Atualizado em abril de 2026 por Roberta Volpato

Compliance e Inteligência Artificial em 2026: da tendência à realidade operacional

Compliance e inteligência artificial tornaram-se, em 2026, dois temas inseparáveis para qualquer empresa que utilize ferramentas como Microsoft Copilot, Google Gemini ou ChatGPT em suas operações. Da redação de e-mails à elaboração de códigos e relatórios, essas soluções remodelam a forma como pessoas e organizações trabalham, tomam decisões e acessam informação — trazendo consigo riscos jurídicos, éticos e operacionais que ainda não foram plenamente compreendidos pela maioria das lideranças.

Em 2026, essa realidade aprofundou-se. A IA generativa não é mais uma ferramenta de produtividade adotada por equipes pioneiras — ela integra fluxos críticos de operação, alimenta decisões jurídicas e financeiras e, com o avanço da IA agencial, passa a agir de forma autônoma em nome das organizações.

Sendo uma realidade operacional, a IA exige GRC: Governança, Risco e Compliance. Não como burocracia, mas como estrutura que permite às empresas inovar com responsabilidade — sabendo o que podem fazer, como devem fazer e onde estão os limites.

Mas estruturar essa governança exige clareza sobre três perguntas fundamentais que toda organização precisa responder antes de escalar o uso de IA: por que governar? Como governar? E dentro de quais limites? Cada uma dessas perguntas tem uma resposta diferente — e é justamente a confusão entre elas que gera lacunas de compliance nas empresas.

O porquê está nos riscos — jurídicos, éticos e operacionais — que tornam a governança de IA urgente e não opcional. O como está na ISO/IEC 42001:2023, o padrão internacional de gestão de sistemas de IA que oferece às organizações um framework estruturado, auditável e certificável para implantar essa governança na prática. E o limite está no Marco Legal da Inteligência Artificial, que define o que a legislação brasileira permite, restringe e proíbe — a moldura legal dentro da qual toda a governança algorítmica deve operar. Este artigo navega pelos três.

Pilar 1 — O porquê: os 10 riscos de compliance no uso de ChatGPT, Copilot, Gemini e outras IAs generativas

Entender os riscos da IA é o ponto de partida de qualquer estratégia de governança. É o mapa de riscos que explica por que é importante gerenciá-los através de normas como a ISO 42001 e por que o legislador está preocupado em regular. A seguir, os 10 principais riscos organizados em três categorias.

O mapa de riscos é o ponto de partida de qualquer programa de compliance e inteligência artificial estruturado — e é ele que justifica tanto a adoção da ISO 42001 quanto a urgência do marco regulatório.

Categoria 1 — Riscos éticos e de discriminação

1) Viêses algorítmicos e discriminação

Modelos de IA generativa são treinados a partir de grandes bases de dados que frequentemente reproduzem padrões históricos de discriminação relacionados a gênero, raça, idade, orientação sexual, nacionalidade, entre outros marcadores sociais. Quando essas distorções são aplicadas a contextos decisórios — como recrutamento, ranqueamento de currídculos ou avaliação de crédito — o resultado pode ser a consolidação de práticas discriminatórias travestidas de eficiência algorítmica.

No Brasil, os princípios constitucionais da igualdade e da dignidade da pessoa humana, bem como dispositivos da LGPD (art. 6º, inciso VIII), já impõem dever legal de precaução e correção. O PL 2338/2023 trata expressamente da vedação ao uso de sistemas que reforçem estigmas ou preconceitos estruturais.

Mitigação:

• Submeter os modelos a testes de viés algorítmico com foco em grupos vulneráveis
• Realizar auditorias periódicas, inclusive com abordagem de red teaming
• Definir diretrizes éticas e protocolos específicos para uso de IA em processos seletivos e ranqueamentos
• Documentar o racional decisório, promovendo accountability e possibilidade de contestação

2) LGPD e decisões automatizadas

Decisões tomadas com base em modelos de IA generativa, sem a devida intervenção humana qualificada, podem caracterizar tratamento automatizado de dados pessoais — figura expressamente regulada pela LGPD em seu artigo 20. A ausência de revisão por pessoa natural, de transparência sobre critérios utilizados e de avaliação prévia de riscos coloca a organização em situação de vulnerabilidade jurídica, especialmente quando os efeitos da decisão recaem diretamente sobre os titulares.

O uso dessas tecnologias em contextos de alto impacto — como admissões, concessão de crédito ou análise de perfil comportamental — exige a elaboração de Relatório de Impacto à Proteção de Dados Pessoais (RIPD), conforme previsão do artigo 38 da LGPD.

Mitigação:

• Mapear previamente os fluxos que envolvem decisões automatizadas e avaliar sua aderência ao art. 20 da LGPD
• Registrar e justificar a base legal utilizada, com ênfase em finalidade, necessidade e proporcionalidade
• Elaborar o RIPD nos casos de alto risco
• Estabelecer mecanismos de revisão humana qualificada e canais de contestação

3) Responsabilidade civil e accountability

Em contextos de uso corporativo de IA generativa, a definição sobre quem responde em caso de dano é um dos pontos mais controversos. Na maioria dos casos, os termos de uso dos provedores de IA limitam amplamente sua responsabilidade, repassando à empresa contratante o ônus integral pelos riscos associados. A responsabilização pode recair tanto na esfera civil (arts. 186 e 927 do Código Civil), quanto em searas administrativas e regulatórias.

Mitigação:

• Estabelecer contratos robustos com fornecedores, prevendo cláusulas de responsabilidade solidária e indenização por danos
• Estruturar matriz interna de responsabilidades e fluxos de escalonamento de decisão
• Contratar apólices de seguro específicas para incidentes decorrentes do uso de IA

Categoria 2 — Riscos de segurança e dados

4) Vazamento de dados pessoais e segredos de negócio nos prompts

Um dos riscos mais recorrentes no uso cotidiano de ferramentas de IA generativa está na inserção, pelos próprios colaboradores, de dados pessoais identificáveis (PII), contratos, códigos-fonte ou informações estratégicas em prompts desprotegidos. Quando essas plataformas operam em ambientes públicos ou gratuitos, os dados fornecidos podem ser armazenados para fins de re-treinamento dos modelos — o que representa clara violação à LGPD e ao dever de confidencialidade.

Mitigação:

• Estabelecer política formal de classificação de dados e restrição de uso de IA em ambientes não homologados
• Priorizar plataformas corporativas com DPAs e cláusulas de não utilização de dados para re-treinamento
• Promover mecanismos de anonimização ou pseudoanonimização antes da inserção em modelos de IA
• Realizar treinamentos periódicos para equipes com acesso a informações sensíveis

5) Alucinações e erro factual

Uma das limitações técnicas mais conhecidas dos modelos de IA generativa é a produção de respostas factualmente incorretas com alta confiabilidade aparente — fenômeno conhecido como alucinação. Isso se torna especialmente crítico em setores como jurídico, saúde e financeiro, nos quais a precisão e a aderência normativa são inegociáveis. A empresa que se vale de um conteúdo gerado por IA sem validação adequada pode responder por omissão ou negligência técnica.

Mitigação:

• Implementar o modelo human-in-the-loop, garantindo revisão por profissionais habilitados
• Inserir disclaimers nos materiais em que outputs de IA forem utilizados
• Estabelecer ciclos de validação formal e rastreamento das fontes citadas
• Restringir o uso da IA em decisões de alto impacto que exijam fundamentação jurídica ou técnica qualificada

6) Segurança da informação e shadow AI

O uso não autorizado de ferramentas de IA por colaboradores — shadow AI — constitui uma ameaça direta à segurança da informação, especialmente quando os sistemas são acessados fora do perímetro corporativo ou integram APIs sem configuração adequada. Em 2026, o fenômeno expandiu-se para incluir agentes de IA autônomos instalados sem autorização formal — ampliando ainda mais a superfície de risco.

Mitigação:

• Elaborar inventário completo de ferramentas de IA em uso, incluindo aplicações não autorizadas
• Implantar soluções como Cloud Access Security Broker (CASB) e Data Protection as a Service (DPaaS)
• Monitorar logs de uso e realizar auditorias periódicas de segurança nas integrações com IA
• Promover treinamentos internos sobre riscos de shadow AI e condutas proibidas

7) Regulação setorial

Diversos setores — financeiro, saúde, telecomunicações, seguros e educação — já operam sob marcos regulatórios específicos que impõem restrições ao uso de tecnologias de automação. A utilização de IA generativa em ambientes regulados, sem alinhamento com as exigências de órgãos como Banco Central, CVM, ANS ou Anatel, pode configurar infração normativa ou quebra de deveres fiduciários.

Mitigação:

• Acompanhar ativamente as atualizações normativas dos setores regulados em que a empresa atua
• Antecipar a adequação da governança interna ao regime de IA de alto risco
• Integrar o mapeamento de riscos regulatórios ao ciclo de avaliação de novos casos de uso de IA

Categoria 3 — Riscos de propriedade intelectual

8) Direitos autorais e plágio

O conteúdo gerado por modelos de IA generativa pode reproduzir — ainda que de forma parcial ou reconfigurada — trechos de obras protegidas por direitos autorais. O resultado é a possibilidade de infração à Lei nº 9.610/1998. A ausência de rastreabilidade entre input e output fragiliza a posição da empresa em eventuais litígios.

Mitigação:

• Exigir revisão humana antes da publicação de conteúdos gerados por IA
• Utilizar ferramentas de verificação de originalidade e detecção de plágio
• Estabelecer cláusulas contratuais com fornecedores de IA prevendo responsabilidades por infrações de PI
• Registrar e arquivar prompts utilizados para fins de rastreabilidade

9) Propriedade intelectual sobre os outputs

A titularidade dos conteúdos gerados por ferramentas de IA generativa não é automática nem irrestrita. No Brasil, a Lei nº 9.610/1998 exige, como condição para o reconhecimento da autoria, a presença de intervenção criativa humana. Outputs produzidos integralmente por sistemas automatizados, sem contribuição intelectual significativa de uma pessoa natural, não são protegidos pelo regime tradicional de direito autoral.

Mitigação:

• Incluir cláusulas contratuais específicas sobre PI nos acordos com fornecedores de IA
• Manter registro dos prompts e comprovar a contribuição humana no desenvolvimento do conteúdo
• Compreender detalhadamente o regime de licenciamento aplicável a cada ferramenta
• Evitar o uso de outputs não modificados em materiais de alto valor agregado ou documentos jurídicos

10) Contratos e termos de uso desfavoráveis

O aceite automático dos Terms of Service (ToS) de ferramentas de IA — especialmente em versões públicas ou gratuitas — pode submeter a organização a cláusulas amplamente desfavoráveis: reutilização dos dados inseridos nos prompts, cessão ampla dos direitos sobre os outputs gerados e limitações expressivas de responsabilidade do provedor.

Mitigação:

• Negociar contratos corporativos com fornecedores de IA, formalizando obrigações sobre proteção de dados, confidencialidade, PI e responsabilidade civil
• Submeter todos os ToS a análise jurídica prévia
• Exigir a inclusão de Key Risk Indicators (KRIs) e métricas de qualidade nos SLAs
• Definir expressamente os limites de uso e os direitos sobre os outputs gerados

Pilar 2 — O como: ISO/IEC 42001:2023 como ferramenta prática de gestão de IA

Se o Pilar 1 explica o porquê de governar a IA, o Pilar 2 responde ao como. No campo do compliance e inteligência artificial, a ISO/IEC 42001:2023 é hoje o principal framework internacional para empresas que buscam estruturar essa governança de forma auditável e certificável.

O que é a ISO/IEC 42001:2023?

Publicada em 2023 e já adotada como referência pelo PL 2338/2023, a norma define requisitos para o desenvolvimento, implementação, manutenção e melhoria contínua de sistemas de IA responsáveis. Seus pilares principais são:

• Governança de IA: definição de políticas, papéis e responsabilidades para o uso de IA na organização
• Avaliação de impacto: análise de riscos antes da implantação de sistemas de IA
• Transparência e explicabilidade: mecanismos que permitam compreender como o sistema de IA toma decisões
• Monitoramento contínuo: revisão periódica da performance e dos riscos dos sistemas implantados
• Gestão de fornecedores: due diligence sobre provedores de IA e cadeia de suprimentos algorítmica

Como a ISO 42001 responde a cada categoria de risco

A norma não é abstrata — ela endereça diretamente os riscos mapeados no Pilar 1:

• Riscos éticos e de discriminação: a ISO 42001 exige avaliação de impacto de IA em direitos fundamentais e documentação dos critérios decisórios
• Riscos de segurança e dados: a norma integra-se à ISO 27001 (segurança da informação) e exige controles sobre acesso, rastreabilidade e incidentes
• Riscos de propriedade intelectual: a ISO 42001 inclui requisitos de gestão de fornecedores e documentação de outputs

Sinergia com outros padrões ISO

A ISO 42001 funciona em camadas com os padrões já familiares ao ecossistema GRC:

• ISO 27001: segurança da informação — base para proteção dos dados usados e gerados por sistemas de IA
• ISO 37001: antissuborno — referência para governança de integridade em processos automatizados
• ISO 37301: compliance — estrutura de programa de conformidade que incorpora a dimensão de IA

Para empresas que já possuem certificações ISO, a 42001 representa uma extensão natural do sistema de gestão existente. Para aquelas que ainda não iniciaram essa jornada, ela oferece um roteiro estruturado para construir governança algorítmica certificável.

Os 9 fundamentos de implementação segura

Baseados na ISO 42001 e nas boas práticas de compliance, os pilares para uma implementação jurídica e institucionalmente responsável de IA generativa:

1. Mapeamento de bases legais e finalidades do tratamento — Todo caso de uso envolvendo dados pessoais deve estar vinculado a uma base legal legítima e documentada, nos termos do art. 7º da LGPD.
2. Elaboração de RIPD/DPIA nos fluxos de alto risco — Fluxos que envolvam decisões automatizadas, dados sensíveis ou tratamento em larga escala demandam a produção do Relatório de Impacto à Proteção de Dados.
3. Garantia de transparência e explicabilidade — É fundamental assegurar que os titulares de dados compreendam se e como estão sendo submetidos a decisões automatizadas, com base no art. 20 da LGPD.
4. Adoção de controles técnicos e medidas de segurança da informação — O art. 46 da LGPD impõe ao controlador o dever de adotar medidas técnicas e administrativas aptas a proteger os dados.
5. Formalização de política corporativa de uso de IA generativa — A organização deve dispor de diretrizes internas que regulem o uso de IA, delimitando contextos autorizados, responsabilidades e condutas proibidas.
6. Revisão contratual com fornecedores de IA — Os contratos devem conter cláusulas específicas sobre proteção de dados, confidencialidade, responsabilidade civil, propriedade intelectual e encerramento contratual.
7. Registro e rastreabilidade de prompts e outputs — A organização deve manter registros auditáveis das interações com os modelos de IA, especialmente quando os outputs forem utilizados em decisões sensíveis.
8. Capacitação contínua das equipes envolvidas — Os profissionais das áreas jurídica, compliance, tecnologia, segurança da informação e negócios devem ser treinados periodicamente.
9. Inclusão do tema IA nos comitês institucionais existentes — A governança da IA generativa deve ser atribuída a instâncias colegiadas já estabelecidas, incorporando o tema como pauta permanente.

Pilar 3 — O limite: o Marco Legal da Inteligência Artificial no Brasil

Se a ISO 42001 diz como gerenciar a IA dentro das organizações, o Marco Legal da IA estabelece os limites do uso — o que é permitido, o que é restrito e o que é proibido. É a moldura legal dentro da qual toda a governança algorítmica deve operar.

Status atual do PL 2338/2023

A classificação por grau de risco

O texto propõe uma abordagem baseada em risco, inspirada no EU AI Act. Três níveis:

• Sistemas de alto risco: aqueles que influenciam direitos fundamentais, tomam decisões automatizadas relevantes ou operam em setores críticos como saúde, financeiro, educação e segurança pública. Obrigações incluem avaliação de impacto ex ante, documentação técnica detalhada, transparência e responsabilização proporcional.
• Sistemas de médio risco: sujeitos a obrigações de transparência e notificação, especialmente quando interagem com pessoas sem identificação clara como IA — como chatbots.
• Sistemas de baixo risco: sem obrigações específicas, mas sujeitos às normas gerais já vigentes: LGPD, Código Civil, normas setoriais.

O que é proibido

O PL 2338/2023 prevê proibições expressas para usos de IA que:

• Utilizem técnicas subliminares para manipular comportamentos sem o conhecimento dos indivínduos
• Explorem vulnerabilidades de grupos específicos — crianças, idosos, pessoas em situação de vulnerabilidade econômica
• Realizem pontuação social de pessoas com base em comportamento ou características pessoais
• Façam reconhecimento facial em espaços públicos para fins de vigilância em massa, salvo exceções específicas

O impacto do EU AI Act para empresas brasileiras

O EU AI Act, em vigor desde 2024 na Europa, já impacta empresas brasileiras com operações globais ou que fornecem produtos e serviços para o mercado europeu. A tendência de empresas com operações globais é antecipar os padrões mais elevados — o que, na prática, significa implementar o regime de alto risco mesmo antes da aprovação do marco legal brasileiro.

Para as empresas, a mensagem é clara: não é necessário aguardar a promulgação da lei para agir. Quem antecipar a adequação terá vantagem competitiva real em processos de due diligence, certificações e relações com investidores.

Conclusão: o papel do compliance officer na integração dos três eixos

O compliance officer de 2026 não é mais apenas o guardador de normas. Diante da IA generativa, ele é o arquiteto da governança algorítmica — responsável por integrar os três eixos deste artigo em uma estrutura coerente e sustentável:

• Gestão de riscos (Pilar 1): mapear, categorizar e monitorar continuamente os riscos associados ao uso de IA na organização
• Norma ISO como ferramenta (Pilar 2): implementar a ISO/IEC 42001:2023 como sistema de gestão que dá estrutura, rastreabilidade e certificação ao uso responsável de IA
• Marco legal como limite (Pilar 3): compreender e comunicar à liderança os limites impostos pelo legislador — o que é permitido, o que é restrito e o que é proibido

Ferramentas de inteligência artificial generativa já participam ativamente da rotina decisória das organizações. Sem diretrizes claras, documentação técnica e controle institucional, o uso de IA pode comprometer direitos de terceiros, violar obrigações legais e expor a organização a riscos reputacionais de alta complexidade.

A resposta não está na proibição genérica nem na adesão acrítica. Está na construção de um ecossistema de governança algorítmica: com políticas consistentes, contratos robustos, mecanismos de auditoria e lideranças preparadas para avaliar a legitimidade e a legalidade de cada novo uso.

Empresas que tratam compliance e inteligência artificial como tema estratégico — e não apenas como ferramenta — ampliam sua capacidade de inovar com responsabilidade e sustentar decisões que resistam ao tempo, à fiscalização e à jurisprudência.

FAQ