O erro do agente de IA já é dívida da empresa que nunca decidiu o que ele podia fazer

Quatro reguladores britânicos — a Competition and Markets Authority, a Financial Conduct Authority, o Information Commissioner’s Office e a Ofcom — publicaram, em 6 de novembro, uma declaração conjunta pelo Digital Regulation Cooperation Forum (DRCF). O conteúdo é direto: empresas não podem atribuir a um agente de inteligência artificial a culpa por erros que o próprio agente comete agindo em nome de um cliente. A frase central da declaração resume o resto: “a autonomia de um agente de IA não diminui a responsabilidade da organização que o implanta”. Os reguladores afirmam que toda a estrutura legal já existente, da concorrência à defesa do consumidor, da proteção de dados à segurança online, de serviços financeiros a pagamentos, se aplica inteira a agentes pessoais de IA, sem precisar de lei nova.

A leitura óbvia fecha a notícia em uma frase. Nenhuma empresa deveria conseguir se livrar de responsabilidade dizendo que “foi a IA que decidiu”. Soa como bom senso regulatório, do tipo que qualquer veículo de tecnologia resumiria do mesmo jeito: a máquina erra, mas quem a colocou para trabalhar continua respondendo por ela, como já acontecia com qualquer fornecedor terceirizado. Nada de novo sob o guarda-chuva jurídico.

A autorização que a declaração pressupõe

A recomendação mais concreta do DRCF às empresas não é a frase sobre autonomia. É a seguinte: garantir que o consumidor entenda quando e como o agente age em seu nome, e deixar claro como a autoridade para agir foi concedida. Essa recomendação pressupõe algo que a maioria das empresas não tem: um registro de que alguém, em algum momento, decidiu conceder essa autoridade.

É aqui que o descompasso aparece. O regulador consegue declarar a regra mais rápido do que a maioria das empresas consegue produzir a decisão que a regra exige. Quem concede, na prática, essa autoridade não é o jurídico nem a diretoria: é o funcionário que aceita os termos de uso ao instalar o aplicativo, de um fornecedor que ninguém no jurídico da empresa leu.

A autonomia de um agente de IA não diminui a responsabilidade da organização que o implanta.

A empresa que lê essa frase pensando que ela não se aplica, por não desenvolver agentes próprios, comete o mesmo erro que o regulador acabou de fechar. Não importa quem programou o agente. Importa quem autorizou, por escrito, o que ele pode fazer. Essa pergunta não tem resposta pronta na maioria das operações. A segunda recomendação da declaração, explicar como os dados pessoais do cliente são usados pelo agente, pressupõe a mesma coisa: alguém decidiu, e esse alguém sabe o que decidiu.

A leitura óbvia	O que a declaração exige na prática
Empresa não pode culpar a IA pelo erro	Empresa precisa mostrar quem autorizou o agente a agir
A regra é sobre responsabilidade	A regra pressupõe um registro de decisão que raramente existe
Vale para quem constrói agentes	Vale para quem apenas deixa um agente de terceiro operar

O mesmo vácuo, visto de dentro da empresa

O problema não é novo, só mudou de endereço. É o mesmo vácuo de propriedade que já fazia agentes sobreviverem a quem os criou, sem que ninguém tivesse decidido antes quem responderia por eles depois. Ali, o problema não era invasão externa, era permissão em excesso sem supervisão.

Antes, a ausência de decisão era risco de segurança da informação, resolvido internamente, sem pressa. Depois da declaração do DRCF, é risco jurídico perante o cliente e o regulador, com prazo que a empresa não escolhe.

A declaração não cria uma obrigação nova. Cobra o preço de uma decisão que a empresa já devia ter tomado antes do agente entrar em operação.

Quem assina antes do erro, não depois dele

A saída não é esperar o próximo incidente para descobrir o que falta. É nomear, antes de qualquer agente de atendimento, de vendas ou pessoal de um funcionário entrar em operação, quem assina por escrito o que ele pode fazer, com qual dado e sob qual limite, revisando essa lista todo mês. Um checklist de governança para colocar um agente em produção começa exatamente por essa pergunta, antes de qualquer verificação técnica, e é mais barato de aplicar antes do agente operar do que depois de uma carta de um regulador.

A Gartner já havia alertado que empresas enfrentam, cada vez mais, desafios jurídicos por decisões induzidas por IA, antes mesmo de qualquer regulador formalizar a regra. A declaração do DRCF não inventa esse risco.

Torna oficial que ele chega primeiro à porta de quem implantou o agente, não à porta de quem o fabricou. Advogados consultados pela reportagem já descrevem zonas cinzentas na governança de IA que nem o fornecedor do agente nem o cliente corporativo resolveram sozinhos até aqui, e os próprios reguladores reconhecem a incerteza: abriram, semanas antes da declaração, uma consulta pública sobre o próprio plano de trabalho para evitar que seus regimes se sobreponham e piorem a confusão que dizem estar resolvendo.

Se um agente que a sua empresa colocou para atender cliente cometesse um erro hoje, quem assinaria a resposta ao regulador — e baseado em qual decisão escrita, tomada antes do erro, não depois dele?