Framework de Governança de Segurança de IA da China 3.0 volta seu foco para agentes e controle
A China lançou o Framework de Governança de Segurança de IA da China 3.0 em 14 de setembro, marcando sua terceira revisão em três anos. O documento preserva o modelo chinês baseado em riscos, mas desloca a atenção para agentes de IA, sistemas do mundo físico e o perigo de perda do controle humano. Essa mudança importa porque a IA está passando de gerar respostas a executar ações.
O Comitê Técnico Nacional 260 sobre Cibersegurança, conhecido como TC260, divulgou o framework durante a abertura da Semana Nacional de Cibersegurança da China de 2026, em Jinan. A Administração do Ciberespaço da China, ou CAC, orientou seu desenvolvimento.
A publicação não é uma nova lei e não impõe automaticamente novas penalidades às empresas de IA. Sua importância vem de outro lugar. Os frameworks do TC260 podem moldar padrões técnicos, práticas de teste, orientações setoriais e as expectativas que reguladores aplicam a desenvolvedores e provedores de serviços.
A versão 3.0 também chega um ano depois de o framework ter incorporado riscos sociais e éticos mais amplos. A China agora estende o mesmo modelo de governança a sistemas capazes de usar ferramentas, acessar arquivos, comunicar-se com outros serviços e agir com menos supervisão direta.
Isso cria a tensão central. A China quer ampliar a adoção de IA em empresas e serviços públicos, enquanto insiste que sistemas cada vez mais autônomos permaneçam previsíveis, rastreáveis e sujeitos à intervenção humana.
O que muda com o Framework de Governança de Segurança de IA da China 3.0
O framework trata a ação autônoma, e não uma conversa melhor, como o problema de segurança definidor do próximo ciclo de implantação de IA.
De acordo com o lançamento oficial do framework, o TC260 manteve três elementos das edições anteriores: classificação de riscos, contramedidas técnicas e governança abrangente. Ele atualizou os riscos dentro dessa estrutura e ajustou as respostas recomendadas.
Essa continuidade é importante. A versão 3.0 não representa uma rejeição da abordagem anterior da China. É uma tentativa de aplicar a mesma abordagem a sistemas com acesso mais amplo, períodos de operação mais longos e maior influência fora de uma janela de chat.
O documento descreve a disseminação de aplicações de IA de ambientes especializados para o uso generalizado. Ele cita assistentes de trabalho, assistentes pessoais e celulares habilitados por agentes como exemplos. Também distingue sistemas que respondem a perguntas de sistemas que executam tarefas.
Um agente de IA é um sistema capaz de perceber informações, reter contexto, tomar decisões, acionar ferramentas e executar etapas rumo a um objetivo. Essas capacidades podem reduzir o trabalho rotineiro, mas também criam cadeias mais longas de possíveis falhas.
Um chatbot pode produzir uma resposta incorreta. Um agente pode aceitar essa resposta, abrir um serviço, alterar um registro, enviar informações ou acionar outro processo antes que uma pessoa perceba o erro.
A versão 3.0, portanto, trata os riscos de agentes de forma mais explícita. Seu anexo sobre gestão de riscos de agentes de IA abrange todo o ciclo de vida do sistema, do desenvolvimento e da implantação à operação e à retirada.
O framework pede que as organizações examinem o que um agente lê, em quais instruções ele confia, quais ferramentas pode acionar e se suas ações permanecem dentro da solicitação do usuário. Essas questões abordam o processo por trás de uma saída, e não apenas a própria saída.
Essa distinção muda a forma como a segurança deve ser avaliada. Um relatório final pode parecer preciso mesmo que o agente tenha exposto dados confidenciais ao produzi-lo. Uma transação concluída pode parecer válida mesmo que instruções maliciosas tenham redirecionado uma etapa do fluxo de trabalho.
A injeção de prompt ilustra o problema. Um ataque de injeção de prompt insere instruções ocultas ou enganosas em conteúdo processado por um sistema de IA. Um agente navegando em uma página da web poderia interpretar essas instruções como comandos, mesmo sem a aprovação do usuário.
O framework também discute riscos provenientes de plug-ins comprometidos, respostas de ferramentas manipuladas, permissões excessivas e memória não confiável. Cada fragilidade se torna mais grave quando o sistema pode agir sem confirmação.
A inteligência incorporada também recebe maior atenção. O termo abrange IA conectada a máquinas que detectam ou afetam o mundo físico, incluindo robôs, veículos e equipamentos industriais.
Quando um software pode controlar um dispositivo físico, uma falha de cibersegurança pode se transformar em um incidente de segurança. Uma instrução manipulada pode afetar movimentos, produção, controle de acesso ou a operação de equipamentos.
O documento também identifica a melhoria recursiva e o desenvolvimento autoacelerado como questões que exigem vigilância. Ele não afirma que os sistemas atuais tenham escapado ao controle humano. Em vez disso, argumenta que uma otimização autônoma mais rápida merece testes e supervisão contínuos.
O resultado é um framework de segurança de IA explicado por uma nova realidade operacional. O comportamento do modelo ainda importa, mas permissões, ferramentas, conexões, memória e acesso físico agora fazem parte do limite de segurança.
Por que a China está atualizando novamente seu manual de governança de IA
Três lançamentos anuais mostram que a China vê a governança de IA como um processo técnico em movimento, não como um documento de política que pode permanecer inalterado por anos.
O TC260 publicou a primeira edição em setembro de 2024. Essa versão organizava riscos relacionados a modelos, algoritmos, dados, sistemas, cibersegurança, segurança física, cognição e ética.
O primeiro framework estabeleceu princípios que ainda moldam a série. Ele priorizava a inovação, ao mesmo tempo que defendia uma governança inclusiva, prudente, orientada a riscos e cooperativa.
A versão 2.0 foi lançada em 15 de setembro de 2025. Ela preservou a estrutura original, mas acrescentou uma categoria para riscos derivados, ou seja, consequências mais amplas que surgem com o uso disseminado de IA.
Esses riscos incluíam efeitos sobre emprego, estruturas sociais, demanda por recursos, educação, relações humanas e meio ambiente. A segunda edição também acrescentou um princípio mais claro de uso confiável e prevenção da perda de controle.
Comentários oficiais sobre o segundo framework afirmaram que ele continha 14 medidas de governança abrangente e quatro diretrizes de segurança. Ele também inseriu a ética científica e tecnológica de forma mais firme no ciclo de vida da IA.
A versão 3.0 se apoia nessa base em vez de criar outro sistema de classificação. Seu momento reflete o quanto o alvo de implantação mudou.
Muitos produtos de IA generativa antes operavam como interfaces isoladas. Usuários inseriam prompts, os modelos retornavam texto e as pessoas decidiam o que fazer em seguida. Essa separação está desaparecendo.
Agora, agentes podem pesquisar documentos internos, acionar interfaces de software, escrever código, operar navegadores, preparar mensagens e coordenar tarefas de várias etapas. Mesmo uma autonomia modesta amplia o número de decisões que um sistema toma entre pontos de verificação humanos.
O trabalho de política da China em 2026 já havia sinalizado essa mudança. Em maio, a CAC, a Comissão Nacional de Desenvolvimento e Reforma e o Ministério da Indústria e Tecnologia da Informação emitiram orientações de implementação para agentes de IA.
As diretrizes para agentes definem agentes como sistemas capazes de percepção autônoma, memória, tomada de decisões, interação e execução. Elas também identificam 19 cenários de aplicação em pesquisa, indústria, serviços ao consumidor, bem-estar público e governança social.
Esse documento promove a adoção, ao mesmo tempo que enfatiza segurança, controlabilidade e desenvolvimento padronizado. O Framework 3.0 fornece uma camada mais ampla de gestão de riscos em torno da mesma direção.
É por isso que a atualização é mais do que manutenção anual de políticas. A China tenta estabelecer expectativas de segurança antes que agentes se tornem infraestrutura comum em setores sensíveis.
O framework identifica governo, finanças, educação, radiodifusão, saúde e gestão de emergências como áreas que exigem orientação específica por setor. Uma única regra horizontal não pode captar as diferentes consequências de falhas nesses ambientes.
Um assistente de compras não confiável pode desperdiçar o tempo de um cliente. Um sistema médico ou de gestão de emergências não confiável pode influenciar decisões que envolvem saúde, recursos públicos ou segurança imediata.
A governança de IA da China, portanto, combina princípios gerais com planos para padrões mais específicos. O framework descreve os riscos, enquanto normas posteriores podem traduzir partes selecionadas em requisitos que auditores e organizações de teste conseguem avaliar.
Essa estrutura em camadas também permite que a política mude sem reescrever todas as regras obrigatórias. Os reguladores podem atualizar orientações técnicas conforme o comportamento dos sistemas muda e, depois, incorporar controles selecionados a normas ou regulamentos setoriais.
Para as empresas, o ritmo cria uma carga prática. Uma revisão de segurança projetada para um modelo de texto pode não abranger um agente que usa ferramentas externas. Uma revisão desenvolvida para uma implantação pode se tornar incompleta depois que permissões, integrações ou escala operacional mudam.
A versão 3.0 aborda esse problema por meio da governança ágil. As avaliações de risco devem considerar o contexto de aplicação, a inteligência do sistema e a escala de implantação, mudando à medida que essas condições mudam.
A sequência anual torna a mensagem de política difícil de ignorar. Implantar um sistema mais capaz significa reabrir a análise de segurança, mesmo quando o nome do modelo subjacente permanece inalterado.
A principal contrapartida é inovação versus controle verificável
A China quer que as organizações implantem agentes úteis, mas espera que demonstrem que a autonomia permanece limitada durante toda a tarefa.
O framework descreve a inovação como prioridade e apoia a experimentação controlada, incluindo sandboxes regulatórios. Um sandbox regulatório permite que produtos selecionados operem sob condições limitadas enquanto autoridades e desenvolvedores observam os riscos.
Ao mesmo tempo, o documento pede sistemas que permaneçam sob controle humano. Esses dois objetivos não se alinham naturalmente quando um agente pode escolher ferramentas e ações intermediárias.
Um agente rigidamente limitado é mais fácil de monitorar, mas menos flexível. Um agente com ampla autorização pode concluir mais tarefas, mas cria uma superfície de ataque maior e mais caminhos para comportamentos não intencionais.
Considere um assistente de pesquisa no ambiente de trabalho. Ele poderia buscar notas internas, navegar por sites públicos, comparar registros e preparar uma recomendação. Cada capacidade parece razoável quando avaliada separadamente.
O risco aparece em sua combinação. Uma página pública pode conter uma instrução oculta ordenando ao agente que recupere material confidencial. Um amplo acesso a arquivos poderia permitir que ele obedecesse, enquanto uma conexão de saída poderia expor o resultado.
Evitar essa sequência exige mais do que filtrar o texto final do agente. Desenvolvedores devem separar instruções confiáveis de conteúdo não confiável, minimizar permissões, validar chamadas de ferramentas e registrar ações para revisão posterior.
O framework pede monitoramento mais forte, alerta precoce, resposta a emergências e testes. Ele também apoia bancos de dados de vulnerabilidades e mecanismos de compartilhamento de informações envolvendo desenvolvedores, provedores de serviços e instituições técnicas.
Essas medidas apontam para um modelo de controle baseado em evidências. Uma empresa deve conseguir demonstrar o que o sistema acessou, qual decisão acionou uma ação e quando uma pessoa poderia interrompê-lo.
Essa expectativa cria pressão sobre desenvolvedores, compradores empresariais e operadores. Os desenvolvedores precisam incorporar salvaguardas às arquiteturas de agentes. Os compradores precisam avaliar toda a implantação, em vez de depender das alegações de segurança de um fornecedor de modelos.
Os operadores também precisam de limites claros de responsabilidade. Quando um fornecedor de modelos, desenvolvedor de aplicações, fornecedor de plug-ins, serviço de nuvem e cliente influenciam um mesmo fluxo de trabalho, a responsabilização pode se fragmentar.
O Framework 3.0 atribui responsabilidades entre desenvolvedores de modelos e algoritmos, provedores de serviços e usuários. No entanto, uma declaração ampla de responsabilidade não resolve automaticamente disputas após uma falha complexa.
As cadeias de fornecimento tornam o problema mais difícil. Um agente pode depender de um modelo de código aberto, software de recuperação de terceiros, APIs externas e sistemas de dados empresariais. Uma vulnerabilidade em qualquer componente pode afetar o comportamento final.
O framework reconhece riscos diferentes em modelos abertos e fechados. Sistemas fechados podem limitar a auditoria externa e a personalização, pois um único fornecedor controla seus mecanismos de segurança.
Modelos abertos permitem uma inspeção e adaptação mais amplas, mas as salvaguardas podem ser removidas ou contornadas. As atualizações também podem não alcançar todas as cópias modificadas ou implantadas de forma privada.
Nenhuma das abordagens elimina o trabalho de governança. Fornecedores fechados precisam oferecer evidências relevantes sobre seus controles, enquanto implantações abertas exigem testes locais, gestão de configuração e um plano de atualizações de segurança.
A mesma troca aparece na precisão dos modelos. Alucinação, ou seja, uma resposta plausível não sustentada por evidências confiáveis, torna-se mais perigosa quando um agente a trata como base para agir.
As equipes não podem resolver esse problema apenas adicionando um aviso abaixo da resposta. Elas precisam de mecanismos que exijam evidências autoritativas, bloqueiem ações sem sustentação ou direcionem decisões de alto impacto para pessoas.
Esses controles reduzem a velocidade e elevam o custo operacional. Também podem limitar a autonomia que torna os agentes atraentes. Esse é o acordo central por trás do China AI Safety Governance Framework 3.0.
O documento não exige que todos os sistemas recebam tratamento idêntico. Sua abordagem de classificação de risco considera a importância do cenário, a inteligência do sistema e a escala de uso.
Essa abordagem é mais prática do que aplicar controles máximos em todos os casos. Ela também levanta questões difíceis sobre os limites.
As organizações precisam decidir quando um assistente comum se torna um agente de alto impacto. Precisam determinar quais permissões criam risco material e quais ações exigem confirmação.
O framework oferece orientação, mas muitas respostas operacionais dependerão de normas posteriores, regras setoriais e métodos de avaliação. Até que elas cheguem, as empresas precisarão interpretar princípios amplos em seus próprios ambientes técnicos.
Um Framework Não É o Mesmo que um Conjunto de Regras Aplicáveis
A publicação sinaliza prioridades regulatórias, mas não estabelece, por si só, um teste completo de conformidade para cada agente de IA.
O TC260 é o órgão nacional chinês de padrões de cibersegurança. Seus documentos técnicos podem influenciar regulamentações, compras, avaliações e normas formais, mas seu efeito jurídico depende do documento e das regras a ele vinculadas.
O Framework 3.0 é mais bem compreendido como um mapa de governança. Ele identifica categorias de risco e recomenda respostas técnicas e institucionais. Não substitui leis aplicáveis nem normas obrigatórias.
A China já possui regras vinculantes para alguns serviços de IA generativa. As Medidas Provisórias para Serviços de IA Generativa se aplicam principalmente a serviços oferecidos ao público na China continental.
Outras exigências podem envolver registros de algoritmos, avaliações de segurança, informações pessoais, segurança de dados, governança de conteúdo e supervisão setorial. As obrigações relevantes dependem do fornecedor, do serviço, dos usuários e do contexto de implantação.
Uma norma nacional finalizada oferece um contraste útil. A GB/T 45654-2025 da China abrange requisitos básicos de segurança para serviços de IA generativa, incluindo segurança dos dados de treinamento, segurança dos modelos e medidas de proteção.
Uma tradução da norma em inglês observa que ela dá suporte a protocolos, registro, testes e avaliação. Ela se aplica aos fornecedores e pode orientar reguladores e avaliadores independentes.
Essa norma é mais específica do que o framework amplo. Ela aborda procedimentos para dados de treinamento, conteúdo gerado, segurança de modelos e avaliação de segurança.
Ainda assim, analistas externos questionaram quão consistentemente medidas rigorosas serão aplicadas durante a rápida competição entre modelos. A mesma incerteza é ainda maior para recomendações que permanecem no nível do framework.
A versão 3.0 exige testes regulares sobre a possível perda de controle tecnológico. No entanto, a publicação não estabelece uma suíte universal de testes, uma pontuação pública ou um único limite que determine se um agente é seguro.
Termos como controlabilidade, uso confiável e risco catastrófico também exigem definições mensuráveis. Sem elas, duas organizações podem alegar conformidade enquanto aplicam salvaguardas muito diferentes.
O acesso independente apresenta outra questão não resolvida. Modelos fechados podem impedir que pesquisadores externos examinem controles internos. Implantações abertas podem ser difíceis de inventariar após modificações e redistribuições.
A transparência sobre incidentes será tão importante quanto os testes anteriores à implantação. Uma empresa pode passar em uma avaliação programada e ainda sofrer falhas após integrar novas ferramentas ou alterar as instruções do sistema.
A divulgação pública continua desigual em todo o setor de IA. Sem dados comparáveis sobre incidentes, reguladores e compradores não conseguem avaliar facilmente quais controles funcionam fora das condições de laboratório.
O framework recomenda o compartilhamento de informações sobre vulnerabilidades, defeitos, riscos e incidentes. Construir um mecanismo de reporte útil exigirá regras claras de envio e proteção contra divulgações incompletas.
A coordenação transfronteiriça é outra parte ambiciosa do documento. A versão 3.0 apoia as Nações Unidas como canal central para a governança global de IA e pede mecanismos de gestão de crises.
Esse objetivo enfrenta obstáculos políticos e técnicos. Os governos divergem quanto à segurança nacional, regras de conteúdo, privacidade, propriedade intelectual, modelos abertos e acesso estatal aceitável aos dados.
Mesmo uma preocupação compartilhada com capacidades perigosas não garante concordância sobre as evidências. Os países podem usar avaliações, modelos de ameaça e requisitos de divulgação diferentes.
A linguagem internacional do framework deve, portanto, ser entendida como uma posição de política pública, e não como prova de alinhamento global. Sua influência dependerá de a China publicar métodos de teste utilizáveis e apoiar a cooperação técnica recíproca.
Também há o risco de que uma linguagem ampla sobre segurança se torne uma barreira para desenvolvedores menores. Grandes empresas podem financiar equipes jurídicas, auditorias, red teaming, monitoramento e resposta a incidentes.
Laboratórios menores podem ter dificuldade para atender às mesmas expectativas, especialmente quando as normas mudam rapidamente. Ambientes de teste e recursos compartilhados de avaliação poderiam reduzir essa carga, mas sua acessibilidade será importante.
A leitura cética é direta. O Framework 3.0 identifica com precisão vários riscos emergentes, mas identificar é mais fácil do que implementar.
Seu valor real será medido pelas normas, avaliações, sistemas de reporte e práticas de aplicação que vierem depois. Sem esses mecanismos, a controlabilidade permanece um objetivo, em vez de uma propriedade verificada.
A Governança de IA da China Agora Vai Além do Modelo
O limite das políticas cobre cada vez mais todo o ambiente operacional, incluindo dados, memória, ferramentas, infraestrutura, usuários e dispositivos físicos.
Debates anteriores sobre governança de IA frequentemente se concentravam em conjuntos de dados de treinamento e respostas de modelos. Esses temas continuam importantes, mas os agentes tornam o sistema ao redor igualmente relevante.
O comportamento de um modelo pode mudar quando desenvolvedores alteram as instruções do sistema, fontes de recuperação, memória, plug-ins ou ferramentas disponíveis. O modelo-base pode permanecer idêntico enquanto a implantação adquire novos riscos.
Isso significa que a avaliação do modelo, por si só, não pode certificar um produto baseado em agentes. Os testes precisam incluir o sistema montado e as condições nas quais as pessoas o utilizam.
O framework recomenda requisitos de segurança em pesquisa, desenvolvimento, implantação, operação e desativação. A desativação é importante porque credenciais antigas, memória armazenada e serviços conectados podem permanecer expostos após o encerramento de um produto.
A governança de dados continua sendo uma preocupação central. O documento pede a proteção de informações pessoais durante treinamento, anotação, uso e geração de respostas, incluindo desidentificação quando apropriado.
Também destaca dados importantes e essenciais em áreas como governo e finanças. Agentes que operam nesses setores podem cruzar limites de informação mais rapidamente do que usuários humanos, especialmente quando as permissões são herdadas de contas conectadas.
A memória introduz outra camada. A memória persistente de um agente pode melhorar a continuidade, mas também pode reter informações incorretas, sensíveis ou inseridas de forma maliciosa.
Uma implantação segura precisa de regras sobre o que o agente armazena, por quanto tempo mantém informações e quem pode inspecioná-las ou excluí-las. A memória não deve se tornar um registro invisível que molda ações futuras sem que o usuário saiba.
A governança de ferramentas é igualmente importante. Os desenvolvedores precisam de listas de permissões, limites de acesso, prévias de ação, limites de transação e autenticação forte para operações de alto impacto.
Um agente não deve receber acesso administrativo permanente apenas porque um fluxo de trabalho ocasionalmente exige permissão elevada. A autorização temporária e específica por tarefa reduz os danos causados por erros ou ataques.
A supervisão humana também exige um desenho preciso. Uma caixa de confirmação pouco ajuda se os usuários não conseguem entender a ação proposta ou se alertas frequentes incentivam a aprovação automática.
Uma intervenção eficaz exige informações oportunas e relevantes. Os usuários precisam ver o que o agente planeja fazer, quais dados utilizará e quais consequências a ação traz.
Os registros dão suporte tanto à supervisão quanto à investigação. Eles devem capturar chamadas de ferramentas, acesso a dados, mudanças de permissões, decisões do modelo e aprovações humanas sem criar outro repositório descontrolado de informações sensíveis.
A atenção do framework à IA incorporada eleva ainda mais o nível de exigência. Sistemas físicos precisam de estados seguros de contingência, limites ambientais e formas de interromper a operação quando a comunicação ou a percepção falhar.
Um robô de armazém, sistema de laboratório ou veículo conectado não pode depender apenas de um mecanismo de recusa baseado em texto. A segurança precisa existir no software, no hardware, nos procedimentos operacionais e nos controles físicos.
As equipes de cibersegurança também enfrentam uma função dupla. A IA pode automatizar revisão de código, descoberta de vulnerabilidades, detecção de ataques e correção, como reconhece o framework.
Atacantes podem usar as mesmas capacidades para aumentar a velocidade e a escala de atividades maliciosas. Sistemas baseados em agentes podem encadear reconhecimento, exploração e tratamento de dados com menos intervenção direta.
Isso cria pressão para migrar da defesa reativa para o monitoramento contínuo. As organizações precisam avaliar o comportamento de seus próprios agentes e detectar ataques assistidos por IA vindos de fora.
O escopo mais amplo alinha a governança de IA da China a uma lição geral emergente em diversos mercados. A segurança depende de como um modelo é conectado e usado, e não apenas do que ele consegue fazer isoladamente.
Para compradores empresariais, isso muda as perguntas de aquisição. Pontuações de benchmarks e cartões de modelo são insuficientes quando um produto pode acessar registros internos ou iniciar transações.
Os compradores devem perguntar a quais ferramentas o agente pode acessar, como as permissões são concedidas, se conteúdo externo é tratado como não confiável e como as ações podem ser revertidas.
Também devem perguntar se o fornecedor divulga incidentes e apoia testes independentes. Uma interface refinada não pode substituir evidências operacionais.
Os trabalhadores do conhecimento enfrentam um desafio semelhante em menor escala. Um assistente que organiza pesquisas ou prepara um relatório ainda precisa de limites confiáveis para as fontes e de um tratamento claro do material privado.
Boas práticas de informação passam a fazer parte da segurança de IA. As equipes precisam de fontes rastreáveis, controles de acesso deliberados e etapas de revisão proporcionais às consequências de cada tarefa.
Isso não exige rejeitar a automação. Exige tratar os agentes como participantes dos fluxos de trabalho, com autoridade definida e comportamento observável.
Três Sinais Mostrarão se o Framework 3.0 Tem Força
A próxima fase depende de padrões mensuráveis, relatórios reais de incidentes e controles específicos por setor, e não de mais uma declaração de princípios.
O primeiro sinal é a publicação de padrões concretos para testes de agentes. Eles devem definir procedimentos de avaliação para injeção de prompts, uso indevido de ferramentas, escalonamento de permissões, corrupção de memória e perda de controle da tarefa.
Testes claros fortaleceriam a credibilidade do framework. Eles dariam aos desenvolvedores uma meta comum e permitiriam que compradores comparassem alegações de segurança com base em evidências semelhantes.
Uma linguagem vaga de avaliação enfraqueceria esse resultado. Se cada fornecedor escolher seus próprios testes e limites, o mercado receberá muitas alegações, mas pouca comparabilidade.
O segundo sinal é um sistema funcional de comunicação de incidentes e vulnerabilidades. O Framework 3.0 pede bancos de dados e mecanismos de compartilhamento de informações que envolvam desenvolvedores, fornecedores e instituições técnicas.
Um sistema útil publicaria categorias, prazos de comunicação, expectativas de correção e detalhes anonimizados suficientes para que outros aprimorassem suas defesas. Também distinguiria erros menores de eventos graves de segurança.
Relatórios consistentes apoiariam o modelo de governança ágil do framework, pois as autoridades poderiam atualizar controles com base em falhas observadas. Relatórios escassos ou inacessíveis deixariam as políticas dependentes de riscos hipotéticos.
O terceiro sinal é a implementação específica por setor. Governo, finanças, educação, saúde, mídia e gestão de emergências precisam de diferentes limites para autonomia e revisão humana.
As orientações setoriais devem definir quais ações dos agentes precisam de aprovação, quais fontes de dados permanecem restritas e quais evidências as organizações devem manter. Requisitos de contratação pública podem se tornar uma via inicial para esses controles.
Regras setoriais detalhadas mostrariam que o framework está passando da estratégia nacional para a prática operacional. Orientações genéricas deixariam decisões críticas para organizações individuais, com níveis desiguais de especialização.
A coordenação internacional merece atenção, mas é um teste de prazo mais longo. Protocolos de crise exigem acordo sobre contatos, evidências, confidencialidade e procedimentos de resposta antes que ocorra um grande incidente.
As evidências mais imediatas virão da implementação doméstica. A China já publicou três versões de seu framework de segurança de IA em três anos consecutivos.
Esse ritmo demonstra atenção, mas a repetição por si só não comprova eficácia. A questão importante é se os riscos mais recentes se tornam requisitos testáveis antes que as implantações de agentes se expandam ainda mais.
Os desenvolvedores devem acompanhar os planos de trabalho do TC260, os projetos de normas e os documentos de consulta pública. Compradores empresariais devem observar se os reguladores começam a mencionar controles para agentes durante avaliações ou processos de contratação.
Os trabalhadores do conhecimento devem prestar atenção às mudanças de permissões no nível do produto. Assistentes mais capazes solicitarão cada vez mais acesso a arquivos, contas, comunicações e sistemas empresariais.
O China AI Safety Governance Framework 3.0 faz uma avaliação clara: a segurança de IA não pode mais terminar na resposta do modelo. Ela deve abranger cada etapa entre a solicitação de um usuário e a ação de um sistema.
Os próximos um a três meses devem revelar se essa avaliação ganha detalhes operacionais. Procure métodos de teste para agentes, regras de compartilhamento de incidentes e controles setoriais que transformem princípios amplos em evidências.
Antes de conceder autoridade mais ampla a um assistente de IA, faça três perguntas: A que ele pode acessar, o que ele pode alterar e como você pode interrompê-lo? Essas respostas mostrarão se a IA controlável existe na prática, e não apenas no papel.
