IA, governança e responsabilidade

O direito que já incide

A ausência de uma lei específica sobre inteligência artificial não significa ausência de direito. Quatro camadas já se aplicam a quem adota sistemas automatizados:

• Responsabilidade civil. O art. 927, parágrafo único, do Código Civil impõe responsabilidade independentemente de culpa quando a atividade desenvolvida implicar, por sua natureza, risco para os direitos de outrem.
• Relação de consumo. Os arts. 12 e 14 do Código de Defesa do Consumidor estabelecem responsabilidade objetiva por defeito do produto e do serviço — e o fornecedor não se exonera alegando que o fornecedor do modelo é outro.
• Proteção de dados. O art. 20 da LGPD assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, e o direito a informações sobre os critérios utilizados.
• Responsabilidade da pessoa jurídica. A Lei nº 12.846/2013 responsabiliza objetivamente a empresa por atos lesivos à administração pública, sem exigir que o ato tenha sido praticado por um ser humano da organização.

Projetos de lei em tramitação podem alterar esse quadro. Enquanto não forem aprovados, são projetos — e planejamento jurídico não se faz sobre texto que ainda pode mudar.

Antes de adotar

A decisão de implantar um sistema automatizado é, juridicamente, o ato de risco. É nela que se definem os deveres que serão cobrados depois.

• Inventário e classificação. Quais sistemas estão em operação, com que finalidade, e quais deles afetam direitos de pessoas — que são os que exigem tratamento mais rigoroso.
• Contrato com o fornecedor. Alocação de responsabilidade, direito de auditoria, acesso a informações técnicas necessárias para responder a questionamentos, regras sobre uso dos dados fornecidos e sobre continuidade do serviço.
• Base legal e tratamento de dados. Fundamento para o tratamento, informação ao titular, avaliação de impacto quando cabível, e articulação com o programa de adequação à LGPD.
• Supervisão humana com poder real. Definição explícita de onde a revisão humana existe, quem a exerce e com que autoridade para reverter. Revisão que apenas homologa não é supervisão; é carimbo.
• Política de uso. O que a organização autoriza, o que proíbe e o que exige registro — incluindo o uso de ferramentas de IA por funcionários em atividades não previstas.

Enquanto o sistema opera

A pergunta que define a posição jurídica da empresa não é se o sistema erra. Sistemas de aprendizado de máquina operam com taxa de erro conhecida e aceita de antemão. A pergunta é se a organização consegue demonstrar como decidiu usá-lo, o que fez para controlar o erro e o que registrou a respeito.

• Registros que permitam reconstituir uma decisão. Versão do sistema, critérios aplicáveis, dados de entrada, saída produzida, intervenção humana ocorrida e quem a realizou.
• Resposta ao titular. Procedimento para atender ao pedido de revisão e de informação sobre critérios, previsto na LGPD. Responder "é o algoritmo" não cumpre a obrigação, e a dificuldade técnica de explicar não é excludente.
• Testes de resultado por grupo. Verificação periódica de disparidade, documentada — especialmente em crédito, seleção de pessoal, precificação e acesso a serviço.
• Preservação de evidência. Registros apagados por rotina de retenção desenhada para outra finalidade são a perda mais frequente e mais evitável em disputas desse tipo.

Quando o incidente acontece

A atuação do escritório, nesse momento, é de investigação jurídica dos fatos e das responsabilidades:

• Registro do incidente e preservação imediata do material relevante, antes que rotinas automáticas o eliminem.
• Cronologia dos fatos, com identificação dos atores e dos sistemas que participaram de cada etapa.
• Exame da cadeia: fornecedor do modelo, quem fez o ajuste, quem escolheu os dados, quem definiu o limiar, quem integrou ao processo e quem decidiu não revisar a saída.
• Análise das hipóteses de responsabilidade aplicáveis e das consequências econômicas de cada encaminhamento.
• Comunicações devidas — à ANPD, a titulares, a órgãos reguladores, a contrapartes contratuais — quando cabíveis.

Investigação jurídica não é perícia técnica

Esta separação é deliberada e precisa ficar clara antes da contratação.

O que o escritório faz: examina deveres, contratos, registros, cadeia causal e hipóteses de responsabilidade; organiza a prova; conduz a interlocução com reguladores; e sustenta a posição jurídica em juízo ou perante a administração.

O que o escritório não faz: não realiza perícia técnica, não certifica modelos, não audita código, não afere desempenho de sistema e não atesta que determinado conteúdo foi produzido por inteligência artificial. Quando a questão exige resposta técnica, o caminho é a articulação com profissional ou instituição habilitada — indicada caso a caso, sem parceria prévia a anunciar.

Também não tratamos a IA como sujeito. Atribuir personalidade jurídica ou responsabilidade própria a um sistema não é premissa estabelecida no direito brasileiro, e construir uma estratégia sobre essa suposição é frágil.

Produção sobre o tema

O responsável técnico do escritório é autor de Inteligência Artificial no Banco dos Réus — Quando a tecnologia vira ameaça, romance ainda não lançado, que examina, por meio de um caso fictício, quatro planos de responsabilidade que na prática aparecem embaralhados: o penal, o civil, a governança corporativa e a responsabilidade do Estado. A referência é informativa; o livro não é vendido nem oferecido neste site.

O tema também é tratado nos artigos do escritório.

Perguntas frequentes

Preciso esperar a lei de IA para organizar o uso na minha empresa?

Não, e esperar costuma ser a decisão mais arriscada. Código Civil, Código de Defesa do Consumidor, LGPD e Lei Anticorrupção já incidem sobre quem opera sistemas automatizados. A lei específica, quando vier, encontrará a organização com ou sem documentação do que decidiu fazer — e essa diferença é o que separa negligência presumida de risco gerido.

Contratei o fornecedor do software. A responsabilidade não é dele?

Perante o consumidor e perante o poder público, responde quem oferece o serviço. O contrato com o fornecedor organiza o direito de regresso entre as partes; não desloca a responsabilidade externa. Por isso a redação desse contrato — auditoria, acesso a informações técnicas, alocação de deveres — importa tanto.

O sistema recusou um pedido e o cliente quer saber por quê. Sou obrigado a explicar?

Pela LGPD, o titular tem direito a informações sobre os critérios utilizados e pode pedir revisão da decisão automatizada que afete seus interesses. A dificuldade técnica de explicar o funcionamento do modelo não afasta o dever, e é justamente por isso que os registros precisam existir antes de o pedido chegar.

Vocês conseguem provar que um texto ou uma imagem foi feito por IA?

Não, e desconfie de quem afirme isso com certeza. Não atestamos autoria por inteligência artificial. O que fazemos é examinar o contexto, os registros, os metadados disponíveis e a cadeia de custódia da prova, e articular perícia técnica quando o caso exigir.

Usamos IA para triar currículos e fomos acusados de discriminação. Como nos defendemos?

Com registros: critérios documentados, testes de disparidade, versões do modelo e histórico de revisões humanas. Quem não produziu essa documentação antes vai tentar produzi-la depois, sob suspeita — e a diferença entre as duas situações costuma decidir o caso.

Isso vale só para empresas de tecnologia?

Não. Vale para quem usa sistemas automatizados em decisões que afetam pessoas: crédito, seleção, precificação, triagem de atendimento, moderação, concessão de benefício. Na maioria dos casos, a empresa não desenvolveu nada — apenas contratou e ligou.