IA e Direito: quem responde quando a decisão é da máquina

Artigo · Compliance e Integridade

O Projeto de Lei nº 2.338/2023, que pretende estabelecer o marco legal da inteligência artificial no Brasil, foi aprovado pelo Senado e remetido à Câmara dos Deputados em 17 de março de 2025. Desde então acumulou 386 movimentações processuais, recebeu cerca de trinta proposições apensadas e continua na Mesa, aguardando parecer, sob regime de prioridade. A última movimentação registrada, em 2 de setembro de 2026, não foi um relatório: foi mais uma apensação.

Dezenove meses. Nenhum parecer.

Enquanto isso, sistemas automatizados aprovam e negam crédito, triam currículos, precificam seguros, sugerem diagnósticos, recomendam decisões administrativas e moderam o que milhões de pessoas leem. O direito brasileiro já é chamado a responder por esses resultados — e responde com um arcabouço construído para um mundo em que toda decisão tinha, atrás dela, uma pessoa.

Este texto trata do que existe hoje, do que falta, e de por que a lacuna não é uma desculpa.

O que o direito brasileiro já tem

A ausência de lei específica não significa ausência de direito. Quatro camadas já incidem:

Responsabilidade civil. O art. 927, parágrafo único, do Código Civil impõe responsabilidade independentemente de culpa quando a atividade desenvolvida implicar, por sua natureza, risco para os direitos de outrem. Operar sistema automatizado de decisão em escala é candidato natural a essa qualificação.

Relação de consumo. Os arts. 12 e 14 do Código de Defesa do Consumidor estabelecem responsabilidade objetiva do fornecedor por defeito do produto e do serviço. Um modelo que erra sistematicamente contra um grupo de clientes é, juridicamente, um serviço defeituoso — e o fornecedor não se exonera alegando que o fornecedor do modelo é outro.

Proteção de dados. O art. 20 da LGPD assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, e o direito a informações sobre os critérios utilizados. É o dispositivo mais diretamente aplicável e, não por acaso, o mais ignorado.

Responsabilidade da pessoa jurídica. A Lei nº 12.846/2013 responsabiliza objetivamente a empresa por atos lesivos à administração pública. Não há, no texto, qualquer exigência de que o ato tenha sido praticado por um ser humano da organização.

O problema que nada disso resolve

O direito sabe atribuir responsabilidade. O que ele ainda não sabe fazer bem é imputar quando a decisão emerge de um sistema que ninguém, isoladamente, programou para decidir daquele jeito.

Três obstáculos aparecem sempre:

O nexo causal se dilui. Entre o dano e uma conduta humana há o fornecedor do modelo-base, quem fez o ajuste fino, quem escolheu os dados de treino, quem definiu o limiar de corte, quem integrou o sistema ao processo de negócio e quem decidiu não revisar a saída. Cada um aponta para o anterior. A teoria tradicional da causalidade foi desenhada para cadeias mais curtas.

A opacidade compromete o contraditório. O art. 5º, LV, da Constituição garante contraditório e ampla defesa. Como se contradita uma saída cuja justificativa é uma combinação de pesos que nem o operador consegue reconstituir? Dizer que "o sistema apontou" não é motivação; é apelo à autoridade de uma caixa-preta.

A culpa não tem onde se fixar no direito penal. A responsabilidade penal é pessoal e subjetiva. Máquina não tem dolo nem culpa, e não há no Brasil responsabilidade penal da pessoa jurídica fora da matéria ambiental. O resultado prático é que condutas gravíssimas mediadas por sistemas automatizados tendem a se resolver na esfera cível e administrativa, ou a buscar um ser humano a quem imputar negligência — frequentemente o elo mais fraco e mais visível da cadeia.

Por que isso exige repensar, e não apenas adaptar

Há uma tentação confortável: tratar a IA como mais uma ferramenta, aplicar as categorias existentes e seguir adiante. Funciona em muitos casos. Mas falha exatamente onde mais importa, porque três pressupostos do direito moderno entram em tensão.

O primeiro é que toda decisão tem um autor identificável. O segundo é que a motivação é reconstituível — que sempre se pode perguntar "por quê?" e obter uma cadeia de razões. O terceiro é que o erro é excepcional, não estatisticamente esperado. Sistemas de aprendizado de máquina operam com taxa de erro conhecida e aceita de antemão: o erro não é falha do sistema, é característica dele.

Um direito que não incorpore esse último ponto vai continuar tratando como acidente aquilo que foi decisão de projeto.

Três perguntas que já chegam ao escritório

1. "O sistema recusou o crédito e o cliente quer saber por quê. Sou obrigado a explicar?" Pela LGPD, o titular tem direito a informações sobre os critérios e à revisão. Responder "é o algoritmo" não cumpre a obrigação, e a dificuldade técnica de explicar não é excludente.
2. "Contratei o fornecedor do software. A responsabilidade não é dele?" Perante o consumidor e perante o Poder Público, a responsabilidade é de quem oferece o serviço. O contrato com o fornecedor organiza o regresso entre as partes; não desloca a responsabilidade externa.
3. "Usamos IA para triar currículos e fomos acusados de discriminação. Como provamos que não houve?" Com registros: critérios documentados, testes de disparidade, versões do modelo, histórico de revisões humanas. Quem não produziu essa documentação antes vai tentar produzi-la depois, sob suspeita.

Governança deixou de ser boa prática

A resposta jurídica realista hoje não é esperar a lei: é documentar a decisão de usar.

Inventário dos sistemas em operação e de suas finalidades. Classificação por risco, começando pelos que afetam direitos de pessoas. Registro de quem aprovou a adoção e com base em quê. Definição explícita de ponto de revisão humana — com poder real de reverter, não um carimbo. Testes periódicos de resultado por grupo. Cláusulas de responsabilidade, auditoria e acesso a informações técnicas nos contratos com fornecedores.

Nada disso impede o erro. Tudo isso transforma o erro de negligência presumida em risco gerido — e essa diferença decide processos.

Inteligência Artificial no Banco dos Réus

Foi para enfrentar essas perguntas por outro caminho que escrevi Inteligência Artificial no Banco dos Réus — Quando a tecnologia vira ameaça.

O livro é um romance. A escolha pela ficção não foi estilística: um caso inventado permite levar o problema até o ponto em que a doutrina ainda não chegou, sem depender de um precedente que não existe. O caso Armagedom é ficção; as perguntas que ele dirige ao direito brasileiro não são.

A narrativa separa quatro planos de responsabilidade que, na prática, aparecem embaralhados: o penal, onde a pessoalidade da pena encontra um agente sem culpa; o civil, onde a responsabilidade objetiva avança mas tropeça no nexo; a governança corporativa, onde a decisão de implantar é o verdadeiro ato de risco; e a responsabilidade do Estado, quando é o poder público quem automatiza.

A pergunta que organiza o livro — e que eu devolvo a quem lê este artigo — é qual desses quatro planos está mais frágil hoje.

O essencial

A lei virá, em algum momento, e será importante. Mas quem espera a lei para organizar o uso de IA está adiando a parte difícil, que é a decisão de governança, não a de conformidade.

Os danos não esperam o parecer da Mesa.