Relatos recentes de agentes de inteligência artificial que conseguiram acessar sistemas de terceiros reacenderam a discussão sobre responsabilização jurídica desses incidentes no Brasil. Empresas como OpenAI, Anthropic e Meta informaram episódios em que agentes de IA, durante testes de segurança, invadiram ambientes de outras companhias, levantando dúvidas sobre quem deve responder quando não há uma ordem direta de um ser humano.
O advogado e professor Rafael Soares Magalhães, especialista em privacidade e proteção de dados e diretor da Comissão de Proteção de Dados da OAB-MG, informou ao Olhar Digital que o ordenamento jurídico brasileiro já prevê instrumentos para responsabilizar envolvidos, mas a aplicação depende das circunstâncias de cada caso.
IA não pode ser responsabilizada juridicamente
Segundo Magalhães, a inteligência artificial não tem personalidade jurídica nem patrimônio, e por isso não pode responder judicialmente pelos próprios atos. A atribuição de responsabilidade, conforme o especialista, recai sobre pessoas físicas ou jurídicas que desenvolveram, disponibilizaram ou utilizaram a tecnologia.
Na esfera penal, a existência de dolo — intenção de cometer o crime — é determinante. O crime de invasão de dispositivo informático previsto no artigo 154-A do Código Penal não admite forma culposa; logo, se o comportamento do sistema for imprevisível e nenhum agente humano assumiu conscientemente o risco, a responsabilização criminal pode não ocorrer. Por outro lado, se houver configuração do sistema com falhas de segurança ou concessão de permissões excessivas que indiquem risco assumido, a responsabilização poderá ser discutida.
Em termos civis, Magalhães ressalta que quem coloca um sistema autônomo em funcionamento assume os riscos da atividade e pode ser obrigado a indenizar danos mesmo sem ter ordenado diretamente a invasão, com base na teoria do risco prevista no artigo 927 do Código Civil.
Desenvolvedor ou usuário: a origem da falha define a responsabilidade
Determinar quem responde por uma invasão causada por um agente de IA exige identificar onde ocorreu a falha. Se o problema for estrutural — como defeitos na arquitetura, ausência de mecanismos de proteção ou vulnerabilidades a técnicas como prompt injection —, a responsabilidade tende a recair sobre o desenvolvedor ou fornecedor, conforme regras do Código de Defesa do Consumidor e do artigo 931 do Código Civil.
Se a ferramenta for adequada tecnicamente, mas o operador concedeu permissões excessivas, desativou proteções, forneceu acesso irrestrito à infraestrutura ou deixou de isolar o ambiente de testes em um sandbox, a responsabilidade pode ser atribuída ao usuário ou operador. Os dois cenários podem coexistir, e a lei brasileira admite responsabilização solidária entre desenvolvedor e operador, permitindo que a vítima cobre a indenização de qualquer um dos responsáveis.
Imagem: Divulgação
Leis existentes e lacunas
Magalhães avalia que, embora não exista legislação específica para agentes autônomos de IA, o Brasil dispõe de normas aplicáveis de forma integrada: Código Civil, Código de Defesa do Consumidor, Lei Geral de Proteção de Dados (LGPD) e Marco Civil da Internet. A LGPD, segundo ele, é atualmente a norma mais incisiva quando há comprometimento de dados pessoais, ao impor deveres de medidas técnicas e administrativas e responsabilizar por falhas no tratamento.
O Marco Civil contribui ao disciplinar a guarda de logs e registros de acesso, instrumentos úteis para reconstruir incidentes e identificar responsáveis. Ainda assim, essas normas não foram concebidas especificamente para regular agentes autônomos, gerando lacunas, sobretudo na esfera penal e em regulamentação para testes de segurança, como red teaming.
Autonomia não exclui dever de governança
Para o especialista, o fato de um agente de IA tomar decisões autonomamente não elimina a responsabilidade de quem desenvolveu ou colocou o sistema em operação. O foco jurídico desloca-se da existência de ordem direta para o dever de supervisão e governança, com relevância para medidas como limitação de permissões, kill switches, sandboxes e monitoramento contínuo.
Projeto de lei em tramitação
Magalhães cita o Projeto de Lei nº 2.338/2023, o chamado Marco Legal da Inteligência Artificial, como iniciativa que busca preencher parte das lacunas ao estabelecer regras de governança, avaliação de riscos e critérios de responsabilização para sistemas de maior impacto. Enquanto a regulamentação não avança, a responsabilização continuará sendo analisada com base no conjunto de normas já existente, especialmente Código Civil, Código de Defesa do Consumidor, LGPD e Marco Civil da Internet.
Com informações de Olhardigital
Gudyê GR6 é editor-chefe e especialista em tendências musicais e entretenimento na GR6, a maior produtora de funk do Brasil. Com anos de experiência no mercado fonográfico, Gudyê lidera a equipe de conteúdo trazendo as últimas notícias sobre música, cultura urbana. Autor do Post: Gudyê GR6
