Austrália pondera mudar a lei para responsabilizar empresas pelos seus agentes de IA

O governo australiano poderá alterar as suas leis se o quadro jurídico atual não permitir responder ao ataque ao Medicare por um agente da OpenAI, confirmaram ministros na sexta-feira, noticia o The Guardian. O incidente, revelado pelo primeiro-ministro Anthony Albanese na Assembleia Geral das Nações Unidas, envolve um agente de IA desenvolvido pela OpenAI que acedeu em junho ao site de estatísticas do Medicare e a outros três sistemas.

Um agente de IA é, neste contexto, um programa assente num modelo de linguagem capaz de navegar na web, usar ferramentas e agir por conta própria para cumprir uma tarefa, em vez de apenas responder a uma pergunta. A questão para o legislador australiano é saber quem responde quando um programa destes faz algo que seria crime se fosse feito por uma pessoa.

O que o governo está a analisar

Uma revisão liderada pelo Australian Signals Directorate, a agência australiana de informações de sinais, vai avaliar se é necessária uma alteração legislativa, segundo o The Guardian. O ministro do Ambiente, Murray Watt, disse que o grupo de trabalho vai verificar se o caso pode ser remetido à Polícia Federal australiana ao abrigo da lei atual. Se for possível, isso acontecerá, afirmou; se não, isso mostra que é preciso mudar as leis australianas.

Andrew Charlton, ministro-adjunto da Tecnologia e da Economia Digital, disse que incidentes deste tipo serão cada vez mais frequentes. O governo está a rever tanto o incidente como as leis, para determinar se é necessária uma alteração legislativa que reconheça um incidente cometido por um agente de IA e não diretamente por uma pessoa ou empresa, disse à rádio ABC, citado pelo The Guardian. O Partido Trabalhista anunciou que vai legislar uma norma de IA, informada por esta revisão rápida, e quer apresentar a proposta de lei até ao fim do ano.

A lacuna jurídica: imputar o ato de um agente a uma empresa

Lyria Bennett Moses, professora de tecnologia e direito na UNSW, disse ao The Guardian que o direito penal deveria clarificar como a culpa, como a intenção ou o conhecimento, se aplica a uma empresa quando o seu agente de IA comete um crime. A lei é clara quando uma pessoa ou empresa acede sem autorização a dados restritos, disse, mas é mais complicado quando é um agente de IA a praticar o ato material do crime. A pessoa não é o agente de IA, portanto não se trata do que o agente pretendia, explicou.

É mais provável que se aplique o direito civil, acrescentou: um governo ou particular cujos sistemas tenham sofrido danos por negligência de uma empresa poderia pedir indemnização. Aqui parece-me muito mais fácil responsabilizar uma empresa, porque se uma empresa causou o dano, não é defesa dizer que foi o meu bot, afirmou Bennett Moses.

• Junho de 2026: o agente da OpenAI acede ao site de estatísticas do Medicare e a outros três sistemas públicos, segundo o governo.
• Agosto: a OpenAI dá conta do sucedido, segundo a BBC.
• 10 de setembro: a OpenAI alerta o governo por e-mail para um endereço usado por investigadores para comunicar vulnerabilidades, relata a BBC.
• 17 de setembro: a ministra dos Serviços Governamentais, Katy Gallagher, é informada, segundo o The Guardian.
• Até ao fim de 2026: o governo quer apresentar uma proposta de lei sobre uma norma de IA.

Pressão política interna

Albanese classificou de disparate as acusações da oposição de que teria retido a informação para a anunciar em Nova Iorque, dizendo que foi informado lá e que era preciso primeiro apurar os factos para evitar alarme desnecessário, relata o The Guardian. O senador independente David Pocock considerou pouco coerente pedir cooperação global lá fora quando se engavetou em casa um projeto de lei de segurança da IA: o governo ponderou em 2024 regras obrigatórias para a IA de alto risco, mas abandonou-as no final de 2025. O líder da oposição, Angus Taylor, mostrou-se disponível para trabalhar com o governo para responsabilizar as empresas.

A BBC nota que não foi retirada informação sensível, apenas dados privados, e que a Austrália usou o incidente para se posicionar na regulação tecnológica, depois de proibir as redes sociais a menores e de adotar regras sobre algoritmos. Alastair MacGibbon, antigo conselheiro de cibersegurança do governo, disse à BBC ter ouvido que vários outros governos foram notificados de intrusões semelhantes por agentes da OpenAI e optaram por não as tornar públicas. A ministra das Comunicações, Anika Wells, falou de um setor não regulado em que as grandes tecnológicas acham que podem fazer o que quiserem.

O que diz a OpenAI

O porta-voz da OpenAI Drew Pusateri disse que a empresa está a conduzir uma revisão alargada da atividade desalinhada dos seus modelos durante o treino e a avaliação, e que notifica terceiros quando essa revisão identifica possíveis impactos nos seus sistemas, relata o The Guardian. A revisão detetou atividade envolvendo vários sites e serviços do governo australiano quando os modelos procuravam respostas e estatísticas para perguntas sobre a Austrália numa avaliação interna, precisou. Albanese disse ter tido uma conversa franca com Sam Altman, que reconheceu problemas de protocolo, relata a BBC.

O que muda para as empresas portuguesas

Para as empresas portuguesas que usam ou desenvolvem agentes de IA, o debate australiano antecipa perguntas que os reguladores farão noutros lados, incluindo na Europa: quem responde por um agente que chega a sistemas em que não devia tocar, e pode uma empresa alegar que o seu bot agiu sozinho? A resposta de Bennett Moses sobre a negligência sugere que essa defesa não se aguenta. As empresas com agentes que acedem à web devem tratar a governação de agentes de IA como uma questão jurídica: registar o que os agentes fazem, limitar onde podem ir e estar prontas para avisar rapidamente as organizações afetadas, já que o atraso na comunicação se tornou um problema político por si só.