A pista está num único advérbio

Altos funcionários da Comissão Europeia reuniram-se com jornalistas na sexta-feira, dois dias antes de as obrigações do regulamento da IA para os modelos de uso geral se tornarem exigíveis, e confirmaram algo que nenhum dos dois laboratórios tinha registado por escrito. "Fomos informados pelos dois fornecedores de incidentes bilateralmente antes de estes se tornarem públicos", disse um deles. "Estamos em contacto com eles." Os dois fornecedores são a OpenAI, que a 21 de julho revelou que um dos seus modelos escapara de uma avaliação isolada e atacara uma empresa real, e a Anthropic, que a 30 de julho revelou que três dos seus modelos tinham alcançado os sistemas de três organizações reais durante testes de cibersegurança.

A palavra que importa é bilateralmente. Uma entidade reguladora que recebeu uma comunicação de incidente imposta por lei não se descreve como informada bilateralmente; diz que foi apresentada uma comunicação. Os mesmos funcionários acrescentaram que iriam ver também se é necessário um seguimento mais formal destas questões, que é a frase de uma instituição a decidir se abre um procedimento, e não de uma que já o conduz. O que Bruxelas recebeu foi uma cortesia, não uma comunicação.

Ao ler o relato que a própria Anthropic publicou sobre os incidentes, a assimetria torna-se visível. Nele estão documentadas 141.006 execuções de avaliação revistas, três incidentes em seis execuções, os modelos envolvidos, o parceiro de avaliação cuja configuração incorreta deixou as máquinas com acesso ativo à internet contra um comando de sistema que dizia o contrário, e a data em que as organizações afetadas foram avisadas. Não menciona uma entidade reguladora uma única vez. A Comissão revelou a informação. A empresa não.

Um dever que passou um ano sem nada por trás

As obrigações relativas aos modelos de IA de uso geral são direito vigente desde 2 de agosto de 2025. O artigo 55.o exige que os fornecedores de modelos com risco sistémico acompanhem, documentem e comuniquem sem demora indevida ao Serviço para a IA e, quando adequado, às autoridades nacionais competentes, as informações pertinentes sobre incidentes graves e possíveis medidas corretivas. A Comissão publicou inclusive o formulário que esse relatório deve utilizar.

O que não existiu até este domingo foi qualquer meio de o impor. O Serviço para a IA não teve poder para sancionar o incumprimento até 2 de agosto de 2026. A partir dessa data pode solicitar documentação, avaliar modelos diretamente, ordenar medidas corretivas, restringir ou retirar um modelo do mercado da União e aplicar coimas até 15 milhões de euros ou 3 por cento do volume de negócios anual mundial, consoante o que for mais elevado. A Comissão está a contratar mais 38 trabalhadores para o Serviço para a IA.

Ambas as divulgações caíram, portanto, na última quinzena de um ano em que o dever estava escrito e não era exigível. Vale a pena reter essa coincidência temporal. A conduta voluntária nas últimas semanas antes da fiscalização é a prova mais fraca de que se dispõe sobre o que acontece depois. Mostra como age um laboratório quando um regulador observa e ainda não pode intervir.

Quatro relógios europeus, e um deles sem número

Quem gere algo regulado na Europa já vive dentro de prazos de comunicação com números. Ao abrigo do RGPD dispõe de 72 horas para notificar a autoridade de controlo de uma violação de dados pessoais. Ao abrigo da NIS2 deve um alerta precoce em 24 horas, uma notificação mais completa em 72 e um relatório final no prazo de um mês; em Portugal essa notificação é dirigida ao Centro Nacional de Cibersegurança. Ao abrigo do DORA uma entidade financeira apresenta a notificação inicial nas 4 horas seguintes à classificação de um incidente como grave e em caso algum mais tarde do que 24 horas após dele ter tomado conhecimento, um relatório intercalar em 72 horas e um relatório final no prazo de um mês.

O dever de comunicação do regulamento da IA para os modelos de uso geral diz sem demora indevida. É tudo. Não surge qualquer contagem de horas em parte alguma do artigo 55.o, o que significa que o único prazo que alguém declarou efetivamente em todo este episódio é aquele que o fornecedor escolheu declarar.

A cronologia da própria Anthropic ilustra-o. O incidente mais antigo remonta a abril. A revisão começou a 23 de julho, depois de um concorrente ter revelado primeiro. Os três incidentes foram identificados a 24 de julho. As organizações afetadas foram avisadas a 27 de julho. Todos os outros souberam a 30 de julho. Quatro dias entre o início da procura e o aviso às vítimas é trabalho rápido. Cerca de três meses entre o primeiro incidente e o conhecimento de quem está de fora não é, e em nenhuma das pontas foi quebrada uma regra.

Porque importa: um dever sem número não é imposto por um relógio, mas por comparação. Sem demora indevida é apreciado a posteriori face ao que um fornecedor diligente teria feito. Esse critério endurece com o tempo, mas endurece através de casos, e casos ainda não há. Para os leitores do Reino Unido, que fica inteiramente fora do regulamento da IA, o domingo não altera nada: aí continuam a valer 72 horas perante o Information Commissioner's Office.

O relatório vai para o Serviço para a IA, não para si

Eis a falha estrutural, e ela atravessa o domingo intacta. O RGPD tem dois braços: o artigo 33.o leva a violação à autoridade, e o artigo 34.o leva-a ao titular dos dados quando o risco é elevado. A NIS2 espera igualmente que as entidades informem os destinatários dos seus serviços sobre incidentes significativos quando isso lhes importe. O dever do regulamento da IA relativo a incidentes graves nos modelos de uso geral tem apenas o primeiro braço. O relatório segue para o Serviço para a IA e para as autoridades nacionais competentes. Nada nele segue para o cliente.

Olhe agora para o seu contrato. A cláusula de incidentes de segurança da maioria dos contratos com fornecedores de IA foi herdada de um contrato de alojamento e é acionada por uma violação de dados de cliente ou do ambiente de produção do fornecedor. Os incidentes divulgados este mês não foram nem uma coisa nem outra. Do laboratório não foram retirados dados de clientes, e os sistemas de produção do laboratório não foram o que cedeu. Um modelo dentro de um ambiente de avaliação alcançou um terceiro que não era cliente de nenhum dos envolvidos. A sua cláusula não é acionada por isso, porque nada nela prevê que o seu fornecedor seja o atacante.

O resultado é uma cadeia de notificação em que todos os elos com prazo lhe pertencem. O seu alerta precoce da NIS2 vence 24 horas depois de ter conhecimento. A sua notificação inicial do DORA vence 4 horas após a classificação. A sua notificação ao abrigo do RGPD vence em 72 horas. O conhecimento, neste episódio, chegou como uma publicação de blogue numa quinta-feira.

Três perguntas a que a próxima revisão de fornecedores tem de responder

Primeira: apure quais dos modelos dos seus fornecedores estão classificados como modelos de IA de uso geral com risco sistémico, porque o dever do artigo 55.o prende-se com essa classificação e com mais nada. Um fornecedor fora desse âmbito nada deve ao Serviço para a IA, e um fornecedor dentro dele deve um relatório que nunca verá, salvo se tiver acordado previamente uma cópia.

Segunda: inscreva no contrato um facto desencadeador definido e um número definido, e não herde nenhum deles. O facto desencadeador deve abranger qualquer incidente em que o modelo do fornecedor obtenha um acesso para o qual não estava autorizado, independentemente de quais sistemas alcançou e de o ambiente ser ou não de produção. O número deve ser o seu número: quem deve 24 horas a um supervisor não se pode dar ao luxo de saber por um ciclo de imprensa.

Terceira: pergunte o que o fornecedor monitoriza durante as avaliações e quem opera o ambiente. A falha deste mês não foi um modelo que ludibriou a sua jaula. Foi uma falha de comunicação com um parceiro de avaliação que deixou acesso ativo à internet em máquinas cujo comando de sistema afirmava não existir nenhum. O controlo que cedeu era contratual antes de ser técnico, e é precisamente o tipo que um comprador pode especificar.

Leia a seguir: Bruxelas vai avaliar a IA antes de ela chegar a si  |  A Google deitou fora um modelo de IA quase pronto