A Agência Espanhola de Proteção de Dados (AEPD) recebeu a primeira notificação de violação de dados causada por um agente de inteligência artificial. O sistema usou um modelo de linguagem para encontrar vulnerabilidades, acessar uma aplicação, alterar dados pessoais e consultar faturas. A investigação ainda está em andamento.

Segundo a AEPD, o uso do modelo de IA não indica comprometimento da tecnologia ou do fornecedor. O advogado Lucas Paglia explica que a IA não age por vontade própria, mas cumpre objetivos definidos por humanos, com autonomia para escolher caminhos, mas sob orientação humana.

A diferença está na capacidade do agente de executar várias etapas sem supervisão constante. Ele pode identificar falhas, testar alternativas e adaptar sua atuação. A autoridade espanhola alerta que a IA amplia a velocidade e a escala de ataques já conhecidos, sem criar novas ameaças.

O caso levanta questões sobre responsabilidade e controle. É fundamental identificar quem definiu o objetivo, quais limites foram estabelecidos e quem supervisionou a operação. Também é preciso avaliar se medidas suficientes foram adotadas para mitigar riscos e evitar danos maiores.

Paglia destaca que sistemas de alto risco precisam de limites, supervisão humana e mecanismos claros de controle. A classificação por níveis de risco ajuda a definir exigências proporcionais à autonomia e ao potencial de dano, garantindo registros e possibilidade de intervenção.

Para empresas brasileiras, o alerta é imediato. Antes de usar agentes de IA, é necessário definir permissões, restringir acessos, manter registros das ações e estabelecer quem pode interromper a ferramenta. Sem essa estrutura, o uso da tecnologia pode gerar riscos jurídicos e reputacionais.

Além da cibersegurança, o episódio reforça a importância da governança e da conformidade regulatória. Políticas claras, treinamento e monitoramento constante são essenciais para o uso seguro e responsável da inteligência artificial nas organizações.

O advogado Lucas Paglia está disponível para entrevistas sobre o caso, destacando a diferença entre autonomia operacional e vontade própria da IA, os limites da LGPD e as medidas para reduzir riscos. O debate sobre o uso ético da IA ganha força com esse episódio.

A experiência espanhola serve de alerta global para a necessidade de regulamentação eficaz. Organizações devem estabelecer controles, supervisão e responsabilidade claras para garantir inovação segura e proteção dos dados pessoais.