Agentes de IA nas empresas: Governança, limites e responsabilidade

A discussão jurídica sobre inteligência artificial dentro das empresas está mudando de patamar.

Até recentemente, o principal foco estava no uso da IA pelos colaboradores: proteção de dados pessoais, confidencialidade, propriedade intelectual, segurança da informação, uso de ferramentas não homologadas e revisão humana de conteúdos produzidos por sistemas generativos.

Esses temas continuam relevantes.

Mas surge agora uma questão juridicamente mais complexa: o que ocorre quando a inteligência artificial deixa de apenas auxiliar uma pessoa e passa a executar atos dentro da organização?

É exatamente esse o cenário trazido pelos chamados agentes de inteligência artificial.

Da ferramenta de apoio ao agente executor

A diferença entre uma ferramenta tradicional de IA generativa e um agente autônomo não é meramente tecnológica.

Ela possui consequências jurídicas importantes.

Em um modelo tradicional, o usuário consulta a ferramenta, recebe uma resposta e decide o que fazer.

Em arquiteturas baseadas em agentes, a inteligência artificial pode receber autorização para acessar sistemas, consultar dados, gerar documentos, executar comandos, iniciar fluxos internos, encaminhar comunicações e interagir com aplicações corporativas.

Em determinadas situações, poderá inclusive praticar atos com consequências econômicas, operacionais ou jurídicas.

Nesse momento, a pergunta deixa de ser apenas: "Como nossos empregados podem utilizar inteligência artificial?".

E passa a ser: "Quais atos um agente de IA está autorizado a praticar em nome da empresa?".

Essa mudança exige revisão significativa dos modelos atuais de governança.

Autorização, poderes e limites de atuação

Sob uma perspectiva jurídica, talvez seja inadequado tratar agentes de IA simplesmente como mais uma ferramenta de software.

Quando um sistema recebe capacidade de agir dentro de uma organização, surge uma questão fundamental de atribuição de poderes.

Quem autorizou aquele agente?

Para praticar quais atos?

Em quais sistemas?

Com acesso a quais dados?

Dentro de quais limites?

Com qual nível de supervisão?

Embora a inteligência artificial não possua personalidade jurídica própria, os efeitos de suas ações podem produzir consequências jurídicas para a organização.

Por isso, a governança empresarial deverá estabelecer uma espécie de matriz de competências digitais.

Cada agente deveria possuir finalidade definida, escopo delimitado, permissões específicas e responsável interno claramente identificado.

Em outras palavras: se uma empresa concede a um agente um verdadeiro "crachá digital", precisa determinar exatamente quais portas esse crachá poderá abrir.

O problema da responsabilidade jurídica

Talvez o ponto mais sensível esteja na responsabilidade decorrente dos atos praticados pelo agente.

Imagine um sistema autorizado a:

• Enviar uma comunicação contratual;
• Cadastrar um fornecedor;
• Aprovar determinada etapa de processo;
• Consultar dados pessoais;
• Acessar informações sigilosas;
• Gerar uma ordem de pagamento;
• Emitir uma proposta comercial.

Se o agente atuar incorretamente, dificilmente será suficiente afirmar que "a inteligência artificial tomou a decisão".

A IA não possui patrimônio próprio nem responde juridicamente de forma autônoma pelos danos decorrentes de sua atuação.

A análise tende a retornar à estrutura empresarial.

Será necessário verificar, entre outros elementos, quem implementou o sistema, quem autorizou suas permissões, quais controles foram adotados, se havia supervisão adequada e se o risco era previsível.

Nesse contexto, a autonomia tecnológica não elimina responsabilidade.

Ao contrário.

Quanto maior a autonomia concedida ao agente, maior tende a ser a exigência de governança, controle e rastreabilidade.

Dever de diligência e governança

O tema também se conecta diretamente aos deveres de diligência e à governança corporativa.

Administradores e gestores não precisam necessariamente compreender cada detalhe técnico dos modelos utilizados pela organização.

Mas precisam garantir que sistemas capazes de produzir impactos relevantes estejam submetidos a mecanismos adequados de controle.

Isso significa que a implementação empresarial de agentes de IA não deveria ser uma decisão exclusivamente da área de tecnologia.

Dependendo da criticidade do sistema, deveriam participar também: jurídico, compliance, segurança da informação, proteção de dados, auditoria, controles internos e a área de negócio responsável pelo processo.

A questão central é simples: autonomia sem governança pode converter eficiência operacional em risco jurídico.

Identidade e controle de acesso dos agentes

Há ainda um ponto frequentemente subestimado: a identidade digital dos próprios agentes.

Empresas maduras adotam procedimentos rigorosos para concessão de acessos a colaboradores.

Existem perfis, níveis de permissão, autenticação, segregação de funções, revisão periódica e cancelamento de credenciais no desligamento.

Agentes de inteligência artificial deveriam seguir lógica semelhante.

Cada agente deveria possuir identidade individualizada e permissões compatíveis exclusivamente com sua finalidade.

É a aplicação do conhecido princípio do menor privilégio.

Um agente criado para consultar contratos, por exemplo, não deveria possuir autorização para excluir documentos.

Um agente destinado a analisar fornecedores não deveria automaticamente possuir capacidade para cadastrá-los ou aprová-los.

Um agente responsável por elaborar pagamentos não deveria necessariamente ser autorizado a executá-los.

Aqui, princípios tradicionais de controles internos e segregação de funções passam a ser aplicados também às inteligências artificiais.

Logs e rastreabilidade como elementos jurídicos

Outro componente essencial será a capacidade de reconstruir aquilo que ocorreu.

Se um agente praticar determinado ato, a empresa deverá conseguir identificar:

• Qual agente realizou a ação;
• Quando ela ocorreu;
• Quais informações foram consideradas;
• Quais sistemas foram acessados;
• Qual instrução originou a execução;
• Quais permissões estavam ativas;
• Se houve validação humana;
• Qual área era responsável pelo agente.

Os logs deixam de ser apenas elementos técnicos.

Em determinadas situações, poderão se tornar importantes meios de prova.

Sem registros adequados, a organização poderá enfrentar dificuldades para demonstrar diligência, identificar responsabilidades ou reconstruir incidentes.

Uma estrutura mínima de governança

Antes de colocar um agente de IA em produção, algumas perguntas deveriam ser formalmente respondidas:

Qual é a finalidade do agente?

Quais atos ele está autorizado a praticar?

Quais dados poderá acessar?

Quais sistemas poderá utilizar?

Quais atos dependem obrigatoriamente de autorização humana?

Quais riscos decorrem de eventual erro?

Quem é o responsável interno pelo agente?

Como suas ações serão auditadas?

Como seus acessos poderão ser interrompidos imediatamente?

Essa análise pode fazer parte de um modelo mais amplo de AI Governance e Compliance by Design.

O objetivo não deve ser criar burocracia tecnológica.

Deve ser garantir que a autonomia concedida às máquinas seja proporcional aos controles implementados pela organização.

O próximo desafio do Direito empresarial

A discussão sobre inteligência artificial corporativa começou com políticas de uso.

Depois avançou para proteção de dados, segurança da informação, propriedade intelectual e contratação de fornecedores de tecnologia.

Agora chega a uma nova etapa.

Empresas terão de estabelecer quem pode criar agentes de IA, quais poderes esses agentes poderão receber e quem responderá pelos atos praticados dentro da organização.

Esse debate aproxima ainda mais Direito, compliance, tecnologia e governança corporativa.

A pergunta jurídica do próximo ciclo da inteligência artificial talvez não seja mais: "A empresa utiliza IA?".

Mas sim: "Quem autorizou a IA a agir em nome da empresa, dentro de quais limites e sob responsabilidade de quem?".

Essa diferença, aparentemente pequena, pode definir a fronteira entre automação eficiente e exposição jurídica relevante.