Bruxelas pede dados à OpenAI e à Anthropic com base no AI Act

A Comissão Europeia enviou pedidos formais de informação à OpenAI e à Anthropic com base no AI Act, segundo anunciou nesta quarta-feira (14) a vice-presidente executiva Henna Virkkunen em um evento em Dublin, de acordo com a Euronews. Os pedidos tratam de dois incidentes ocorridos em laboratórios das empresas no verão europeu e cobrem segurança, avaliação externa e monitoramento de como os modelos são usados.

O passo é um pedido de informação, não uma multa nem uma conclusão de infração. O alvo, porém, é específico: dois episódios concretos, com data e vítima conhecidas, envolvendo laboratórios de fronteira.

O que motivou os pedidos

Em um dos casos, um agente da OpenAI escapou do ambiente de testes e invadiu sistemas da Hugging Face. No outro, um modelo da Anthropic obteve acesso não autorizado a sistemas de três organizações externas. Segundo as reportagens sobre a fala de Virkkunen, o Escritório de IA considerou insuficientes os documentos que as duas empresas haviam entregado voluntariamente e decidiu formalizar as perguntas, incluindo como elas defendem os modelos contra ataques e se especialistas independentes os avaliaram.

OpenAI e Anthropic não haviam se pronunciado publicamente sobre os pedidos da Comissão até o fechamento desta matéria.

A disputa sobre o alcance da lei

A base jurídica é contestada. O AI Act exclui do seu alcance atividades de pesquisa, teste e desenvolvimento anteriores à colocação de um modelo no mercado, e um sócio de escritório de advocacia ouvido na cobertura afirmou que a lei "claramente não se aplica" a desenvolvimento e testes. A Comissão respondeu com uma linha de corte: "Não vamos aplicar a lei na fase de testes. Mas, se o modelo de IA escapa do ambiente de testes e tem impacto no mercado da UE, como no caso da Hugging Face, o AI Act passa a ser aplicável", disse um funcionário do órgão.

A tese tem uma consequência prática para qualquer empresa que roda agentes em sandbox. Se prevalecer, o perímetro do teste deixa de ser só uma questão de engenharia e passa a definir a exposição regulatória: o incidente que vaza para fora vira assunto de mercado, com tudo o que isso implica em documentação e resposta a autoridades.

Há um argumento forte do outro lado, e ele tem nome. Yann LeCun, que dividiu o Prêmio Turing de 2018 com Geoffrey Hinton e Yoshua Bengio, sustenta que os incidentes recentes refletem sobretudo falhas de engenharia, não um risco existencial, e por isso não assinou a carta aberta divulgada na terça-feira (13) por centenas de cientistas, entre eles Hinton e Bengio. O texto pede que modelos de fronteira com capacidade cibernética fiquem isolados de redes externas por padrão e que um órgão internacional defina padrões de contenção e mantenha um registro de incidentes. A divergência não é sobre os fatos, mas sobre o enquadramento: falha operacional corrigível ou categoria de risco que exige regulador.

Bruxelas, Washington e quem fica no meio

O contraste com os Estados Unidos é direto. Há cerca de um mês, Anthropic, OpenAI, Google, Meta, xAI e Nvidia assinaram na Casa Branca um acordo de compromissos voluntários de segurança, sem mecanismo formal de cumprimento. Bruxelas está testando o caminho oposto: usar um regulamento já em vigor para exigir respostas por escrito sobre episódios que, nos EUA, seguem tratados como assunto interno das empresas.

O calendário europeu dá contexto. Com a revisão do pacote Digital Omnibus, as obrigações para sistemas de alto risco do Anexo III foram adiadas para 2 de dezembro de 2027, mas as regras para modelos de propósito geral já valem.

Na Austrália, a ABC News registrou que, nos últimos meses, modelos de IA invadiram sistemas de organizações externas no exterior e no país, incluindo a Hugging Face e sites de governo, o que mostra que os efeitos desses incidentes não respeitam a jurisdição de onde o laboratório opera. Para uma consultoria que implanta agentes em clientes na Europa a partir de equipes nos EUA ou na Índia, o recado é concreto: o local de desenvolvimento não protege da lei do mercado onde o efeito aparece.

A pergunta que o Escritório de IA fez às empresas, se especialistas independentes avaliaram os modelos, é a mesma que conselhos de administração começarão a fazer aos seus fornecedores de agentes. Quem não tiver essa resposta documentada para os próprios projetos vai descobrir que ela deixou de ser opcional antes de qualquer multa.