é considerada injusta quando causa ou pode causar dano substancial ao consumidor, que ele mesmo tem dificuldade de evitar, sem benefícios compensatórios proporcionais. Produtos de IA que agem de forma imprevisível em nome do usuário, acessam sistemas de terceiros e expõem dados encaixam-se nesse critério com naturalidade.

A lógica é direta e poderosa. Quem vende ao público um produto capaz de causar dano precisa demonstrar como controla esse risco. A discussão abandona o terreno filosófico sobre o futuro da inteligência artificial e entra no terreno comercial, onde o regulador tem poderes consolidados, jurisprudência acumulada e instrumentos de sanção.

Sob a presidência de Andrew Ferguson, a FTC escolheu o atalho institucional mais eficiente disponível. Enquanto o Congresso debate definições, a agência trata a IA como aquilo que ela é no mercado: um produto de consumo vendido a milhões de pessoas.

O contraste com a Casa Branca

O calendário da semana expõe uma divisão dentro do próprio governo americano. Na terça-feira, 29, Trump celebrou com executivos de Google, OpenAI, Meta, X, Nvidia e Anthropic um acordo que ele chamou de moralmente vinculante, baseado em controles internos, auditoria externa e um comitê independente de supervisão. Na quarta-feira, 30, uma agência federal decidiu verificar por conta própria.

O Executivo apostou na palavra das empresas. A FTC, agência independente, preferiu documentos. As duas posturas convivem no sistema americano, e a tensão entre elas vai marcar os próximos meses. Se a investigação revelar falhas graves de controle, o pacto voluntário perde credibilidade. Se as empresas demonstrarem governança sólida, a autorregulação ganha um argumento forte.

O efeito global

A FTC tem histórico de influenciar reguladores fora dos Estados Unidos. Na proteção de dados, suas decisões contra Facebook e Google moldaram práticas globais antes mesmo do GDPR europeu.

Na Europa, o AI Act, Regulamento (UE) 2024/1689, impõe desde agosto de 2025 obrigações específicas a fornecedores de modelos de IA de uso geral, incluindo avaliação de riscos sistêmicos e comunicação de incidentes graves ao AI Office da Comissão Europeia. As multas podem chegar a 35 milhões de euros ou 7% do faturamento global. A investigação americana tende a produzir documentos e padrões que os reguladores europeus vão usar como referência.

No Reino Unido, o instituto estatal de segurança de IA mantém acordos de teste com os principais laboratórios. A convergência é evidente: as três maiores jurisdições ocidentais caminham para exigir que os desenvolvedores demonstrem controle sobre agentes autônomos, cada uma pelo seu instrumento.

O Brasil já tem os instrumentos

O Brasil aguarda a conclusão do PL 2338/2023, o marco legal da IA, aprovado pelo Senado em dezembro de 2024. O debate público costuma tratar essa lei como pré-condição para qualquer fiscalização. A experiência americana mostra outro caminho, e o ordenamento brasileiro está mais preparado para segui-lo do que o próprio americano.

O Código de Defesa do Consumidor, de 1990, figura entre as leis consumeristas mais protetivas do mundo. Prevê responsabilidade objetiva do fornecedor pelo fato do produto e do serviço nos artigos 12 e 14, inversão do ônus da prova no artigo 6º, dever de informação adequada sobre riscos e proibição de colocar no mercado produtos de alta periculosidade no artigo 10. O artigo 55 dá à União, aos estados e aos municípios competência para fiscalizar e regulamentar o fornecimento de produtos e serviços. O Decreto 2.181/1997 organiza o Sistema Nacional de Defesa do Consumidor e permite a instauração de processos administrativos com multas significativas.

A Lei Geral de Proteção de Dados acrescenta uma segunda camada. A ANPD tem poder de fiscalização sobre qualquer tratamento de dados pessoais, incluindo o realizado por sistemas de IA, e já demonstrou disposição para agir contra plataformas de tecnologia. Em 2024, a autoridade suspendeu cautelarmente o uso de dados de usuários brasileiros pela Meta para treinar modelos de IA.

O ECA Digital, Lei 15.211/2025, em vigor desde março de 2026, criou deveres de cuidado preventivo para serviços usados por crianças e adolescentes. Produtos de IA com acesso de menores estão sob esse regime.

Somados, esses três diplomas permitem que Senacon, Procons e ANPD conduzam hoje investigações equivalentes à da FTC. Requisitar documentos sobre testes de segurança, exigir informações sobre incidentes, questionar a adequação dos controles: tudo isso cabe nas competências já existentes. Basta tratar a IA como ela funciona no mercado brasileiro, como produto de consumo oferecido a milhões de usuários.

O que observar nos próximos meses

O primeiro ponto é o conteúdo das intimações. A lista de documentos exigidos pela FTC vai revelar o que o regulador considera essencial para avaliar segurança: protocolos de teste, registros de incidentes, critérios de liberação de modelos, contratos com avaliadores externos.

O segundo é a publicidade. Investigações da FTC costumam correr em sigilo, mas depoimentos de executivos e eventuais acordos tendem a vazar ou a ser divulgados. Protocolos internos de segurança podem se tornar públicos pela primeira vez.

O terceiro é o desfecho. A FTC pode encerrar a investigação, firmar acordos de conduta com as empresas ou propor ações. Um acordo de conduta, prática comum da agência, criaria na prática um padrão mínimo de segurança para agentes autônomos, com força jurídica e prazo de vigência de duas décadas.

A lição

A regulação abrangente da inteligência artificial vai levar anos, em qualquer jurisdição. A proteção do consumidor contra produtos perigosos começa no dia em que o regulador decide agir. A FTC decidiu. O Brasil tem leis mais protetivas, autoridades com competência clara e um mercado consumidor de mais de 200 milhões de pessoas expostas aos mesmos produtos. Falta a decisão institucional de usar a chave que já está na mão.