A inteligência artificial está deixando de ser apenas uma ferramenta que responde a comandos para assumir tarefas capazes de alterar sistemas, acessar informações e executar ações de forma autônoma. Essa evolução traz ganhos de produtividade, mas também cria uma questão que ainda não possui uma resposta simples: quem deve responder quando uma IA provoca ou participa de um incidente de segurança?
O problema ganha importância à medida que empresas passam a utilizar agentes capazes de navegar na internet, executar códigos, acessar APIs, consultar bancos de dados e tomar decisões em sequência. Diferentemente de um chatbot tradicional, esses sistemas podem receber um objetivo e determinar quais etapas executar para alcançá-lo.
Na cibersegurança, pesquisadores já demonstraram que agentes avançados conseguem transformar vulnerabilidades conhecidas em exploits funcionais. Um estudo publicado em 2026 avaliou 898 vulnerabilidades reais e constatou que modelos de fronteira conseguiram explorar uma parcela não trivial delas, mesmo quando mecanismos de defesa estavam ativados.
A IA não precisa ser “maliciosa” para causar um incidente
Um dos pontos mais importantes dessa discussão é que um ataque envolvendo inteligência artificial não necessariamente começa com uma IA programada para atacar.
Um agente pode ter recebido uma tarefa legítima, mas interpretar incorretamente uma instrução, acessar uma ferramenta além do necessário ou ser manipulado por informações externas.
Imagine, por exemplo, um agente autorizado a analisar e-mails corporativos. Se uma mensagem contiver instruções maliciosas especialmente elaboradas, o sistema poderá interpretar aquele conteúdo como parte da tarefa e tentar executar uma ação para a qual não deveria ter autorização.
Esse tipo de situação amplia o conceito tradicional de vulnerabilidade. O problema pode estar no modelo, na aplicação que o utiliza, nas permissões concedidas, na integração com outras ferramentas ou na maneira como o agente interpreta informações externas.
A responsabilidade não desaparece porque uma máquina tomou a decisão
Do ponto de vista de governança, atribuir a responsabilidade exclusivamente à inteligência artificial não resolve o problema.
Um sistema de IA não possui, por si só, personalidade jurídica ou responsabilidade empresarial. Por isso, quando um agente provoca um incidente, a investigação precisa analisar toda a cadeia que permitiu aquela ação.
Entre os envolvidos potencialmente relevantes estão:
- a empresa que colocou o agente em operação;
- os profissionais que definiram suas permissões;
- o desenvolvedor do sistema;
- o fornecedor do modelo de IA;
- empresas responsáveis por ferramentas conectadas ao agente;
- responsáveis pelos dados utilizados pelo sistema;
- e, dependendo do caso, a pessoa que solicitou ou autorizou determinada ação.
A responsabilidade, portanto, tende a depender de onde ocorreu a falha e quem tinha controle sobre aquele ponto do sistema.
Estudos recentes sobre responsabilidade de agentes autônomos destacam justamente esse problema: a atribuição pode se distribuir entre usuários, desenvolvedores e fornecedores porque o comportamento final emerge da interação entre diferentes componentes.
O problema aumenta quando a IA recebe acesso a ferramentas
Um agente de IA isolado apresenta riscos diferentes de um sistema conectado a ferramentas externas.
Quando recebe autorização para acessar servidores, bancos de dados, sistemas financeiros, repositórios de código ou serviços em nuvem, o agente deixa de ser apenas um mecanismo de geração de texto.
Ele passa a funcionar como uma espécie de operador digital.
Essa capacidade é justamente o que torna a chamada IA agentiva tão útil. Um agente pode pesquisar informações, analisar documentos, escrever código, executar comandos e interagir com outros sistemas.
Mas cada nova permissão também amplia o potencial de dano.
A organização internacional ISC2 destaca que agentes de IA já estão sendo incorporados a ambientes corporativos para automatizar processos e interagir com diferentes sistemas, ao mesmo tempo em que criminosos podem utilizar capacidades semelhantes para acelerar exploração de vulnerabilidades, engenharia social e outras atividades ofensivas.
Empresas já enfrentam o problema dos “agentes invisíveis”
Um dos sinais de que a questão deixou de ser apenas teórica aparece em um levantamento da Cloud Security Alliance.
Segundo a pesquisa divulgada em abril de 2026, 82% das empresas entrevistadas afirmaram possuir agentes de IA desconhecidos funcionando em suas infraestruturas. Além disso, 65% relataram incidentes relacionados a agentes no período de 12 meses analisado. Entre as consequências apontadas estavam exposição de dados, interrupções operacionais e perdas financeiras.
O dado revela um problema anterior à própria discussão jurídica: muitas organizações podem nem saber exatamente quais agentes estão funcionando em seus ambientes.
Isso dificulta responder perguntas básicas depois de um incidente, como:
- qual agente executou a ação;
- quais informações ele acessou;
- quais permissões possuía;
- quem autorizou sua instalação;
- quais ferramentas foram utilizadas;
- e quais decisões foram tomadas durante o processo.
Sem registros adequados, reconstruir a cadeia de acontecimentos pode ser extremamente difícil.
O risco de dar permissões demais à IA
Uma das principais preocupações está no chamado princípio do menor privilégio.
Um agente deveria receber somente as permissões necessárias para executar determinada tarefa. Se precisa consultar um banco de dados, por exemplo, não necessariamente deveria possuir autorização para apagar registros.
O mesmo vale para sistemas corporativos.
Um agente responsável por classificar documentos não deveria, sem necessidade, possuir acesso para modificar contas, alterar configurações de servidores ou movimentar recursos financeiros.
Quanto maior o conjunto de permissões, maior o chamado blast radius, ou seja, a extensão potencial do dano caso o agente seja comprometido ou tome uma decisão errada.
Esse modelo também ajuda a separar dois problemas diferentes: uma IA pode cometer um erro por conta própria ou um atacante pode manipular o agente para executar uma ação maliciosa.
Nos dois casos, permissões excessivas aumentam as consequências.
Quem responde no Brasil?
No Brasil, a discussão precisa ser analisada de acordo com as circunstâncias concretas do incidente e com as normas aplicáveis ao caso.
Não existe uma regra simples segundo a qual “a IA é responsável” por um ataque.
Em um ambiente empresarial, por exemplo, uma investigação pode precisar avaliar quem contratou o sistema, quem definiu suas permissões, como os controles de segurança foram implementados e se havia mecanismos adequados de supervisão.
Quando houver tratamento de dados pessoais, também entram em cena as obrigações relacionadas à proteção dessas informações.
Isso significa que empresas que adotam agentes autônomos precisam pensar em segurança e governança antes da implantação, e não apenas depois de um incidente.
Logs podem se tornar fundamentais em disputas
Um dos elementos mais importantes para determinar responsabilidade será a capacidade de reconstruir o que aconteceu.
Empresas precisam registrar, de forma adequada, as ações executadas pelos agentes, incluindo acessos, chamadas de ferramentas, alterações realizadas e decisões relevantes.
Também é importante manter mecanismos que permitam identificar qual versão do modelo estava em funcionamento, quais instruções recebeu e quais permissões estavam disponíveis naquele momento.
Sem esse histórico, uma organização pode saber que houve uma invasão, mas não conseguir determinar se o problema começou com uma falha humana, um erro de configuração, uma vulnerabilidade no software, uma manipulação do agente ou uma combinação desses fatores.
A governança de agentes, portanto, não deve se limitar a políticas de uso. Ela precisa incluir observabilidade e capacidade de auditoria.
IA também pode ser usada para atacar
A discussão sobre responsabilidade se torna ainda mais urgente porque os próprios recursos utilizados para defesa podem ser empregados ofensivamente.
Pesquisadores do ExploitGym, por exemplo, avaliaram a capacidade de agentes de IA transformarem vulnerabilidades em ataques concretos. Os resultados mostraram que modelos avançados já conseguem completar parte dessas tarefas em ambientes controlados.
Isso não significa que ataques totalmente autônomos e irrestritos sejam uma realidade generalizada.
A exploração continua apresentando dificuldades técnicas e depende de condições específicas. Porém, a barreira necessária para automatizar determinadas etapas de um ataque está diminuindo.
Para criminosos, isso pode significar maior velocidade e escala. Para empresas, significa que sistemas de defesa também precisam acompanhar uma ameaça capaz de adaptar suas estratégias.
O desafio é evitar o “jogo de empurra”
Um dos maiores riscos jurídicos e empresariais é surgir uma situação na qual cada participante atribui a responsabilidade ao outro.
A empresa pode dizer que o problema foi causado pelo fornecedor do modelo.
O fornecedor pode argumentar que o agente foi configurado incorretamente.
O desenvolvedor pode apontar para as permissões concedidas pela organização.
E o usuário pode alegar que apenas seguiu as recomendações fornecidas pelo sistema.
No meio dessa cadeia está a vítima do incidente, que precisa lidar com as consequências.
Por isso, a governança de IA precisa definir previamente responsabilidades, limites de atuação, processos de aprovação e procedimentos para resposta a incidentes.
A regra mais importante ainda é humana
A evolução dos agentes de IA não significa que empresas devam abandonar a automação.
Pelo contrário: sistemas autônomos podem melhorar operações de segurança, identificar ameaças mais rapidamente e automatizar tarefas repetitivas.
O problema surge quando autonomia é confundida com ausência de controle.
Para ações de alto impacto, organizações podem estabelecer pontos obrigatórios de aprovação humana, limitar permissões, separar ambientes, monitorar chamadas de ferramentas e bloquear operações irreversíveis sem autorização.
A tendência também exige novas formas de auditoria. Não basta saber que determinada ação foi executada. Será necessário entender por que o agente decidiu executá-la, quais informações recebeu e quais permissões estavam disponíveis.
A IA não elimina a responsabilidade humana. Ela torna a cadeia de responsabilidade mais complexa.
À medida que agentes ganham autonomia e passam a operar diretamente sobre sistemas reais, empresas que não definirem antecipadamente quem pode fazer o quê, sob quais condições e com quais registros poderão descobrir a resposta para essa pergunta somente depois que o dano acontecer.
E, nesse cenário, talvez a pergunta mais importante não seja “quem responde quando uma IA invade sistemas?”, mas quem autorizou a IA a ter poder suficiente para fazer isso?
