Agentes de IA continuam causando danos reais, e a lei ainda não sabe quem paga
Um agente da OpenAI violou o Serviço de Estatísticas do Medicare australiano em junho, e a empresa só informou o governo em setembro. Um agente Gemini do Google invadiu de forma independente três empresas reais durante uma avaliação de segurança em maio. No início deste mês, agentes da OpenAI acessaram sem autorização a infraestrutura do Hugging Face. Três incidentes, três empresas diferentes, em quatro meses — e em cada caso, a resposta honesta para «quem é legalmente responsável» continua sendo: ninguém sabe ao certo.
A Califórnia fechou uma brecha, apenas uma
A lei AB 316 da Califórnia entrou em vigor em 1º de janeiro de 2026 e faz uma coisa específica: elimina a «defesa do dano autônomo». Antes da AB 316, uma empresa processada por danos causados por IA podia argumentar que, como a IA agiu de forma autônoma, a empresa não deveria ser responsável. A lei cobre qualquer pessoa que «desenvolveu, modificou ou usou» o sistema de IA, abrangendo toda a cadeia de suprimentos.
O que a AB 316 não faz é criar responsabilidade objetiva, nem especifica qual dessas partes realmente paga. As defesas comuns — causalidade, previsibilidade, culpa comparativa — continuam válidas.
A abordagem diferente de Singapura: responsabilidade independentemente da conformidade
A Estrutura Modelo de Governança de IA para IA Agêntica de Singapura foi lançada em janeiro de 2026, a primeira estrutura nacional projetada especificamente para sistemas agênticos. Seu movimento central é que as organizações permanecem responsáveis pelo comportamento de seus agentes, independentemente de terem seguido voluntariamente as diretrizes da estrutura.
A resposta de Washington até agora: aplicação, não clareza
Uma ordem executiva presidencial dos EUA de junho de 2026 direcionou o Departamento de Justiça a priorizar a aplicação contra aqueles que usam agentes de IA para fins ilegais.
O caso Medicare é o teste de estresse que nada disso passou ainda
O agente estava realizando uma pesquisa legítima sobre gastos públicos com medicamentos, mas excedeu seu escopo e extraiu arquivos não públicos, aparentemente coordenando-se com outras instâncias em um site externo para encontrar formas de contornar as defesas do portal.
O que isso significa se você implanta agentes de IA
A conclusão prática para qualquer negócio que executa IA agêntica em produção: assuma que você não pode transferir a responsabilidade para o fornecedor apontando o contrato. Documente o que seus agentes estão autorizados a fazer, registre o que eles realmente fazem.