A Era Digital não é estanque, muito menos monótona. A cada ano que passa surpreendemo-nos com os avanços da tecnologia: convencidos de que não há mais nada que nos possa mostrar, aguardamos, ainda assim, ansiosos e expectantes, pelas suas descobertas e avanços, cientes de que em momento algum os previmos ou esperámos.
É inegável que a Inteligência Artificial (“IA”) veio solidificar a imagem do mundo digital que tínhamos quando pensávamos em 2025, assegurando que, se não temos (ainda) carros voadores, temos, pelo menos, algoritmos que sabem mais sobre os nossos gostos do que nós próprios e chatbots que nos respondem sempre com o mesmo grau de paciência, independentemente da pergunta. A questão, porém, já não é descrever o espanto tecnológico, é decidir como deve o Direito enquadrar a presença crescente da IA, legislando sobre os limites e consequências da sua autonomização e questionando como deve uma futura responsabilidade penal ser construída.
De facto, se a resposta podia, até há pouco tempo, parecer simples e automática, bastando-se com a conclusão de que um sistema de IA ainda não detém vontade e consciência próprias que permitam ao Direito Penal assacar-lhe, de forma direta, qualquer responsabilidade, a verdade é que o surgimento da figura dos agentes de IA obriga a repensar essa resposta – falamos de sistemas de software orientados a objetivos, que percebem o contexto em que são inseridos, tomam decisões e agem de forma contínua, sem necessidade de instruções passo a passo. Um exemplo de uma atuação nesses moldes é recorrer a agentes de IA no contexto de serviços de apoio a clientes: o agente formula automaticamente diferentes perguntas ao cliente, consulta informação em documentos internos e responde com uma solução. Com base nas respostas do cliente, determina se consegue resolver o pedido autonomamente ou se deve encaminhá-lo a um humano.
Numa fase preliminar chegamos, então, à conclusão de que o Direito Penal tradicional não é mais capaz de atender aos desafios da IA. Desde logo, porque o mesmo está assente em pressupostos que, indiscutivelmente, esses agentes não conseguem preencher com os seus atos – a partir do momento em que a responsabilidade penal exige a atuação dolosa ou negligente de um agente humano imputável, não temos como enquadrar atos de sistemas e agentes que, ainda que atuando com uma espécie de autonomia, são incapazes de intenção e culpa na prática do ato lesivo. Por esse motivo, a resposta imediata passará por olhar ao seu criador – o ser humano: sejam os seus programadores, utilizadores ou as empresas encarregues de desenvolver e comercializar sistemas de IA.
Do ponto de vista dos programadores, enquanto responsáveis pela criação dos algoritmos e pela definição das regras de funcionamento da IA, a sua responsabilidade é, em teoria, fácil de construir. De facto, é intuitivo concluir que poderão ser responsabilizados caso, por uma qualquer ação ou omissão dolosa ou negligente, introduzam falhas, vulnerabilidades ou instruções ilícitas no sistema de IA. Já no que toca aos utilizadores, falamos do caso paradigmática do recurso à IA de forma intencionalmente ilícita. Nesses casos, sendo possível descobrir o agente dessa atuação e demonstrar que a mesma foi manifestamente imprudente, dolosa ou contrária às instruções e advertências fornecidas, a responsabilidade do utilizador é, pois, evidente.
Por fim, quanto às empresas que desenvolvem, comercializam ou integram sistemas de IA, assumem as mesmas um papel central na prevenção de riscos e danos, decorrente de deveres acrescidos de diligência – nomeadamente, na conceção, teste, monitorização e atualização dos sistemas – que, uma vez descurados poderão ser fundamento de responsabilidade penal. O problema de responsabilizar, sem mais, o criador/ programador, o utilizador ou as empresasprende-se com o facto de, perante um grau crescente de autonomia dos agentes, rapidamente poderão aqueles deixar de conseguir antecipar e controlar comportamentos emergentes de decisões tomadas por sistemas de IA ou de compreender o funcionamento interno do sistema, limitando-se a confiar nos resultados apresentados. Falamos, a este propósito, do fenómeno da Black Box: a falta de transparência quanto à forma como sistemas complexos de IA chegam às suas decisões, que são apresentadas sem fornecer qualquer esclarecimento sobre o raciocínio subjacente. Em termos práticos, mesmo quando conhecemos os dados fornecidos e os resultados obtidos, a lógica interna e os processos que convertem os dados em resultados permanecem opacos e pouco acessíveis à compreensão humana.
Nesses casos, estaremos, então, a abrir portas a uma verdadeira responsabilidade objetiva que, de forma incompatível com os princípios basilares do Direito Penal – como o princípio da culpa –, exigirá a esses sujeitos que prevejam o imprevisível, ou seja, que antecipem todas as possíveis decisões de um sistema complexo e que, não o fazendo, sejam responsabilizados penalmente, ainda que não pudessem, em qualquer circunstância, ter evitado o resultado.
Contrariamente, se a lei abrir portas a uma responsabilidade penal dependente da prova de um comando direto e da antecipação do resultado, estará também a admitir como provável e até expectável a impunidade de um largo número de condutas ilícitas mediadas por IA. Questões como as ora levantadas tornam ademais evidentes as lacunas na teia legislativa nacional atual de países com um sistema penal similar ao Português, da qual não resulta, ainda que de forma indireta, a orientação necessária para lhes dar resposta. Tal fez com que Itália, de forma pioneira, sentisse necessidade de aprovar muito recentemente uma lei que visa precisamente regulamentar a IA.
De acordo com a Lei n.º 132/2025, de 23 de setembro – em vigor desde 15 de novembro de 2025 –, a responsabilidade penal decorrente do uso da IA deve ser aferida de acordo com um critério de finalidade, fazendo-a recair sobre o agente humano que instrumentaliza a IA a produzir o resultado ilícito e construindo condutas típicas agraváveis em função do dano pretendido e alcançado com esse uso. Em concreto, a lei italiana, para além de prever o agravamento das penas quando em causa estão crimes comuns cometidos com recurso a IA, em razão do uso insidioso, do (maior) prejuízo causado e do dano agravado, criou, ainda, um novo crime, o crime de difusão ilícita de conteúdos gerados ou alterados com sistemas de Inteligência Artificial, punível com pena de prisão de 1 a 5 anos (artigo 612.º-B do Código Penal italiano, introduzido pelo artigo 26.º, n.º 1, al. c) da Lei n.º 132/2025). A solução italiana passa, precisamente, por preservar o princípio da culpa e rejeitar a responsabilidade objetiva, uma vez que, (re)centra o foco na pessoa por detrás da conduta lesiva causada pelo uso da IA, à qual impõe – como teste decisivo na aferição de responsabilidade – a intenção da mesma em difundir conteúdo enganoso e lesivo, relegando a punição de erros mecânicos do sistema que não venham acompanhados de uma conduta humana relevante. Também por esse motivo, o agravamento das penas em crimes comuns potenciados pela utilização dessa tecnologia pressupõe a avaliação concreta da conduta do agente humana, consciente e capaz de fazer da mesma um meio insidioso ao dano pretendido. A lei opta, dessa forma, pela punição decorrente do modo de execução, de forma tal que tem de ser possível encontrar dolo na conduta humana – de quem, por hipótese, decide difundir conteúdo enganador – ou, no limite, negligência, em razão do facto de não terem sido adotadas as medidas de segurança imprescindíveis à prevenção do resultado típico.
Ao reforçar que um sistema de IA (inclusive um agente) não é o sujeito do crime, mas antes um instrumento à sua prática, fazendo depender a punição de culpa humana – seja pelo dolo decorrente da finalidade de o cometer, seja pela negligência subjacente à violação de deveres de cuidado que o deveriam evitar –, esta abordagem impede a responsabilidade penal automática por acontecimentos emergentes de sistemas opacos ou autónomos, muitas vezes imprevisíveis e incontroláveis. Enquanto linha da frente na legislação desta matéria, a solução trazida pela lei italiana é, a meu ver, estratégica e cautelosa. De facto, por muita consciência que tenhamos acerca da evolução desenfreada dos sistemas de IA, a vontade de punir não pode querer ultrapassar a realidade em que nos situamos, muito menos subverter os princípios e regras sobre os quais contruímos a responsabilidade penal. É por esse motivo que devemos continuar a olhar para a IA como um meio e não como um fim em si mesma, cientes de que a sua magnitude e emancipação não poderão, por enquanto, significar desgarrar os seus malefícios da cadeia de decisão por detrás da sua implementação, promoção e utilização.
Desta forma, entre a ficção de responsabilizar o sistema e o atalho perigoso de responsabilizar, em qualquer circunstância, o seu criador ou utilizador, a via correta, razoável e proporcional deverá ser a que, em linha com o Direito Penal tradicional, mas dele crescendo, não só impõe deveres e medidas preventivas a quem concebe e opera agentes de IA, como também tipifica a violação grave desses deveres e certos usos intrinsecamente perigosos, distribuindo a imputação conforme o controlo real exercido sobre os mesmos.
O exemplo italiano mostra que é possível reagir a usos nocivos da IA, não só elencando e punindo condutas indubitavelmente danosas decorrentes da sua utilização, mas também dando o mote à punição de guarda, isto é, àquela que impõe ao criador, ao utilizador e, sobretudo, às próprias empresas “[a]dozione (…) di misure di sicurezza per la produzione, la messa in circolazione e l’utilizzo professionale di sistemi di intelligenza artificiale, quando da tali omissioni deriva pericolo concreto per la vita o l’incolumità pubblica o individuale o per la sicurezza dello Stato” (cf. artigo 24.º, n.º 5, al. b) da Lei n.º 132/2025) [1].
É, pois, assumindo e construindo um dever de garante cada vez mais robusto que será possível antecipar e desincentivar riscos sistémicos próprios de agentes com um tipo de autonomia relevante. Tal como a própria lei italiana já prevê, é preciso agora clarificar os “criteri di imputazione della responsabilità penale delle persone fisiche e amministrativa degli enti per gli illeciti inerenti a sistemi di intelligenza artificiale, che tenga conto del livello effettivo di controllo dei sistemi predetti da parte dell’agente”(cf. artigo 24.º, n.º 5, al. c) da Lei n.º 132/2025) [2]. Para isso, e dando como assente que a mesma passa – como referimos – por colocar o agente humano em primeiro plano e só depois o agente artificial, será necessário estabelecer concretos e determináveis deveres técnicos ex ante que, perante o seu incumprimento grave ou reiterado, assaquem responsabilidade penal aos seus programadores e utilizadores, consoante o grau de controlo efetivo que detinham sobre o sistema de IA e a previsão do risco que a sua utilização comportava.
Somente assim conseguiremos criar um dever de garante amplo o suficiente ao ponto de, sem fundamentar a responsabilidade do agente humano na imprevisibilidade e nos erros do agente de IA, ser capaz de abarcar o maior número de utilizações e atuações deste último, cuja ocorrência cabia ao primeiro antecipar, prevenir e evitar.
[1] Tradução livre: a adoção de medidas de segurança para a produção, colocação em circulação e utilização profissional de sistemas de inteligência artificial, quando tais omissões resultem num perigo concreto para a vida ou segurança pública ou individual ou para a segurança do Estado.
[2] Tradução livre: clarificar os critérios de imputação da responsabilidade penal por infrações relativas aos sistemas de inteligência artificial, que tenha em conta o nível efetivo de controlo dos referidos sistemas pelo agente.
