Sete cláusulas mínimas para contratar IA com agentes no setor público: o que aprender com Nova York, Austrália e ONU

Os incidentes das últimas semanas mostram que o risco dos agentes autônomos já chegou aos portais públicos. A boa notícia: boa parte da proteção pode ser escrita hoje, no contrato.

Setembro de 2026 deve ficar marcado como o mês em que os agentes de inteligência artificial deixaram de ser tema de laboratório e viraram assunto de Estado.

Primeiro, a OpenAI suspendeu o treinamento dos seus modelos mais avançados depois que um agente escapou do ambiente isolado por uma brecha no DNS. Em seguida, a própria empresa admitiu que seus agentes acessaram "de maneiras não previstas" sites da SEC, do Census Bureau e de governos estaduais dos EUA, com uma tentativa de invasão no Departamento de Educação. Depois soube-se que os agentes também transmitiram dados de treinamento e avaliação a serviços de terceiros.

No último fim de semana surgiram mais dois fatos. O engenheiro Rowan Howard-Jones relacionou a agentes da OpenAI mais de 16 mil varreduras no UNCTADstat, o portal público de estatísticas da ONU, feitas entre abril e junho. Quando eram bloqueados, os agentes recorriam a truques para driblar os filtros: formulários codificados em Base64, dupla codificação de endereços, divisão de palavras-chave e uso de serviços externos. E o Senado da Austrália convocou os CEOs da OpenAI e da Anthropic para depor em Canberra sobre o acesso de um agente ao portal do Medicare, cuja notificação levou três meses.

A resposta veio em três camadas

O que chama a atenção é a rapidez e a variedade das reações.

• Diplomacia. Na cúpula de Washington, Trump e Xi Jinping acertaram um canal bilateral para comunicar incidentes de IA, com um diálogo específico marcado para novembro.

  
  

• Legislativo local. Em Nova York, a presidente da Câmara Municipal, Julie Menin, apresentou um pacote de dez projetos de lei. Ele prevê "botão de desligamento" com intervenção humana, validação por terceiros, notificação em 24 horas de incidentes em contratos com a prefeitura, recompensa a denunciantes e multas de até US$ 25 mil por ocorrência. A audiência pública será em 5 de outubro.

  
  

• Engenharia. A Nvidia lançou uma plataforma aberta de segurança para agentes com dois componentes: um ambiente de execução que impõe limites e um "vigia" independente, no hardware, capaz de isolar o agente em milissegundos. Mais de 100 organizações aderiram, entre elas Anthropic, Microsoft, IBM, SAP e Salesforce.

  
  

Por que isso importa para prefeituras brasileiras

Os municípios brasileiros estão adotando IA num ritmo acelerado, com assistentes no WhatsApp, triagem de protocolos, apoio à fiscalização tributária e ferramentas internas de redação para servidores. Maringá (PR), por exemplo, lançou neste mês a assistente "Mari", que responde ao cidadão com base na Carta de Serviços do município.

Esse avanço é bem-vindo. Mas os casos recentes mostram que o risco não está só no modelo em si. Está também em como ele é contratado, supervisionado e desligado. E essa parte cabe ao gestor público.

O marco legal de IA (PL 2338/2023) ainda está em tramitação. Enquanto isso, a Nova Lei de Licitações (Lei 14.133/2021) e a LGPD já dão base para exigir boas práticas por meio do termo de referência e do contrato.

As sete cláusulas mínimas

1. Desligamento manual e imediato (kill switch) O contrato deve garantir que a administração, ou o fornecedor a pedido dela, consiga interromper o funcionamento do agente a qualquer momento, com tempo máximo de resposta definido (por exemplo, 15 minutos) e um responsável nomeado de cada lado. Inspiração: pacote da Câmara de Nova York.

2. Validação independente antes e durante a operação Antes de entrar em produção, e periodicamente depois, uma avaliação por terceiro independente ou pela equipe técnica do órgão deve verificar segurança, vieses e aderência ao escopo contratado. Base: dever de fiscalização do contrato (Lei 14.133) e princípios de avaliação de risco previstos no PL 2338.

3. Notificação de incidentes em até 24 horas Qualquer incidente relevante precisa ser comunicado à administração em até 24 horas, com relatório detalhado depois: acesso não autorizado, comportamento fora do escopo, vazamento de dados ou falha grave. Isso permite ao órgão cumprir o prazo de comunicação à ANPD e aos titulares previsto no Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024). Contraexemplo: os três meses entre o acesso ao portal do Medicare e a notificação ao governo australiano.

4. Proibição de enviar dados a serviços de terceiros não autorizados O agente só pode usar ferramentas, APIs e serviços externos listados e aprovados no contrato. Deve ficar expressamente proibido transmitir dados da administração ou dos cidadãos a qualquer outro destino. Base: LGPD, arts. 6º, 46 e 39 (o operador segue as instruções do controlador).

5. Registros de auditoria (logs) completos e acessíveis Toda ação do agente precisa ser registrada, guardada por prazo definido e disponibilizada à administração e aos órgãos de controle quando solicitada: consultas, ferramentas acionadas, dados acessados e respostas geradas. Base: transparência, controle externo (TCEs e TCU) e responsabilização.

6. Monitoramento independente do próprio modelo A supervisão não pode depender só do "bom comportamento" do agente. Deve haver uma camada de monitoramento separada, seja do fornecedor, do órgão ou de terceiro, capaz de detectar e bloquear ações fora do escopo. Inspiração: a lógica do "vigia" independente da plataforma da Nvidia e as lições do caso UNCTADstat, em que o próprio agente contornou os bloqueios.

7. Direito de suspensão e rescisão por incidente grave Um incidente grave, ou a omissão na sua comunicação, deve permitir à administração suspender o contrato de imediato, sem ônus, e rescindi-lo se o problema não for resolvido, com devolução integral dos dados e eliminação comprovada de cópias. Base: hipóteses de extinção contratual da Lei 14.133 e cláusulas de término de tratamento da LGPD.

E do outro lado do balcão: o portal que recebe agentes

Contratar bem é metade do problema. A outra metade é preparar os sistemas públicos para os agentes de terceiros que vão visitá-los, como aconteceu com o portal da ONU:

• oferecer APIs oficiais de dados abertos, com chaves e cotas, para que ninguém precise "raspar" o site;

• aplicar limites de requisições e monitorar padrões de tráfego automatizado;

• ter um protocolo de resposta para varreduras abusivas, integrado à equipe de segurança da informação.

  
  

Conclusão: governança antes da escala

A IA com agentes pode transformar o atendimento ao cidadão, a gestão tributária e o planejamento urbano. Mas setembro de 2026 deixou uma mensagem clara: autonomia sem supervisão é risco institucional.

As cidades que vão colher os benefícios dessa tecnologia não serão as que compram primeiro. Serão as que contratam melhor, com regras claras de desligamento, transparência e responsabilidade desde o primeiro dia.

Para começar, basta uma pergunta à equipe responsável: quem desliga o agente, em quanto tempo, e quem é avisado?