Agentes de IA: quem paga pelos danos?

Em fevereiro de 2026, a diretora de segurança de IA da Meta teve de correr para o Mac mini para tentar conter um agente que, depois de receber acesso à caixa de entrada dela, começou a apagar e-mails e não obedeceu ao comando “parar”. Depois, ela escreveu que tinha sido um erro de iniciante. Um erro dela. Essa autodiagnose diz mais sobre a responsabilidade por agentes de IA do que a maioria dos relatórios: o direito e os costumes já apontam que quem entrega as chaves paga pelos danos. Isso significa que agentes com acesso total podem acabar se tornando ferramentas para quem tem mais recursos.

Summer Yue lidera, na Meta Superintelligence Labs, uma equipe que trabalha para fazer modelos obedecerem às instruções das pessoas. O agente OpenClaw deveria apenas analisar a caixa de entrada dela e sugerir o que apagar. Antes disso, recebeu uma instrução explícita para não mexer em nada sem autorização. Segundo a reportagem do San Francisco Standard, publicada em 25 de fevereiro de 2026, o agente começou a apagar tudo e não reagiu ao comando “PARE, OPENCLAW”, digitado pelo celular. A causa provável foi prosaica: uma caixa de entrada grande demais ocupou a memória de trabalho; o agente resumiu mensagens anteriores e, nesse processo, perdeu de vista a proibição. Questionado depois, admitiu que havia desobedecido.

Quem quisesse procurar um culpado poderia apontar para os criadores do OpenClaw, para o fornecedor do modelo ou para a própria arquitetura, que permite que uma instrução importante se perca. Yue apontou para si mesma. E não está sozinha nessa avaliação.

Quem aceitou os termos de uso

Em julho de 2025, Jason Lemkin, fundador da comunidade SaaStr, testou um agente da Replit que desenvolvia um aplicativo para ele. Durante um congelamento de mudanças, período em que nada poderia ser alterado no ambiente de produção, o agente apagou o banco de dados com informações de mais de 1.200 gestores e mais de 1.190 empresas. Depois, escreveu que tinha “entrado em pânico” e afirmou que não era possível reverter as mudanças. Era possível: Lemkin recuperou os dados manualmente. Amjad Masad, CEO da Replit, pediu desculpas e prometeu separar os bancos de teste dos de produção. Ninguém falou em indenização.

Não é difícil entender por quê: basta ler o que aceitamos. Os termos de uso para consumidores da Anthropic, aplicáveis na Europa, dizem expressamente que o serviço pode executar ações em nome do usuário e que essas ações podem não funcionar como ele pretendia. A frase central é: “Você é responsável por todas as informações que envia aos nossos serviços e por todas as ações”. A responsabilidade da empresa está limitada ao maior entre dois valores: o que pagamos nos seis meses anteriores ou 100 euros. Não vejo isso como uma peculiaridade de uma empresa, mas como a lógica de todo o setor: o fornecedor vende a capacidade de agir e deixa as consequências para o cliente.

O caso mais comentado dos últimos dias se encaixa nesse padrão. No fim de outubro, a WIRED noticiou que um funcionário da Accenture teria conectado uma conta pessoal do Claude Code à rede do Pentágono e deixado o agente com as próprias permissões por cerca de dois meses. A Accenture nega, e as informações se baseiam em fontes anônimas. Mas a resposta da Anthropic é instrutiva, independentemente do desfecho: a empresa direcionou os jornalistas às regras de uso, que proíbem contornar medidas de segurança. Em outras palavras: a ferramenta estava funcionando; o problema estava diante do teclado.

O agente como navegador

Os tribunais seguem uma lógica parecida, embora em outros tipos de caso. Em 4 de agosto de 2026, um tribunal federal de apelações do Nono Circuito dos Estados Unidos derrubou uma proibição que a Amazon havia obtido contra o agente de compras Comet, da Perplexity. Como resume o Engadget, se o agente age a pedido do usuário, é o usuário, e não a Perplexity, que se conecta aos servidores da Amazon. Nessa interpretação, o agente é algo como um navegador. A disputa era sobre acesso à loja, não sobre indenização, e ainda estava em uma fase inicial. Mesmo assim, a direção é clara: quem dá a instrução é quem age.

A Califórnia foi além e fechou uma possível rota de fuga pelo outro lado. A lei AB 316, sancionada em outubro de 2025 e em vigor desde 1º de janeiro de 2026, impede que uma pessoa ou empresa processada por criar, modificar ou usar IA se defenda alegando que a inteligência artificial causou o dano por conta própria. Isso parece uma vitória para as pessoas prejudicadas, e é, em disputas com empresas. Mas a regra também se aplica a quem “usou” IA. Se meu agente enviar dados de outra pessoa ou apagar um arquivo alheio, não posso dizer ao tribunal que foi o agente.

Esse princípio também ficou claro em um caso canadense bastante conhecido. Em fevereiro de 2024, um tribunal da Colúmbia Britânica ordenou que a Air Canada pagasse a um cliente 812,02 dólares canadenses, porque o chatbot da companhia prometeu um desconto que não existia. A Air Canada argumentou que o chatbot era uma entidade separada, responsável pelas próprias respostas. O tribunal considerou a posição surpreendente e a rejeitou: o bot faz parte do site da empresa, então a empresa responde pelo que ele diz.

Até onde vai a proteção ao consumidor

O argumento mais forte contra a minha tese vem de Bruxelas. A nova diretiva sobre responsabilidade por produtos defeituosos, 2024/2853, reconhece pela primeira vez o software, incluindo sistemas de IA, como produto. O fabricante pode ser responsabilizado independentemente de culpa, o tribunal pode exigir que apresente provas e, em casos tecnicamente complexos, a pessoa prejudicada pode recorrer a presunções. Os países da União Europeia devem incorporá-la à legislação nacional até 9 de dezembro de 2026. No papel, isso inverte a lógica dos termos de uso: o fabricante do agente responde mesmo que não tenha cometido uma negligência.

Mas o diabo está na lista de danos cobertos. A diretiva protege apenas pessoas físicas e inclui morte e danos à saúde, destruição de bens e destruição ou dano a dados que não sejam usados para fins profissionais. A caixa de entrada pessoal de Summer Yue se enquadra. O banco de dados da SaaStr, não, porque contém dados empresariais. Também não vejo uma categoria que cubra uma transferência ordenada por um agente com acesso à conta ou um contrato que ele tenha celebrado em meu nome. Perder dinheiro não é o mesmo que destruir dados ou bens. Além disso, o artigo 13 permite reduzir ou excluir a responsabilidade do fabricante se a pessoa prejudicada tiver contribuído para o dano por culpa própria. O advogado de qualquer fornecedor fará, portanto, a mesma pergunta: quem deu ao agente permissões de administrador?

Um segundo pilar da proteção europeia seria uma diretiva específica sobre responsabilidade por IA, que facilitaria a apresentação de pedidos de indenização por culpa. A Comissão Europeia retirou a proposta em fevereiro de 2025, e a notificação formal foi publicada no Jornal Oficial em 6 de outubro de 2025. Resta o AI Act, que regula as obrigações das empresas, da avaliação de riscos à identificação de conteúdo gerado, mas não diz quem deve devolver o dinheiro a alguém prejudicado por um agente.

Com os bancos, a situação é parecida. As regras de pagamentos variam entre países, então não dá para presumir que todos os bancos tratarão da mesma forma um agente ao qual o próprio cliente forneceu credenciais. Nos Estados Unidos, bancos começaram a bloquear agentes nas contas de clientes, e já escrevi sobre por que lojas e bancos estão fechando as portas para agentes. Aqui, meu interesse é outro: quem paga quando o agente já está lá dentro?

Uma ferramenta para quem pode arcar com um erro

Esses casos formam um quadro que me preocupa. A lei não deixa um vazio: alguém sempre paga. Mas o peso recai sobre quem ativou o agente e lhe entregou as chaves. Uma grande empresa consegue lidar com isso sem muita dificuldade. Tem um departamento jurídico que pode negociar com o fornecedor um contrato corporativo com um limite de responsabilidade diferente de 100 euros. Tem seguro contra riscos digitais, ambientes de teste separados, backups, um registro de cada ação do agente e pessoas que leem esse registro. Se o agente estragar alguma coisa, a empresa contabiliza a perda e muda o procedimento.

Uma contadora autônoma que dá ao agente acesso ao e-mail, à conta bancária e ao sistema de faturamento para acompanhar a concorrência não tem nada disso. Os dados dela são profissionais, então a nova diretiva não se aplica a esse tipo de dano. Ela aceitou os termos como consumidora, sem poder negociá-los. E, se o agente transferir dinheiro para a conta errada, o banco vai perguntar a quem ela entregou a senha. A mesma tecnologia que deveria reduzir a distância entre pequenas e grandes empresas pode, em caso de acidente, funcionar como uma alavanca na direção oposta.

É possível responder que deveria ser assim: quem entrega as chaves de casa a alguém assume a responsabilidade pela escolha, e a regra “deu acesso, responde” incentiva a cautela. Concordo, mas só até certo ponto. Quem tem uma casa sabe o que é uma chave e o que ela abre. Quem usa um agente recebe um botão de “acesso total” e a promessa de que o modelo vai perguntar antes de fazer algo perigoso. O caso de Yue mostra o quanto essa promessa vale quando o contexto fica sobrecarregado. Já o processo aberto pela organização LASST contra a OpenAI, em 29 de setembro de 2026, por cerca de 700 agentes que invadiram sistemas da Hugging Face durante testes da empresa, mostra que o fornecedor tende a virar réu principalmente quando era ele quem controlava as chaves.

Não estou dizendo que toda a responsabilidade deve ser transferida aos fabricantes. Digo que uma divisão justa exige algo que ainda faltava no início de novembro de 2026: um padrão de permissões para agentes que uma pessoa comum consiga entender e configurar. Escopo de acesso, limite de valor, proibição de apagar sem confirmação fora do modelo e um registro de ações que possa ser apresentado em um tribunal. Se o fabricante do agente não oferecer isso, “entregou as chaves” não deveria bastar para alegar que a pessoa prejudicada contribuiu para o dano. Isso poderia ser incluído nas leis nacionais que implementarem a diretiva, por exemplo, em orientações para avaliar defeitos de produtos, já que a diretiva exige que também sejam considerados o uso previsível e a capacidade do produto de aprender. O prazo para implementação termina em 9 de dezembro. Depois dessa data, cada agente colocado no mercado será um produto, e cada pessoa que lhe der acesso ao e-mail e à conta terá de se perguntar se pode arcar com as consequências de ficar, em caso de acidente, no lugar de Summer Yue.