CARTA ABERTA ASSINADA POR EMPRESAS DE IA E AS MAIORES EMPRESAS DE CIBERSEGURANÇA DO MUNDO
Em uma iniciativa inédita publicada originalmente nos canais oficiais da OpenAI e compartilhada por líderes globais de tecnologia, mais de 100 organizações, incluindo gigantes de IA como OpenAI, Anthropic, Google, Microsoft, AWS, e referências em cibersegurança como Akamai, Cisco, Cloudflare, CrowdStrike, Fortinet, Palo Alto Networks e Trend Micro, além de corporações como General Motors e Mastercard — assinaram uma carta aberta que passa a vigorar de forma imediata como um compromisso do setor privado. Embora voltada a engajar governos e órgãos públicos no financiamento e na coordenação dessa defesa, a iniciativa traz um alerta urgente de ação imediata: “nos próximos meses, o uso de Inteligência Artificial para ataques cibernéticos vai disparar em volume e sofisticação”.
Diante desse cenário, surge uma provocação importante: o que essa mudança radical no ecossistema de ameaças significa na prática para os mercados de tecnologia e cibersegurança, para a infraestrutura das empresas e para as áreas jurídicas, de compliance e governança corporativa?
Em que se baseia o Manifesto?
Antes de definir os passos operacionais, a iniciativa se baseia na constatação de que a cibersegurança tradicional atingiu seu limite. O documento parte do diagnóstico de que o mundo digital opera sobre uma imensa “dívida técnica”, caracterizada por sistemas legados, permissões excessivas, código frágil e falta de braço técnico especializado, o que deixou a infraestrutura de empresas e serviços essenciais cronicamente vulnerável.
Com a evolução acelerada da IA, a assimetria histórica da segurança da informação piora: os atacantes passam a ter ferramentas para automatizar a descoberta e a exploração de brechas em escala massiva. No entanto, o manifesto fundamenta-se na premissa de que a mesma tecnologia que amplia a ameaça entrega, no presente momento, uma capacidade sem precedentes de automação defensiva para quem precisa proteger esses ambientes.
O Impacto no Mercado: Cibersegurança e Empresas de Tecnologia
Fundamentado nessa realidade, o manifesto consagra o conceito da “Janela do Defensor” (Defenders’ Window). A tese central é que vivemos um momento temporário e crucial de assimetria tecnológica: embora o avanço dos modelos de IA entregue aos cibercriminosos ferramentas para automatizar invasões e explorar falhas em escala sem precedentes, ele entrega hoje o mesmo poder aos times de defesa para sanar vulnerabilidades históricas antes que os ataques massivos aconteçam.
Na prática, o manifesto explica que esse conceito se apoia em três pilares operacionais:
- Inversão do Tempo de Reação: Historicamente, os atacantes precisavam encontrar apenas uma brecha em sistemas legados, enquanto os defensores precisavam proteger todas. A IA inverte essa dinâmica ao permitir que agentes defensivos auditem códigos complexos, identifiquem bugs, simulem cenários de invasão e gerem patches de correção automatizados em minutos — algo que manualmente levaria meses ou anos de backlog técnico.
- Democratização da Capacidade Técnica: A escassez de profissionais especializados e a limitação orçamentária de infraestruturas críticas (como hospitais, redes de energia e abastecimento de água) deixavam esses setores vulneráveis. Com agentes de IA atuando como especialistas de cibersegurança integrados às rotinas de TI, equipes enxutas ganham a capacidade de executar análises estáticas, triagem de alertas e testes de intrusão com padrão de grandes corporações.
- O Caráter Temporário da Janela: A mensagem de urgência do manifesto reforça que essa oportunidade é passageira, estimada em poucos meses. Conforme os modelos autônomos se tornem mais acessíveis mundialmente, a velocidade de exploração de falhas por agentes maliciosos irá disparar. Portanto, a “Janela do Defensor” é a oportunidade imediata para que as organizações usem a IA agora para limpar suas dívidas técnicas, reestruturar acessos pelo princípio de menor privilégio (least privilege) e aplicar defesas em profundidade antes que a onda de ataques autônomos se consolide.
Fim do Status Quo e Redução da Dívida Técnica
Softwares legados, permissões excessivas, credenciais fracas e sistemas desatualizados deixam de ser gargalos toleráveis. A carta aberta da OpenAI e dos parceiros globais enfatiza que o modelo tradicional de cibersegurança falhou justamente por conviver com essas vulnerabilidades históricas. Com a chegada da IA, fornecedores e desenvolvedores são pressionados a elevar a barra do código que produzem e entregam, aplicando segurança nativa por design (Security by Design) e padrão de menor privilégio (least privilege).
Trata-se de sanar problemas que sempre fizeram parte da rotina de tecnologia, mas que antes esbarravam na resistência operacional: o receio de paralisar ambientes críticos para aplicar atualizações, a falta de braço técnico especializado e o medo de gerar indisponibilidade nos negócios.
A mudança trazida pela IA é que a aplicação de patches e a readequação de acessos ganham automação e previsibilidade, eliminando a justificativa da inviabilidade operacional. O manifesto deixa claro que manter sistemas expostos por mero receio operacional deixará de ser aceitável perante o mercado e os reguladores.
Colaboração Concorrencial (Threat Intelligence)
Empresas rivais passam a compartilhar inteligência de ameaças e playbooks defensivos. O princípio do manifesto é pragmático: a solução desenvolvida para proteger uma organização deve servir de escudo imediato para todo o ecossistema digital.
O Significado para a Segurança das Organizações
A segurança da informação atinge o topo da agenda estratégica dos conselhos de administração (boards). Não se trata mais apenas de prevenir invasões, mas de garantir resiliência operacional.
Surgimento de Agentes Defensivos Autônomos: As equipes de TI ganham o reforço de agentes de IA capazes de monitorar, testar e aplicar correções continuamente.
Controle Estreito sobre Código de IA e Agentes: A adoção de ferramentas de IA pelas próprias empresas precisa de governança para evitar o Shadow AI (uso não supervisionado) e vazamentos via injeção de prompts (prompt injection) ou chamadas desnecessárias a APIs externas.
E o que isso significa para os departamentos jurídicos, compliance e governança?
O trabalho em conjunto fará toda a diferença. Toda essa colaboração esbarra em papéis e responsabilidades, demandando mais agilidade nos processos e automatização. Na prática, a atuação do jurídico e do compliance passa por readequações essenciais em quatro frentes estruturantes:
- Reconfiguração do Dever de Diligência Corporativo (Duty of Care)
Com o alerta público emitido pelos maiores especialistas do mundo de que a IA defensiva está disponível e acessível, o padrão de diligência exigido dos administradores e diretores (C-level/Board) se eleva. A omissão em adotar salvaguardas modernas e automatizadas de cibersegurança deixa de ser um “azar operacional” e passa a poder ser qualificada como negligência na gestão de riscos, aumentando a exposição a sanções administrativas, regulatórias (como as da ANPD) e ações de responsabilidade civil.
- Evolução das Cláusulas Contratuais de TI e Cibersegurança
A obsolescência dos modelos tradicionais de contratação de software e serviços de TI deixa de ser um debate teórico para se tornar uma tensão contratual e operacional diária. Diante da nova dinâmica imposta pelo uso de IA na defesa e no ataque cibernético, os contratantes passarão a exigir salvaguardas cada vez mais rígidas e focadas em resultados práticos, enquanto as empresas de prestação de serviços de cibersegurança e tecnologia deverão ficar atentas ao limite de suas obrigações e à mitigação de suas responsabilidades.
Para equilibrar essa relação, as minutas contratuais deverão ser reestruturadas considerando:
1. Delimitação do Nível de Autonomia e Human-in-the-Loop
- O que os contratantes passarão a exigir: A definição expressa e milimétrica das alçadas de decisão dos Agentes de IA defensivos. O contratante exigirá cláusulas que discriminem exatamente quais ações a IA poderá executar de forma autônoma (como o bloqueio de conexões maliciosas) e quais dependerão obrigatoriamente da validação e autorização prévia de um operador humano (Human-in-the-Loop).
- Onde as prestadoras de serviços deverão ficar atentas: Na limitação da sua responsabilidade por indisponibilidades indevidas (falsos positivos). Conceder autonomia irrestrita à IA pode paralisar faturamentos ou operações críticas do cliente, gerando pleitos de indenização por lucros cessantes. Por outro lado, se o contratante exigir validação humana para qualquer ação por receio de paradas, a prestadora deve estabelecer formalmente que a demora na autorização do cliente isenta o fornecedor por eventuais danos causados pela proliferação da ameaça.
2. Redefinição dos SLAs de Performance e Eficácia
- O que os contratantes passarão a exigir: O fim das métricas genéricas. O contratante não aceitará mais SLAs focados apenas em tempo de atividade (uptime) ou na mera emissão de alertas de incidentes. A exigência migra para métricas objetivas de tempo de resposta, taxa de precisão e eficácia na aplicação das correções (patches).
- Onde as prestadoras de serviços deverão ficar atentas: Na calibragem técnica dessas métricas e na dependência das ações do próprio cliente. A prestadora de serviço precisa garantir que o contrato diferencie o “tempo de contenção da ameaça” da “efetiva aplicação do patch”, vinculando este último ao cumprimento das obrigações do cliente (como autorizar janelas de manutenção e manter infraestruturas atualizadas), sob o risco de assumir um encargo contratual impossível de ser cumprido isoladamente.
3. Auditoria e Governança na Cadeia de Suprimentos (Supply Chain)
- O que os contratantes passarão a exigir: Cláusulas rígidas de dever de diligência sobre toda a cadeia de desenvolvimento. Os contratantes passarão a impor que os fornecedores comprovem documentalmente a auditoria de segurança, a rastreabilidade e a ausência de vulnerabilidades em todo e qualquer código ou script gerado por IA utilizado na prestação do serviço.
- Onde as prestadoras de serviços deverão ficar atentas: Na governança interna de seus times e no repasse de responsabilidades aos fabricantes (vendors). A prestadora precisa alinhar contratualmente que a utilização de modelos de IA de terceiros (como OpenAI ou Microsoft) segue as diretrizes dos próprios fabricantes, além de blindar-se contra alegações de vazamento de segredos de negócio ao utilizar inteligência externa para a defesa do ambiente do cliente.
- Proteção de Dados (LGPD) e Compartilhamento de Inteligência
A chamada por uma resposta coletiva baseia-se na troca contínua de inteligência de ameaças (threat intelligence). O desafio jurídico é garantir que essa colaboração entre concorrentes e parceiros ocorra em total conformidade com a LGPD e a proteção de segredos de negócio. Termos de Confidencialidade (NDAs), políticas de privacidade e Aditivos de Tratamento de Dados (DPAs) precisam prever autorizações específicas para a circulação anônima de indicadores de comprometimento (IoCs) e vetores de ataque sem expor dados pessoais ou segredos comerciais.
- Governança Integrada e Conformidade com Frameworks
O compliance precisa deixar de atuar de forma reativa ou documental. O ecossistema de governança deve integrar juridicamente o gerenciamento de riscos de IA aos programas de proteção de dados e cibersegurança já existentes. A conformidade com frameworks internacionais (como as normas ISO/IEC 27001 e ISO/IEC 42001 sobre governança de IA) torna-se a principal evidência documental e probatória de que a empresa cumpriu com as melhores práticas de mercado em caso de fiscalizações ou incidentes.
Considerações Finais
O manifesto global por uma Ciberdefesa Coletiva deixa claro que a inteligência artificial não é apenas uma ferramenta de produtividade, mas o novo divisor de águas da segurança corporativa.
Para as empresas, aproveitar a “Janela do Defensor” vai muito além da aquisição de novas tecnologias: exige criar pontes entre a operação de cibersegurança, os times de tecnologia e as áreas jurídicas e de compliance, garantindo que a agilidade e a automação caminhem respaldadas por uma governança sólida e juridicamente segura.
Como o Assis e Mendes pode apoiar
A adoção de novas tecnologias de cibersegurança também envolve aspectos jurídicos, contratuais e de governança. O Assis e Mendes atua junto a empresas de tecnologia em temas relacionados a Direito Digital, proteção de dados, contratos e governança de IA, considerando as particularidades de cada operação.
Essa atuação pode abranger a análise de contratos de tecnologia e cibersegurança, a definição de responsabilidades relacionadas ao uso de ferramentas de IA, a adequação à LGPD e a estruturação de políticas e práticas de governança.
A integração desses aspectos contribui para que decisões relacionadas à inovação, segurança e uso de IA sejam tomadas de forma juridicamente adequada e alinhada à realidade da organização.
📲 Converse com a nossa equipe diretamente pelo WhatsApp:
👉 Clique aqui para iniciar a conversa
Sobre o autor
Érica Nogueira é advogada no Assis e Mendes, especialista nas áreas Cível, Empresarial, Contratual e Trabalhista. Atua de forma estratégica em assessoria jurídica full service, com experiência em compliance, LGPD e governança corporativa, apoiando empresas na gestão de riscos e na tomada de decisões juridicamente seguras.
