Taiwan abre consulta sobre segurança de agentes de IA antes da sua entrada em funcionamento nos sistemas financeiros

Trinta dias para debater salvaguardas para IA capaz de agir

A Comissão de Supervisão Financeira de Taiwan (FSC) abriu, a 13 de outubro de 2026, uma consulta pública de 30 dias, propondo salvaguardas de segurança para agentes de inteligência artificial capazes de se ligar aos sistemas operacionais das instituições financeiras, operar neles ou desencadear ações. A proposta estabelece quatro níveis de risco, de L1 a L4, e prevê que as ações de risco mais elevado exijam a autorização ou análise necessárias, ou mecanismos que impeçam a sua execução.

O documento, intitulado Documento de consulta sobre a utilização segura de IA agêntica no setor financeiro, surge antes de uma implementação generalizada. Lin Yu-tai, diretor do Departamento de Gestão da Informação da comissão, afirmou que a maioria das instituições financeiras ainda estava a fazer experiências ou a realizar pequenos testes em ambientes controlados. Disse não ter conhecimento de instituições que tivessem integrado estes agentes em operações comerciais em produção.

A principal preocupação da comissão é a passagem de uma IA que produz informação para uma IA que toma medidas. Um assistente que resume queixas de clientes coloca um problema de segurança diferente do de um agente capaz de consultar registos confidenciais, alterar informação num sistema ou responder diretamente a um cliente.

Por isso, a consulta centra-se nas permissões e na responsabilização, e não apenas na precisão dos modelos. As instituições teriam de determinar a que informação um agente pode aceder, que ferramentas pode utilizar, que ações pode executar e de que forma os funcionários podem interrompê-lo ou assumir o controlo caso algo corra mal.

O documento não é um novo regulamento nem uma orientação formal. Não substitui a legislação em vigor, os requisitos de supervisão, as regras de subcontratação ou os controlos internos. A comissão espera que a consulta contribua para futuras orientações, mas não definiu um calendário para essa etapa.

Porque é que o acesso operacional altera o risco

A IA agêntica pode planear etapas, utilizar ferramentas de software e consultar informação em vários sistemas para cumprir uma tarefa. Distingue-se assim de uma aplicação conversacional cuja principal função é gerar uma resposta para uma pessoa avaliar. O problema de segurança torna-se mais urgente quando uma resposta incorreta pode transformar-se diretamente numa ação operacional.

Lin identificou quatro riscos principais: um agente afastar-se do objetivo definido, utilizar indevidamente ferramentas ou exceder as permissões atribuídas, expor informação sensível e permitir que os erros se propaguem ao longo de uma sequência de ações. Estes riscos podem combinar-se. Um agente pode consultar informação que não deveria utilizar, incluí-la numa mensagem e enviá-la para fora da instituição.

As alucinações da IA, ou seja, respostas plausíveis mas incorretas, continuam a ser motivo de preocupação. Lin descreveu uma situação em que um agente inclui dados pessoais num e-mail externo, quando não deveria fazê-lo. Tratou-se de um exemplo de uma possível falha, não de um incidente divulgado numa instituição financeira.

A velocidade também altera a escala potencial. Lin comparou o caso de uma pessoa que trata talvez de um processo por hora com o de um agente que poderia tratar de 100. O exemplo sugere uma diferença de cem vezes no volume de processamento, não um resultado de produtividade medido. O seu argumento foi que os erros automatizados poderiam propagar-se a muitos processos antes de os funcionários intervirem.

Gerir a tarefa, não apenas a tecnologia

A consulta organiza as propostas em torno de três áreas: governação da segurança, classificação de risco e controlos de segurança. A unidade de gestão preferencial é o cenário de aplicação, isto é, a tarefa específica que a instituição pretende atribuir a um agente, e não um produto de IA considerado isoladamente.

Para cada cenário, a instituição deve definir o objetivo comercial, os responsáveis, os dados permitidos, as ferramentas disponíveis e as ações autorizadas. Deve também identificar para onde podem ser enviados ou escritos os resultados e o que acontece se o agente apresentar um comportamento anómalo.

Esta abordagem sujeita o mesmo software a controlos diferentes consoante a sua função. Um agente que analisa informação de segurança sem tomar medidas é diferente de um que tem autorização para alterar um sistema operacional. Assim, uma alteração das permissões pode ser tão importante como uma alteração do modelo subjacente.

A governação não se limitaria à aprovação inicial. As propostas preveem mecanismos de análise, monitorização, inspeção, redução de capacidades, suspensão e recuperação, adequados ao nível de risco. A classificação deve orientar os limiares de aprovação, as condições dos testes, as decisões de implementação e a supervisão posterior, sendo reavaliada à medida que a aplicação evolui.

Quatro níveis de risco, avaliados em três eixos

A classificação proposta, de L1 a L4, utiliza três eixos: sensibilidade dos dados, impacto das ações e limites das capacidades ou potencial de propagação dos efeitos. A avaliação segue o resultado de risco mais elevado, em vez de permitir que uma característica de menor risco compense outra mais perigosa.

A sensibilidade dos dados diz respeito àquilo que o agente pode consultar. O acesso a informação pública é diferente do acesso a dados pessoais ou segredos comerciais. O impacto das ações diz respeito ao que pode fazer com essa informação, desde a leitura à alteração de registos ou à comunicação para fora da instituição.

O terceiro eixo considera o âmbito e o alcance da atividade. Um agente limitado a uma única tarefa é diferente de um que pode processar lotes, funcionar ininterruptamente ou avançar por várias etapas ligadas entre si. É aqui que se considera a possibilidade de um pequeno erro se transformar num problema operacional de maiores dimensões.

Nas aplicações L4, a proposta impediria a execução automática de ações de risco elevado sem a autorização ou análise necessárias, ou sem mecanismos para bloquear a execução. As aplicações de menor risco continuariam a poder ser testadas. A comissão afirma que a sua abordagem se baseia no risco, na proporcionalidade e na neutralidade em relação a tecnologias específicas, tendo em conta quadros internacionais de segurança.

O serviço ao cliente mostra a importância das permissões

O exemplo de serviço ao cliente dado por Lin permite uma comparação prática. Um agente que recolhe queixas e prepara resumos situa-se num nível de risco baixo a médio. Se também puder enviar respostas aos clientes, passa, segundo Lin, para um nível de risco médio a elevado, porque pode agir para fora da instituição.

A distinção não se resume ao facto de ambas as aplicações utilizarem IA. No primeiro caso, um funcionário pode analisar o resumo antes de este afetar um cliente. No segundo, o agente pode transformar a sua interpretação numa comunicação externa. A autorização para enviar a mensagem altera as consequências de um erro.

A permissão para escrever informação cria outro limite. Um agente que só pode ler não consegue, através dessa permissão, alterar os registos originais. Quando lhe é permitido escrever, os erros podem alterar ou apagar informação. Os controlos têm, por isso, de abranger tanto a qualidade dos resultados como a integridade dos sistemas com que o agente interage.

O exemplo também explica por que motivo seria inadequado atribuir uma única classificação a todo o programa de IA de uma instituição. Duas utilizações do mesmo agente podem exigir condições de aprovação, monitorização e recuperação diferentes, devido às diferenças no acesso aos dados e nas ações permitidas.

Um funcionário digital continua a precisar de supervisão humana

Lin descreveu um agente de IA como um funcionário digital, por ser capaz de fazer avançar ativamente uma tarefa. A analogia vai além da atribuição de uma função: a instituição tem de decidir o que o agente pode fazer, testá-lo antes da implementação, supervisionar a sua atividade e dispor de um procedimento para interromper o trabalho.

Ao falar da responsabilidade pela implementação, Lin deixou claro que delegar uma tarefa a um agente não elimina a responsabilização humana. Em tradução para inglês, afirmou:

A IA só pode ser um assistente; os seres humanos são os supervisores finais.

Este princípio atribui às pessoas a responsabilidade de definir a autoridade do agente e responder a falhas. Os controlos de segurança existentes não podem ser simplesmente contornados por estar envolvido um agente de IA. A instituição precisa tanto de um responsável humano pelas decisões como de meios técnicos para fazer cumprir os limites aprovados por essa pessoa.

O foco da comissão é mais restrito do que a utilização da IA por todos os funcionários. Os assistentes pessoais que operam dentro da autoridade já atribuída a uma pessoa podem ser geridos através dos controlos internos e das medidas de segurança existentes. A ligação de um agente aos sistemas operacionais de uma instituição financeira exige uma nova avaliação do risco e da segurança da informação.

Os controlos de identidade e de acesso também se aplicam ao agente

As propostas de segurança tratam o agente como uma identidade não humana e uma carga de trabalho de software. Na prática, a instituição precisa de saber qual é o agente que está a agir e que permissões lhe são aplicáveis. A sua atividade não deve tornar-se indistinguível da de outros utilizadores ou processos automatizados sem relação com ele.

A abordagem assenta nos princípios de confiança zero: não se presume que o acesso é seguro apenas porque um sistema se encontra dentro da organização. A identidade e as permissões têm de ser verificadas, o acesso limitado ao necessário para a tarefa e as ações rastreáveis.

Os controlos abrangem a identidade, os dispositivos e os ambientes de execução, as redes, as aplicações e cargas de trabalho, e a proteção de dados. As propostas incluem requisitos e objetivos de controlo de segurança básicos e avançados, integrando também controlos de comportamento, visibilidade e análise.

Lin apresentou várias medidas concretas. Os agentes devem funcionar em ambientes devidamente isolados, as ligações de rede devem ser restringidas de acordo com a tarefa e as ferramentas devem limitar-se a uma lista aprovada. O acesso aos dados deve obedecer ao princípio do mínimo necessário. Estas medidas abordam diferentes formas pelas quais um agente poderia exceder a função prevista, em vez de dependerem apenas das instruções dadas ao modelo.

Os testes devem abranger falhas ao longo de todo o fluxo de trabalho

Para aplicações capazes de avançar ao longo de um fluxo de trabalho, a consulta prevê testes antes da implementação que abranjam a injeção de instruções, a utilização indevida de ferramentas, as permissões herdadas e a contaminação da memória. Estes testes analisam o comportamento do agente quando a informação, as ferramentas ou a autoridade com que se depara o afastam da tarefa aprovada.

A injeção de instruções ocorre quando instruções ocultas nos materiais consultados pelo agente tentam redirecionar o seu comportamento. A utilização indevida de ferramentas diz respeito ao uso inadequado de software ligado ao agente. As permissões herdadas podem dar-lhe acesso proveniente de outra conta ou processo, enquanto a contaminação da memória consiste na influência involuntária de informação armazenada em atividades posteriores.

Os objetivos operacionais vão além da prevenção de falhas. Os sistemas devem ser observáveis, poder ser limitados ou interrompidos, ser recuperáveis e permitir o rastreio das ações. Os funcionários precisam de ver o que o agente está a fazer, interromper atividades prejudiciais e, sempre que possível, restabelecer as operações afetadas.

Os registos da atividade do agente devem permitir investigar e auditar o que aconteceu. Parar o agente, por si só, pode não resolver uma falha se este já tiver escrito informação incorreta ou desencadeado ações subsequentes. As propostas associam, por isso, a interrupção à recuperação e ao registo dos acontecimentos.

Uma consulta, não uma regra definitiva para a implementação

A comissão publicou o documento na secção de discussão pública da Plataforma de Participação na Rede de Políticas Públicas de Taiwan. Afirma que a consulta deve incorporar experiência prática no quadro e servir de base ao trabalho de definição de políticas, a possíveis orientações e à discussão de supervisão.

Lin afirmou que a rápida evolução tecnológica era uma das razões para não publicar imediatamente uma orientação definitiva. A comissão também não pode presumir que já identificou todos os riscos relevantes. A intenção de trabalhar em futuras orientações depende, assim, dos contributos recebidos e da evolução tecnológica, e não constitui uma promessa de publicação de um documento final numa data definida.

A sequência descrita pela comissão é a seguinte:

• Julho de 2026: A FSC propôs estratégias para responder a ataques com IA, que Lin descreveu como precursoras do trabalho atual.
• 13 de outubro de 2026: A FSC publicou o documento de consulta sobre a segurança da IA agêntica.
• Após a publicação: Um período de consulta pública de 30 dias permite apresentar comentários sobre a abordagem proposta.
• Após a consulta: A eventual publicação de orientações formais dependerá dos contributos recebidos e da evolução tecnológica; não foi anunciado qualquer calendário.

Os testes atualmente em curso ajudam a explicar o momento escolhido. Lin afirmou que muitas experiências decorriam no domínio da cibersegurança, como a análise de informações de segurança sem atuação operacional direta. A comissão pretende ter salvaguardas preparadas antes de os agentes avançarem para processos administrativos e comerciais. A próxima etapa concreta é a consulta; a formulação final e o estatuto de eventuais orientações continuam por decidir.

Pontos principais

• A FSC de Taiwan abriu, a 13 de outubro de 2026, uma consulta de 30 dias sobre a utilização segura de IA agêntica no setor financeiro.
• O foco são os agentes capazes de se ligar aos sistemas operacionais das instituições financeiras, operar neles ou desencadear ações.
• A proposta estabelece quatro níveis de risco, avaliados com base na sensibilidade dos dados, no impacto das ações e nos limites das capacidades.
• As ações de risco mais elevado exigem a autorização ou análise necessárias, ou mecanismos que impeçam a sua execução.
• As instituições devem limitar as permissões, conservar registos de atividade e ser capazes de interromper os agentes e recuperar de falhas.
• A responsabilidade humana mantém-se mesmo quando a tarefa é executada por um agente de IA.
• A maioria das utilizações continua em fase experimental. O documento não é uma orientação formal e não foi definido qualquer calendário para a sua publicação.