Sua empresa usa inteligência artificial? Os riscos jurídicos já existem, mesmo sem uma lei geral de IA

Ferramentas de inteligência artificial já redigem e-mails, resumem contratos, classificam candidatos, atendem consumidores, recomendam preços, geram imagens e auxiliam decisões internas. Em muitas empresas, esse uso começou de forma descentralizada: cada equipe escolheu uma plataforma e inseriu dados sem uma política comum.

O Projeto de Lei nº 2.338/2023, que busca estabelecer regras gerais para inteligência artificial no Brasil, foi aprovado pelo Senado em dezembro de 2024 e seguiu para a Câmara dos Deputados. Em 17 de agosto de 2026, ainda aguardava parecer na comissão especial da Câmara. Portanto, o texto não é lei e ainda pode ser alterado.

Isso não cria um vazio jurídico. A atividade continua sujeita à Lei Geral de Proteção de Dados, ao Código de Defesa do Consumidor, aos contratos, à legislação de propriedade intelectual, às normas trabalhistas, às regras setoriais e ao dever geral de reparar danos. A pergunta correta não é se existe uma lei chamada Lei da IA. É quais normas já incidem sobre cada uso concreto.

Comece pelo inventário, não pela ferramenta

Antes de discutir política interna, a empresa precisa saber onde a IA está sendo usada. Um inventário mínimo identifica ferramenta, fornecedor, finalidade, área responsável, pessoas afetadas, dados inseridos, resultado gerado, decisão apoiada e possibilidade de revisão humana.

Usos de baixo impacto, como melhorar a redação de um comunicado sem dados confidenciais, não exigem o mesmo controle de um sistema que recomenda negar crédito, prioriza pacientes, avalia desempenho ou elimina candidatos. A governança deve ser proporcional ao risco e à capacidade do resultado de afetar direitos.

LGPD: o dado continua protegido quando entra no prompt

Inserir um dado pessoal em uma ferramenta de IA é uma operação de tratamento. A empresa deve identificar finalidade, base legal, necessidade, transparência, prazo de retenção, segurança e compartilhamentos. A existência de um contrato com o fornecedor não substitui essa análise.

Nomes, e-mails, currículos, avaliações de desempenho, gravações de atendimento e históricos de compra são dados pessoais. Informações sobre saúde, biometria, origem racial, convicção religiosa e outros itens previstos no artigo 5º, inciso II, da LGPD são dados pessoais sensíveis e exigem hipóteses e cuidados próprios.

Consentimento não é uma autorização genérica para qualquer uso. Ele precisa ser livre, informado, inequívoco e relacionado a finalidades determinadas. Em diversas relações empresariais, outra base legal pode ser mais adequada. A escolha deve refletir a operação real, e não uma tentativa de justificar o uso depois de iniciado.

Decisões automatizadas e o artigo 20

A LGPD garante ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo decisões destinadas a definir perfil pessoal, profissional, de consumo ou de crédito. Também assegura informações claras e adequadas sobre critérios e procedimentos utilizados, observados os segredos comercial e industrial.

A redação vigente não determina que toda revisão seja necessariamente realizada por uma pessoa. Ainda assim, processos de alto impacto precisam de canal efetivo, documentação e capacidade de explicar o resultado. Uma resposta automática que apenas repete a conclusão pode não atender ao dever de transparência nem resolver um erro relevante.

Em 2026, a Autoridade Nacional de Proteção de Dados continuou desenvolvendo estudos sobre inteligência artificial e decisões automatizadas. Esse movimento confirma que o tema está em construção regulatória e exige acompanhamento, sem transformar propostas futuras em obrigações já vigentes.

Transferência internacional e uso de nuvem

Muitos fornecedores processam informações em outros países ou utilizam subcontratados globais. A empresa deve mapear os destinos e verificar um mecanismo válido de transferência internacional, nos termos da LGPD e da Resolução CD/ANPD nº 19/2024. Também precisa informar o tratamento de maneira adequada e avaliar riscos de segurança e acesso.

A localização da sede comercial do fornecedor não revela, sozinha, onde os dados serão armazenados, acessados, usados para suporte ou reaproveitados no treinamento do modelo. Essa informação precisa constar da diligência e do contrato.

O contrato com o fornecedor precisa responder a perguntas concretas

Aceitar termos de uso sem análise pode transferir riscos importantes para a empresa. Além de preço e disponibilidade, a contratação deve tratar de uso dos dados, confidencialidade, propriedade dos resultados, segurança, continuidade e responsabilidade.

• o fornecedor usa prompts ou arquivos para treinar modelos próprios ou de terceiros? Existe opção de bloqueio?
• quais suboperadores participam e em quais países há tratamento?
• qual é o prazo de retenção e como ocorre a exclusão ou devolução ao término?
• quais controles de segurança, registros e testes são mantidos?
• em quanto tempo a empresa será informada sobre incidentes ou vulnerabilidades relevantes?
• quem pode alterar o modelo, a funcionalidade ou os termos, e como o cliente será avisado?
• quais licenças se aplicam às entradas e saídas, inclusive para uso comercial?
• há compromisso sobre nível de serviço, suporte, exportação de dados e descontinuação?
• existem limites de responsabilidade incompatíveis com o impacto do uso?

Resultado plausível não é resultado confiável

Modelos generativos podem produzir respostas convincentes e incorretas. Em tarefas jurídicas, médicas, financeiras, técnicas ou reguladas, a aparência de segurança aumenta o risco porque o erro pode passar despercebido. A empresa deve definir quando a validação humana é obrigatória, quem possui competência para validar e quais fontes devem ser consultadas.

A validação não pode ser apenas formal. É necessário testar precisão, consistência, vieses relevantes e desempenho em situações que representem o uso real. Quando a ferramenta muda de versão, o comportamento também pode mudar. Por isso, avaliações críticas devem ser repetidas.

Se um sistema afeta consumidores, a comunicação comercial não deve atribuir precisão, neutralidade ou autonomia que não foram comprovadas. O Código de Defesa do Consumidor exige informação adequada e protege contra publicidade enganosa. Chamar um resultado probabilístico de diagnóstico, garantia ou decisão objetiva pode gerar responsabilidade.

Discriminação e impacto sobre pessoas

Dados históricos podem reproduzir desigualdades. Um sistema de seleção, crédito ou monitoramento pode usar variáveis aparentemente neutras que funcionam como substitutos de características protegidas. Não basta retirar campos sensíveis e presumir que o risco desapareceu.

A análise deve observar finalidade, representatividade dos dados, métricas por grupos quando juridicamente cabíveis, possibilidade de contestação, documentação de exceções e consequências de falso positivo ou falso negativo. Quanto maior o impacto, maior deve ser a supervisão.

Direitos autorais, marcas e segredos de negócio

A Lei de Direitos Autorais brasileira define autor como pessoa física criadora de obra literária, artística ou científica. Isso torna arriscado presumir que uma saída produzida de forma inteiramente automatizada terá, por si só, a mesma proteção e exclusividade de uma criação humana. A participação humana, o processo criativo e os termos da plataforma precisam ser avaliados no caso concreto.

Também existe risco na entrada. Pedir que uma ferramenta reproduza materiais protegidos, inserir obras sem licença ou utilizar marcas de terceiros pode gerar conflito. Termos do fornecedor não garantem que toda saída esteja livre de direitos alheios.

Documentos estratégicos, código, listas de clientes e informações ainda não divulgadas podem constituir segredo de negócio. A política interna deve proibir ou restringir sua inserção em ferramentas não aprovadas. A perda de confidencialidade pode ocorrer mesmo sem vazamento público, se os termos permitirem retenção ou reutilização incompatível.

Uma política interna de IA precisa funcionar na prática

• nomear uma pessoa ou grupo responsável pela governança
• manter inventário de ferramentas, finalidades, dados e áreas usuárias
• classificar usos por impacto e definir aprovações proporcionais
• estabelecer ferramentas permitidas e dados que nunca devem ser inseridos
• criar critérios de validação humana e documentação de decisões relevantes
• realizar diligência e contratar fornecedores com cláusulas adequadas
• manter registros suficientes para investigar erro, reclamação ou incidente
• oferecer canal para contestação quando pessoas forem afetadas
• treinar equipes com exemplos ligados ao trabalho real
• revisar a política quando houver mudança de ferramenta, finalidade, lei ou orientação regulatória.

Governança de IA não significa impedir inovação. Significa saber onde a tecnologia decide, quais dados utiliza e quem responde quando algo sai errado.

Conclusão

A aprovação de uma lei geral de inteligência artificial poderá criar novas classificações, autoridades e deveres. Até lá, a empresa já precisa cumprir as normas vigentes. Adiar controles porque o projeto ainda tramita é confundir ausência de uma lei específica com ausência de responsabilidade.

O caminho mais seguro é começar pelos usos existentes, corrigir aqueles que envolvem dados ou decisões de maior impacto e incorporar revisão jurídica, segurança e validação ao processo de compra e desenvolvimento. Assim, a empresa não depende de uma corrida de última hora quando a regulação mudar.

Fontes oficiais consultadas

Tramitação do Projeto de Lei nº 2.338/2023 na Câmara dos Deputados (https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2487262).

Senado Federal, aprovação do PL nº 2.338/2023 em dezembro de 2024 (https://www12.senado.leg.br/noticias/materias/2024/12/10/senado-aprova-regulamentacao-da-inteligencia-artificial-texto-vai-a-camara).

Lei Geral de Proteção de Dados, texto compilado (https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709compilado.htm).

ANPD, transferência internacional de dados e Resolução nº 19/2024 (https://www.gov.br/anpd/pt-br/assuntos/assuntos-internacionais/transferencia-internacional-de-dados).

ANPD, estudos sobre IA, proteção de dados e decisões automatizadas, 2026 (https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-e-pnud-selecionam-consultores-para-realizacao-de-estudos-sobre-ia-protecao-de-dados-e-publicidade-digital-voltada-a-criancas-e-adolescentes).

Código de Defesa do Consumidor, texto compilado (https://www.planalto.gov.br/ccivil_03/leis/l8078compilado.htm).

Lei de Direitos Autorais, Lei nº 9.610/1998 (https://www.planalto.gov.br/ccivil_03/leis/l9610.htm). Acessos em 17 ago. 2026. Conteúdo geral; cada caso exige análise própria.

Próximo passo

Se a sua empresa está diante de uma decisão parecida, o caminho mais seguro é avaliar o cenário concreto antes de assinar, contratar ou lançar. Uma análise inicial permite identificar riscos, prioridades e a ordem correta das providências.