Taiwan abre consulta sobre segurança de agentes de IA antes de sua entrada em operação nos sistemas financeiros

30 dias para debater salvaguardas para IA capaz de agir

A Comissão de Supervisão Financeira de Taiwan (FSC, na sigla em inglês) abriu em 13 de outubro de 2026 uma consulta pública de 30 dias e propôs salvaguardas de segurança para agentes de inteligência artificial capazes de se conectar a sistemas operacionais de instituições financeiras, operá-los ou acionar seu funcionamento. A proposta estabelece quatro níveis de risco, de L1 a L4, e prevê que ações de maior risco exijam autorização, revisão ou mecanismos para impedir sua execução.

O documento, intitulado Documento de consulta sobre o uso seguro de IA agêntica no setor financeiro, foi publicado antes da adoção generalizada dessa tecnologia. Lin Yu-tai, diretor do Departamento de Gestão da Informação da comissão, disse que a maioria das instituições financeiras ainda estava experimentando ou realizando pequenos testes em ambientes controlados. Segundo ele, não tinha conhecimento de instituições que tivessem colocado esses agentes em operação em atividades reais.

A principal preocupação da comissão é a transição de uma IA que produz informações para uma IA que toma medidas. Um assistente que resume reclamações de clientes apresenta um problema de segurança diferente daquele de um agente capaz de consultar registros confidenciais, alterar informações em um sistema ou enviar uma resposta diretamente a um cliente.

Por isso, a consulta se concentra em permissões e responsabilização, e não apenas na precisão dos modelos. As instituições precisariam determinar a quais informações um agente pode ter acesso, quais ferramentas pode usar, que ações pode realizar e como os funcionários podem interrompê-lo ou assumir o controle quando algo der errado.

O documento não é uma nova regulamentação nem uma diretriz formal. Ele não substitui as leis vigentes, os requisitos de supervisão, as regras de terceirização ou os controles internos. A comissão espera que a consulta contribua para orientações futuras, mas ainda não definiu um cronograma para essa etapa.

Por que o acesso operacional muda o risco

A IA agêntica pode planejar etapas, acionar ferramentas de software e consultar informações em diferentes sistemas para realizar uma tarefa. Isso a diferencia de um aplicativo conversacional cuja principal função é gerar uma resposta para uma pessoa avaliar. O problema de segurança se torna mais urgente quando uma resposta incorreta pode se transformar diretamente em uma ação operacional.

Lin identificou quatro riscos principais: o agente se afastar do objetivo pretendido, usar ferramentas de forma indevida ou exceder suas permissões, expor informações confidenciais e permitir que erros se propaguem por uma sequência de ações. Esses riscos podem se combinar. Um agente pode consultar informações que não deveria usar, incluí-las em uma mensagem e enviá-la para fora da instituição.

As alucinações de IA, ou seja, respostas plausíveis, mas incorretas, continuam sendo motivo de preocupação. Lin descreveu uma situação hipotética em que um agente inclui informações pessoais em um e-mail externo, onde elas não deveriam estar. Foi um exemplo de uma possível falha, não a divulgação de um incidente em uma instituição financeira.

A velocidade também altera a escala potencial. Lin comparou uma pessoa que talvez cuide de um caso por hora a um agente que poderia processar 100. O exemplo sugere uma diferença de cem vezes no volume processado, e não um resultado de produtividade medido. O argumento é que erros automatizados podem se espalhar por muitos casos antes que os funcionários intervenham.

Gerenciar a tarefa, não apenas a tecnologia

A consulta organiza as propostas em torno de três áreas: governança de segurança, classificação de risco e controles de segurança. A abordagem preferida é gerenciar cada cenário de aplicação, ou seja, a tarefa específica que a instituição quer que um agente realize, em vez de considerar um produto de IA isoladamente.

Para cada cenário, a instituição deve definir o objetivo comercial, os responsáveis, os dados permitidos, as ferramentas disponíveis e as ações autorizadas. Também deve identificar para onde as respostas podem ser enviadas ou gravadas e o que fazer se o agente apresentar um comportamento anormal.

Com essa abordagem, o mesmo software fica sujeito a controles diferentes conforme sua função. Um agente que analisa informações de segurança sem tomar medidas é diferente de outro autorizado a alterar um sistema operacional. Portanto, uma mudança nas permissões pode ser tão importante quanto uma mudança no modelo subjacente.

A governança iria além da aprovação inicial. As propostas preveem revisão, monitoramento, inspeção, redução de capacidades, suspensão e mecanismos de recuperação proporcionais ao risco. A classificação deve orientar os limites de aprovação, as condições dos testes, as decisões de implantação e a supervisão posterior, com reavaliações à medida que a aplicação mudar.

Quatro níveis de risco avaliados por três critérios

A classificação proposta, de L1 a L4, usa três critérios: sensibilidade dos dados, impacto das ações e limites das capacidades ou potencial de propagação dos efeitos. A avaliação considera o resultado de maior risco, sem permitir que uma característica de menor risco compense outra mais perigosa.

A sensibilidade dos dados diz respeito ao que o agente pode ver. O acesso a informações públicas é diferente do acesso a registros pessoais ou segredos comerciais. O impacto das ações diz respeito ao que o agente pode fazer com essas informações, desde apenas lê-las até alterar registros ou se comunicar com pessoas de fora da instituição.

O terceiro critério considera o alcance e a abrangência da atividade. Um agente limitado a uma única tarefa é diferente de outro capaz de processar lotes de dados, operar continuamente ou avançar por várias etapas conectadas. É nesse ponto que se avalia a possibilidade de um pequeno erro se transformar em um problema operacional maior.

Para aplicações L4, a proposta impediria que ações de alto risco fossem executadas automaticamente sem a autorização, a revisão ou os mecanismos de bloqueio necessários. Aplicações de menor risco ainda poderiam ser testadas. A comissão afirma que sua abordagem se baseia em risco, proporcionalidade e neutralidade em relação a tecnologias específicas, com referência a padrões internacionais de segurança.

Atendimento ao cliente mostra a importância das permissões

O exemplo de atendimento ao cliente apresentado por Lin ajuda a ilustrar a diferença. Um agente que reúne reclamações e prepara resumos se enquadra em uma faixa de risco baixo a médio. Se também puder enviar respostas aos clientes, ele passa para uma faixa de risco médio a alto, segundo Lin, porque pode agir fora da instituição.

A diferença não está simplesmente no fato de as duas aplicações usarem IA. No primeiro caso, um funcionário pode revisar o resumo antes que ele afete um cliente. No segundo, o agente pode transformar sua interpretação em uma comunicação externa. A permissão para enviar a mensagem muda as consequências de um erro.

A permissão para gravar informações cria outro limite. Um agente que só pode ler não consegue, por meio dessa permissão, alterar os registros originais. Quando a gravação é permitida, erros podem modificar ou apagar informações. Por isso, os controles precisam proteger tanto a qualidade das respostas quanto a integridade dos sistemas acessados.

O exemplo também mostra por que seria inadequado atribuir uma única classificação a todo o programa de IA de uma instituição. Dois usos do mesmo agente podem exigir condições de aprovação, monitoramento e recuperação diferentes, porque o acesso a dados e as ações permitidas não são iguais.

Um funcionário digital ainda precisa de supervisão humana

Lin descreveu um agente de IA como um funcionário digital porque ele pode executar ativamente as etapas de uma tarefa. A analogia vai além de atribuir uma função: a instituição precisa decidir o que o agente pode fazer, testá-lo antes da implantação, supervisionar sua atividade e ter um procedimento para interromper seu trabalho.

Ao falar sobre a responsabilidade pela implantação, Lin deixou claro que delegar uma tarefa a um agente não elimina a responsabilidade humana. Em tradução para o inglês, ele disse:

A IA só pode ser uma assistente; os humanos são os supervisores finais.

Esse princípio atribui às pessoas a responsabilidade de definir a autoridade do agente e responder a falhas. Os controles de segurança existentes não podem ser simplesmente contornados porque há um agente de IA envolvido. A instituição precisa tanto de uma pessoa responsável pelas decisões quanto de meios técnicos para fazer cumprir os limites aprovados por ela.

O foco da comissão é mais restrito do que todo e qualquer uso de IA pelos funcionários. Assistentes pessoais que operam dentro da autoridade já concedida a uma pessoa podem ser gerenciados por meio dos controles internos e das medidas de segurança existentes. A conexão de um agente aos sistemas operacionais de uma instituição financeira exige uma nova avaliação de risco e segurança da informação.

Controles de identidade e acesso também se aplicam ao agente

As propostas de segurança tratam o agente como uma identidade não humana e uma carga de trabalho de software. Na prática, a instituição precisa saber qual agente está atuando e quais permissões se aplicam a ele. Sua atividade não deve se confundir com a de usuários sem relação com o processo ou com a de outros sistemas automatizados.

A abordagem se baseia em princípios de confiança zero: não se presume que o acesso seja seguro apenas porque um sistema está dentro da organização. É preciso verificar a identidade e as permissões, limitar o acesso ao necessário para a tarefa e permitir o rastreamento das ações.

Os controles abrangem identidade, dispositivos e ambientes de execução, redes, aplicações e cargas de trabalho, além da proteção de dados. As propostas incluem requisitos básicos e avançados de segurança e objetivos de controle. Controles de comportamento, visibilidade e análise também fazem parte da abordagem.

Lin apresentou algumas medidas concretas. Os agentes devem operar em ambientes devidamente isolados, as conexões de rede devem ser restritas conforme a tarefa e as ferramentas devem se limitar a uma lista aprovada. O acesso aos dados deve seguir o princípio do mínimo necessário. Essas medidas abordam diferentes formas pelas quais um agente poderia exceder sua função prevista, em vez de depender apenas das instruções dadas ao modelo.

Os testes devem cobrir falhas em todo o fluxo de trabalho

Para aplicações capazes de avançar por um fluxo de trabalho, a consulta prevê testes antes da implantação para detectar injeção de comandos, uso indevido de ferramentas, permissões herdadas e contaminação da memória. Esses testes analisam como o agente se comporta quando as informações, ferramentas ou autorizações com que se depara o desviam da tarefa aprovada.

A injeção de comandos ocorre quando instruções ocultas em materiais consultados pelo agente tentam redirecionar seu comportamento. O uso indevido de ferramentas diz respeito ao uso inadequado de softwares conectados. Permissões herdadas podem dar ao agente um acesso proveniente de outra conta ou processo, enquanto a contaminação da memória ocorre quando informações armazenadas influenciam atividades posteriores de forma não prevista.

Os objetivos operacionais vão além de prevenir falhas. Os sistemas devem permitir observação, restrição ou interrupção, recuperação e rastreamento. Os funcionários precisam ver o que o agente está fazendo, interromper atividades prejudiciais e, quando possível, restabelecer as operações afetadas.

Os registros das atividades do agente devem permitir investigação e auditoria. Apenas interromper um agente pode não resolver uma falha se ele já tiver gravado informações incorretas ou acionado outras medidas. Por isso, as propostas associam a interrupção à recuperação e ao registro do que aconteceu.

Uma consulta, não uma regra definitiva para implantação

A comissão publicou o documento na seção de discussão pública da Plataforma de Participação em Políticas Públicas de Taiwan. Segundo a comissão, a consulta deve incorporar experiências práticas à estrutura proposta e servir de base para o trabalho de formulação de políticas, possíveis orientações e discussões de supervisão.

Lin disse que a rápida evolução tecnológica foi uma das razões para não publicar imediatamente uma diretriz fixa. A comissão também não pode presumir que já identificou todos os riscos relevantes. A intenção de trabalhar em orientações futuras depende, portanto, das contribuições recebidas e de novos desdobramentos, e não representa a promessa de publicar um documento final em uma data definida.

A sequência descrita pela comissão é a seguinte:

• Julho de 2026: A FSC propôs estratégias para responder a ataques de IA, que Lin descreveu como uma iniciativa precursora do trabalho atual.
• 13 de outubro de 2026: A FSC divulgou o documento de consulta sobre segurança de IA agêntica.
• Após a publicação: Um período de 30 dias para comentários públicos permite receber contribuições sobre a abordagem proposta.
• Após a consulta: A elaboração de possíveis orientações formais dependerá das contribuições recebidas e dos avanços tecnológicos; não foi anunciado um cronograma de publicação.

Os testes em andamento ajudam a explicar o momento da iniciativa. Lin disse que muitos experimentos ocorriam na área de cibersegurança, como a análise de informações sobre ameaças sem a execução direta de ações operacionais. A comissão quer que as salvaguardas estejam prontas antes que os agentes avancem para processos administrativos e comerciais. O próximo passo concreto é a consulta, enquanto o texto e o status de eventuais orientações permanecem indefinidos.

Principais pontos

• A FSC de Taiwan abriu em 13 de outubro de 2026 uma consulta de 30 dias sobre o uso seguro de IA agêntica no setor financeiro.
• O foco são agentes capazes de se conectar a sistemas operacionais de instituições financeiras, operá-los ou acionar seu funcionamento.
• A proposta usa quatro níveis de risco, avaliados segundo a sensibilidade dos dados, o impacto das ações e os limites das capacidades.
• Ações de maior risco exigem autorização, revisão ou mecanismos para impedir sua execução.
• As instituições devem limitar as permissões, manter registros das atividades e ser capazes de interromper os agentes e se recuperar de falhas.
• A responsabilidade humana permanece mesmo quando uma tarefa é realizada por um agente de IA.
• A maioria dos usos ainda está em fase experimental. O documento não é uma diretriz formal, e não foi definido um cronograma para sua elaboração.