A Agência Espanhola de Proteção de Dados (AEPD) recebeu, na segunda-feira (14 de setembro de 2026), a primeira notificação de violação de dados pessoais supostamente causada por um agente de inteligência artificial. O incidente envolveu um modelo de linguagem de grande escala utilizado para identificar vulnerabilidades, invadir um sistema e alterar informações pessoais, além de acessar registros de faturamento. A AEPD informou que a organização afetada comunicou o incidente e que a análise ainda está em andamento.
Como o agente de IA conduziu o ataque
Segundo a notificação recebida pela AEPD, o agente de inteligência artificial agiu de forma autônoma, executando várias fases do ataque com limitada intervenção humana. Depois de obter acesso ao ambiente, procurou ativamente por falhas na aplicação. Quando encontrou uma vulnerabilidade, conseguiu modificar dados pessoais e visualizar registros de faturamento. A agência esclareceu que o uso de um modelo de linguagem conhecido não indica que o próprio modelo ou a infraestrutura de seu fornecedor tenham sido comprometidos, nem que a tecnologia tenha sido desenvolvida para fins maliciosos.
Posicionamento da AEPD e contexto regulatório
A AEPD destacou que um caso isolado não é suficiente para estabelecer uma tendência geral, mas considerou que a notificação mostra que os ataques auxiliados por inteligência artificial estão saindo do campo teórico e começando a afetar situações reais de tratamento de dados pessoais. A autoridade acrescentou que a IA, por si só, não gera novas ameaças; o que ela faz é aumentar a velocidade, a escala e a capacidade de adaptação de técnicas maliciosas já existentes, reduzindo o tempo disponível para detectar e conter incidentes. Nesse contexto, controladores de dados, operadores de processamento e encarregados de proteção devem se preparar para um cenário em que a celeridade dos ataques continuará a aumentar.
Contexto internacional e a estratégia espanhola de IA confiável
O episódio ocorre num momento em que reguladores e autoridades de cibersegurança dos Estados Unidos e da Europa vêm ampliando o escrutínio sobre os riscos apresentados por sistemas de IA cada vez mais avançados, enquanto as empresas adotam rapidamente essa tecnologia. A Espanha tem se posicionado como uma das defensoras mais atuantes de um modelo de “IA confiável”, voltado à proteção da privacidade, da democracia, dos menores de idade e da segurança pública, em vez de priorizar a velocidade de desenvolvimento ou o lucro para a indústria tecnológica. A AEPD ressaltou que, embora um único caso não confirme uma tendência, a notificação indica que os ataques assistidos por IA estão deixando de ser apenas uma possibilidade teórica e começando a afetar situações reais envolvendo o tratamento de dados pessoais.
Implicações para controladores de dados e boas práticas recomendadas
A AEPD aconselha que organizações que controlam ou processam dados pessoais revisem seus planos de resposta a incidentes levando em conta a possibilidade de ataques executados por agentes de IA autônomos. Isso inclui a atualização de sistemas de detecção de anomalias, a implementação de controles de acesso mais rigorosos e a realização de testes de penetração que simulem cenários onde a IA é usada para explorar vulnerabilidades. A agência também recomenda que os encarregados de proteção de dados mantenham comunicação clara com as equipes de segurança tecnológica para garantir que quaisquer sinais de atividade incomum sejam investigados rapidamente.
O que ainda não foi divulgado
- Qual modelo de linguagem de grande escala foi utilizado pelo agente de IA.
- Identidade da organização que sofreu o vazamento de dados.
- Data prevista para conclusão da análise da AEPD sobre o incidente.
- Detalhes específicos das informações pessoais alteradas ou acessadas.
- Se os titulares dos dados afetados foram notificados conforme a legislação de proteção de dados.
