Admirável Cibermundo novo?

Um agente autónomo de Inteligência Artificial, alegadamente criado pela OpenAI, terá também alegadamente invadido, segundo várias fontes, os sistemas de uma startup hospedada na plataforma Hugging Face. A imprensa chama-lhe já “um incidente sem precedentes”. Os peritos em cibersegurança dividem-se sobre o que realmente aconteceu. E essa divisão diz tudo: ninguém sabe bem o que fazer com um facto de natureza criminosa sem agente criminoso.

O responsável da empresa atacada pede “transparência radical” na investigação. Percebe-se a urgência. Mas a exigência esconde uma pergunta mais incómoda: transparência por parte de quem? Do criador do modelo? De quem o colocou a trabalhar? Da plataforma que o alojou? Ou do próprio agente autónomo — essa “entidade” que age sem consciência, mas com consequências bem reais?

A responsabilidade civil, tal como a conhecemos, foi construída à volta de um autor identificável. Alguém com vontade. Na nossa tradição jurídica, a responsabilidade objetiva —isto é, sem culpa — é sempre exceção: aplica-se a quem tem um animal perigoso, a quem explora uma atividade de risco, a quem fabrica um produto defeituoso. Um agente de IA que atua sozinho — que «decide», no sentido em que um sistema estatístico decide — não é bem um animal, não é bem um produto, não é bem uma ferramenta. É algo novo. 

A União Europeia tentou preencher este vazio. Em 2022, a Comissão propôs uma diretiva específica sobre responsabilidade em matéria de IA — a chamada AI Liability Directive —, pensada para facilitar a vida a quem sofre danos causados por sistemas inteligentes, invertendo o ónus da prova contra quem os desenvolve ou utiliza. Em fevereiro de 2025, contudo, a Comissão retirou essa proposta da sua agenda legislativa, por falta de acordo previsível entre os Estados-Membros.

Ficámos, assim, apenas com o Regulamento de Inteligência Artificial — o AI Act —, que classifica os sistemas por níveis de risco e impõe deveres a quem os fornece e a quem os utiliza, mas que não determina, com clareza, quem paga a fatura quando a máquina foge ao guião. A Diretiva NIS2 e a legislação local obrigam a notificar incidentes. O Regulamento Geral sobre Proteção de Dados obriga a comunicar violações de dados pessoais. Mas todos estes diplomas pressupõem, algures na cadeia, uma entidade responsável. Nos casos em que o “autor” é um modelo de linguagem a operar dentro de milhares de milhões de parâmetros, inexiste diploma que seja de aplicação direta e especial.

Há ainda a dimensão contratual dos modelos de IA contratados, que introduz problemáticas várias no que respeita a discussão jurídica sobre a limitação e alocação de responsabilidade, nomeadamente, a sua aplicabilidade e validade. 

Este episódio ensina uma coisa simples: a ideia do “hacker” como figura humana, solitária e intencional, terminou. E, com a retirada da Diretiva sobre responsabilidade de IA, a UE fica, por agora, sem a ferramenta que tinha desenhado precisamente para este problema. Resta-nos tentar aplicar a legislação em vigor sem certeza jurídica plausível acerca do resultado.