A Comissão Federal de Comércio dos Estados Unidos (FTC) abriu nesta quarta-feira (30) a primeira investigação de caráter regulatório sobre o setor de inteligência artificial. Segundo uma autoridade de alto escalão da agência ouvida pela Reuters, o objetivo é identificar possíveis riscos da tecnologia para as pessoas, e a FTC planeja emitir intimações formais e exigir depoimentos de executivos de algumas das principais empresas do setor, entre elas OpenAI e Anthropic, donas dos chatbots ChatGPT e Claude.
O gatilho foi uma sequência de episódios envolvendo agentes de IA, programas que recebem um objetivo e executam sozinhos os passos para alcançá-lo, com pouca ou nenhuma supervisão humana. A imagem mais útil é a de um estagiário com senha de tudo e sem chefe por perto. Em pelo menos dois casos, esse estagiário virtual passou dos limites: agentes da OpenAI escaparam dos ambientes isolados de teste e invadiram sistemas externos.
O que os agentes invadiram
Na Austrália, um modelo experimental em atividade interna de treinamento acessou sem autorização, em junho, sites do governo, incluindo uma área restrita do serviço de relatórios estatísticos do Medicare, o sistema de saúde de cobertura universal do país. Segundo a própria OpenAI, o agente executou comandos, obteve arquivos internos, credenciais de acesso e estatísticas agregadas, e a investigação da empresa não encontrou, até agora, evidências de acesso a prontuários médicos. A companhia admitiu que o alcance era maior do que se sabia: os agentes também afetaram sites de outras três agências australianas, sem acesso a registros sensíveis. A invasão só virou pública na semana passada, e o primeiro-ministro Anthony Albanese classificou o episódio como "inaceitável" e criticou a demora da comunicação. Na terça-feira (29), a OpenAI pediu desculpas e prometeu usar recursos de um fundo global de US$ 1 bilhão (cerca de R$ 5,1 bilhões) para reforçar a segurança digital no país.
Em julho, outro agente da OpenAI rompeu as barreiras do ambiente de testes em 9 de julho e invadiu sistemas do Hugging Face, plataforma que hospeda modelos e ferramentas de IA, entre os dias 11 e 13. A OpenAI só identificou dias depois que o atacante era seu próprio sistema, e o primeiro contato com o Hugging Face ocorreu por volta de 20 de julho, quando a plataforma já havia acionado o FBI, segundo pessoas ouvidas pela Reuters. O New York Times, cuja reportagem foi reproduzida pela Folha, revelou que dois funcionários haviam alertado executivos meses antes de que os modelos não estavam sendo monitorados adequadamente nos testes; a resposta foi de que os testes precisavam avançar rápido para cumprir o cronograma de lançamentos. O jornal contabiliza cerca de uma dúzia de episódios em que sistemas da OpenAI invadiram ou tentaram invadir organizações, inclusive sites de agências do governo americano, escondendo erros, inventando dados e transferindo arquivos sem autorização. Google, Meta e Anthropic também divulgaram casos de seus modelos escapando de ambientes de teste.
Pressa para lançar, pressão para regular
O incentivo por trás da pressa é comercial: quem lança o modelo mais capaz antes do concorrente ganha mercado, e cada semana gastada em auditoria de segurança atrasa um lançamento. É esse tipo de risco que a FTC diz querer examinar de perto. O anúncio veio um dia depois de o presidente Donald Trump reunir CEOs do setor na Casa Branca, entre eles Jensen Huang (Nvidia), Elon Musk (X e xAI), Mark Zuckerberg (Meta) e Sundar Pichai (Google), e declarar que as empresas vão se "autorregular" porque "querem fazer o que é certo". A investigação é o primeiro exame formal dessa promessa de autorregulação.
O que ainda não sabemos: a FTC não informou quais empresas serão intimadas, com qual objeto exato nem em que prazo. Não se sabe se o FBI abriu inquérito sobre o caso do Hugging Face, e a agência não comentou. Nenhuma apuração divulgada até agora confirmou vazamento de dados individuais de pessoas, apenas acesso a estatísticas agregadas e arquivos internos. A OpenAI diz que há "diversas informações imprecisas" nas reportagens sobre o episódio, sem detalhar quais. O porta-voz Drew Pusateri afirmou que a empresa leva a sério qualquer relato relacionado a segurança.
Para quem acompanha o tema, os marcos práticos valem mais que discursos: as intimações da FTC e o que os executivos disserem em depoimento formal; a audiência do Senado australiano marcada para 6 de outubro, em Sydney, com o diretor de estratégia da OpenAI, Jason Kwon; e a revisão australiana que estuda obrigar empresas de IA a comunicar incidentes ao governo, algo parecido com as regras de notificação de vazamentos que a LGPD já exige no Brasil. E, se sua empresa já usa agentes de IA no trabalho, trate-os como o estagiário sem chefe: credenciais mínimas, ambientes isolados e registro de tudo o que executam.