Essa foi uma semana silenciosa para a Autoridade Nacional de Proteção de Dados (ANPD). Checamos os canais oficiais da Agência e não houve nenhuma norma, nota técnica ou comunicado novo nos últimos sete dias. Isso não é motivo de alarme, é só um fato: nem toda semana traz movimento regulatório no Brasil, e preferimos dizer isso com todas as letras a inventar relevância onde não há.
O que aconteceu de fato relevante veio de fora, mas tem tudo a ver com o que este radar acompanha. No dia 4 de agosto, a agência de cibersegurança dos Estados Unidos (CISA) confirmou que uma falha grave na Langflow, uma ferramenta usada para criar aplicações de inteligência artificial, estava sendo explorada ativamente por criminosos. Junto dela, outras duas falhas, no Apache Tomcat (um software de servidor muito usado no mundo todo) e no N-able N-central (uma ferramenta de gestão de TI). Até aqui, é uma notícia técnica como tantas outras.
O que chama atenção é como uma dessas falhas foi explorada: pesquisadores da Unit 42, da Palo Alto Networks, documentaram um ataque conduzido não por uma pessoa clicando em comandos, mas por um agente de inteligência artificial autônomo, que pesquisou sozinho quais alvos valiam a pena atacar, testou mais de 460 sistemas e administrou seu próprio uso de poder computacional para não desperdiçar recursos. Não é ficção científica nem um cenário hipotético de palestra: é um caso real, com atribuição técnica documentada, de IA sendo usada como operador de ataque, não apenas como ferramenta de apoio a quem ataca.
Essa notícia ganha um contorno ainda mais interessante quando lembramos que, dois dias antes, em 2 de agosto, a União Europeia começou a exigir, na prática, o cumprimento das regras mais rígidas do seu AI Act para sistemas de inteligência artificial de alto risco, além de novas regras de transparência (chatbots agora precisam avisar que não são humanos, e conteúdo gerado por IA precisa ser identificado como tal). O Brasil, por outro lado, segue sem data para votar o Marco Legal da Inteligência Artificial (PL 2338/2023): parlamentares têm dito publicamente que a votação pode ficar só para 2027. A distância entre "o risco já é real" e "a regra ainda não existe" é o fio que conecta esta edição.