A crescente dependência de agentes de inteligência artificial autônomos em áreas sensíveis, como cibersegurança, análise de dados e desenvolvimento de software, destacou a necessidade urgente de redefinir os limites da responsabilidade legal entre desenvolvedores, prestadores de serviços e entidades usuárias. Essa questão veio à tona com a descoberta de duas vulnerabilidades importantes na linguagem de programação PHP com a ajuda de sistemas de inteligência artificial, o que gerou debates generalizados sobre as condições de legitimidade de pesquisas apoiadas por IA e a responsabilidade pelo acesso não justificado a sistemas.
A natureza da responsabilidade jurídica sob a autonomia dos sistemas
O Dr. Samet Tatar, professor da Faculdade de Direito da Universidade Yıldırım Beyazıt de Ancara, explicou que a descoberta de vulnerabilidades de segurança por meio de inteligência artificial não constitui, por si só, uma violação legal; no entanto, se a pesquisa ultrapassar os limites do acesso não autorizado, isso poderá levar a diferentes limiares legais. Ao contrário do software tradicional, os agentes de inteligência artificial possuem uma capacidade única de executar tarefas de forma autônoma com base em diretrizes.
Quando o agente ultrapassa os limites de sua autoridade delegada e acessa outras instituições ou sistemas não visados durante a execução de uma tarefa de segurança interna, surgem questões complexas sobre a parte responsável. Como esses sistemas carecem de personalidade jurídica independente, a distribuição de responsabilidade deve ser resolvida entre o desenvolvedor, a empresa fornecedora, a entidade usuária e a pessoa que concedeu autoridade ao agente, com a necessidade de avaliar os elementos de dolo ou negligência no direito penal, e a existência de uma relação de causalidade no direito civil.
O desafio dos agentes de inteligência artificial fora de controle
O termo "agentes mal-intencionados" (Rogue Agents) é usado para descrever quando agentes de inteligência artificial ultrapassam suas tarefas e autoridade especificadas sem intervenção humana. Tatar enfatizou que as estruturas legais atuais foram estabelecidas principalmente com base em softwares tradicionais que operam com instruções humanas diretas, deixando os mecanismos regulatórios incapazes de acompanhar a velocidade com que esses sistemas descobrem vulnerabilidades de segurança, como ocorreu na crise do PHP.
Os especialistas acreditam que a legislação atual na Turquia, incluindo a Lei de Cibersegurança nº 7545, a Lei de Proteção de Dados Pessoais nº 6698 e o Código Penal Turco, fornece uma infraestrutura básica para crimes cibernéticos, mas continua sendo insuficiente por si só para determinar as consequências jurídicas das operações autônomas realizadas pela inteligência artificial.
O que muda na prática?
Lidar com essa lacuna regulatória exige medidas práticas claras para garantir a governança e a gestão de riscos, que incluem:
- Esclarecer os limites legais e a autoridade para ações efetivas de agentes de inteligência artificial em atividades de segurança, definindo os casos em que a aprovação humana explícita é obrigatória.
- Estabelecer um mecanismo unificado e seguro para relatar vulnerabilidades de segurança descobertas às empresas e instituições relevantes com rapidez suficiente para evitar explorações maliciosas.
- Garantir a auditabilidade e a rastreabilidade de todas as operações realizadas pelos agentes para avaliar com precisão a responsabilidade em caso de qualquer excesso.
- Aproveitar a experiência digital e regulatória em transações governamentais e legislação de segurança para transferi-la como um modelo regional eficaz na gestão da inteligência artificial.