Nos últimos meses, ferramentas baseadas em inteligência artificial generativa deixaram de ser uma curiosidade de laboratório para se tornarem protagonistas no cotidiano das empresas. Da redação de e-mails à elaboração de códigos e relatórios, soluções como Microsoft Copilot, Google Gemini e ChatGPT vêm remodelando a forma como pessoas e organizações trabalham, tomam decisões e acessam informação.

Esse avanço, embora promissor em termos de produtividade e inovação, traz implicações jurídicas relevantes que ainda não foram plenamente compreendidas — nem por usuários, nem por lideranças. O uso precipitado dessas tecnologias, sem governança, critérios claros ou preparo técnico, pode expor empresas a riscos que vão muito além do mero erro operacional: falamos de responsabilidade civil, violação à Lei Geral de Proteção de Dados (LGPD), impactos reputacionais e até questionamentos sobre autoria e propriedade intelectual.

Por que falar disso agora?

A adoção de ferramentas de IA generativa como Microsoft Copilot, Google Gemini, ChatGPT e outras plataformas se deu de forma veloz e, em muitos casos, desordenada — sem avaliação formal de riscos, políticas internas claras ou autorizações institucionais. O resultado tem sido o crescimento do uso não autorizado dessas ferramentas (fenômeno conhecido como shadow AI), o que potencializa vazamentos de dados pessoais e informações estratégicas, violações contratuais e exposição a sanções administrativas. Empresas de setores regulados ou sob forte escrutínio externo são ainda mais vulneráveis nesse cenário.

Os 10 principais riscos ao usar Copilot, Gemini, ChatGPT & cia.

O uso de ferramentas de inteligência artificial generativa em ambientes corporativos tem ampliado significativamente a automação de tarefas, a produção de conteúdo e o suporte à tomada de decisão. Esse avanço, no entanto, impõe desafios relevantes em termos de conformidade legal, governança de dados e responsabilidade civil — especialmente diante da ausência de diretrizes claras ou políticas internas estruturadas.

A seguir, destacam-se dez riscos centrais associados a plataformas como Copilot, Gemini e ChatGPT, à luz da LGPD, do Código Civil, da Lei de Direitos Autorais, da ISO 27001, das normas setoriais aplicáveis e da proposta de marco regulatório brasileiro sobre inteligência artificial (PL 2338/2023). Cada risco é acompanhado de recomendações práticas de mitigação, voltadas à construção de um uso institucional responsável e juridicamente seguro dessas tecnologias.

1) LGPD e decisões automatizadas

Decisões tomadas com base em modelos de IA generativa, sem a devida intervenção humana qualificada, podem caracterizar tratamento automatizado de dados pessoais — figura expressamente regulada pela LGPD em seu artigo 20. Nesses casos, a ausência de revisão por pessoa natural, de transparência sobre critérios utilizados e de avaliação prévia de riscos coloca a organização em situação de vulnerabilidade jurídica, especialmente quando os efeitos da decisão recaem diretamente sobre os titulares.

Além disso, o uso dessas tecnologias em contextos de alto impacto — como admissões, concessão de crédito ou análise de perfil comportamental — exige a elaboração de Relatório de Impacto à Proteção de Dados Pessoais (RIPD), conforme previsão do artigo 38 da LGPD. A omissão desse instrumento, somada à ausência de governança sobre os fluxos automatizados, pode ser interpretada como desrespeito ao princípio da responsabilização e prestação de contas, com potencial de autuação pela ANPD.

Em convergência com o cenário internacional, o AI Act da União Europeia classifica como sistemas de alto risco os modelos que tomam decisões automatizadas com efeitos jurídicos relevantes. O Projeto de Lei nº 2338/2023, que avança no Congresso Nacional, adota perspectiva semelhante. Ignorar esse alinhamento normativo global significa não apenas descumprir obrigações legais já em vigor, mas também comprometer a maturidade regulatória da organização.

Mitigação:
– Mapear previamente os fluxos que envolvem decisões automatizadas e avaliar sua aderência ao art. 20 da LGPD;
– Registrar e justificar a base legal utilizada, com ênfase em finalidade, necessidade e proporcionalidade;
– Elaborar o RIPD nos casos de alto risco;
– Estabelecer mecanismos de revisão humana qualificada, canais de contestação e comunicação clara com os titulares sobre o processo decisório.

2) Vazamento de dados pessoais e segredos de negócio nos prompts

Um dos riscos mais recorrentes no uso cotidiano de ferramentas de IA generativa está na inserção, pelos próprios colaboradores, de dados pessoais identificáveis (PII), contratos, códigos-fonte ou informações estratégicas em prompts desprotegidos. Quando essas plataformas operam em ambientes públicos ou gratuitos, os dados fornecidos podem ser armazenados para fins de re-treinamento dos modelos, nos termos previstos nos próprios termos de uso dos provedores — o que representa clara violação à LGPD, ao dever de confidencialidade e, em certos casos, a cláusulas contratuais firmadas com terceiros.

Além do risco jurídico direto, esse tipo de exposição compromete a integridade da informação e fragiliza a governança sobre ativos sensíveis, principalmente em empresas sujeitas a obrigações regulatórias ou com altos volumes de dados estruturados. Mesmo quando não há dolo, a ausência de controles técnicos e procedimentais configura falha grave de gestão da informação.

Mitigação:
– Estabelecer política formal de classificação de dados e restrição de uso de IA em ambientes não homologados;
– Priorizar plataformas corporativas com termos de confidencialidade adequados (DPAs), preferencialmente com cláusulas de não utilização de dados para re-treinamento (no train on your data);
– Promover mecanismos de anonimização, pseudoanonimização ou síntese de dados antes da inserção em modelos de IA;
– Realizar treinamentos periódicos para equipes com acesso a informações sensíveis.

3) Direitos autorais e plágio

O conteúdo gerado por modelos de IA generativa pode reproduzir — ainda que de forma parcial ou reconfigurada — trechos de obras protegidas por direitos autorais. Isso ocorre tanto pela forma como esses modelos são treinados (com base em grandes volumes de texto extraídos da internet, muitas vezes sem licença), quanto pela imprevisibilidade dos outputs. O resultado é a possibilidade de infração à Lei nº 9.610/1998, especialmente nos artigos que tratam da reprodução não autorizada, uso indevido ou ausência de menção à autoria.

Além da violação à norma, há risco de repercussão reputacional e contratual, sobretudo quando o conteúdo gerado é utilizado em comunicações institucionais, peças publicitárias, materiais de cliente ou produtos com valor comercial agregado. A ausência de rastreabilidade entre input e output fragiliza ainda mais a posição da empresa em eventuais litígios.

Mitigação:
– Exigir revisão humana qualificada antes da publicação ou utilização de conteúdos gerados por IA, especialmente em materiais externos ou publicitários;
– Utilizar ferramentas de verificação de originalidade e detecção de plágio;
– Estabelecer cláusulas contratuais com os fornecedores de IA prevendo responsabilidades por infrações de PI e mecanismos de indenização;
– Registrar e arquivar os prompts utilizados e os respectivos outputs para fins de rastreabilidade e prova de autoria humana complementar.

4) Vieses algorítmicos e discriminação

Modelos de IA generativa são treinados a partir de grandes bases de dados disponíveis na internet e em repositórios institucionais — muitos dos quais reproduzem padrões históricos de discriminação relacionados a gênero, raça, idade, orientação sexual, nacionalidade, entre outros marcadores sociais.

Quando essas distorções são internalizadas pelo modelo e aplicadas a contextos decisórios — como recrutamento, ranqueamento de currículos, avaliação de crédito ou definição de perfis — o resultado pode ser a consolidação de práticas discriminatórias travestidas de “eficiência algorítmica”.

No Brasil, embora ainda não haja regulação específica sobre IA com foco em antidiscriminação, os princípios constitucionais da igualdade e da dignidade da pessoa humana, bem como dispositivos da LGPD (art. 6º, inciso VIII – não discriminação), já impõem um dever legal de precaução e correção. O PL 2338/2023 também trata expressamente da vedação ao uso de sistemas que reforcem estigmas ou preconceitos estruturais. Ignorar esses riscos pode configurar não apenas infração ética, mas fundamento jurídico para responsabilização civil ou trabalhista.

Mitigação:
– Submeter os modelos a testes de viés algorítmico com foco em grupos vulneráveis;
– Realizar auditorias periódicas, inclusive com abordagem de red teaming, voltadas à identificação de distorções e lacunas nos dados de treinamento;
– Definir diretrizes éticas e protocolos específicos para uso de IA em processos seletivos, análise de perfil e ranqueamentos;
– Documentar o racional decisório, promovendo accountability e possibilidade de contestação.

5) Alucinações e erro factual

Uma das limitações técnicas mais conhecidas dos modelos de IA generativa é a produção de respostas factualmente incorretas com alta confiabilidade aparente — fenômeno conhecido como alucinação. Isso se torna especialmente crítico em setores como jurídico, saúde, financeiro ou institucional, nos quais a precisão e a aderência normativa são inegociáveis. A ausência de mecanismos de verificação ou a delegação acrítica de tarefas à IA pode conduzir à disseminação de erros graves, pareceres inconsistentes ou decisões baseadas em premissas falsas.

Do ponto de vista jurídico, a empresa que se vale de um conteúdo gerado por IA sem validação adequada pode responder por omissão, negligência técnica ou mesmo indução ao erro, dependendo do dano causado a terceiros. Além disso, o uso de informações falsas em documentos oficiais ou comunicações públicas pode configurar infrações contratuais, administrativas ou éticas, dependendo do setor.

Mitigação:
– Implementar o modelo human-in-the-loop, garantindo que toda informação sensível ou crítica seja revisada por profissionais habilitados antes da utilização;
– Inserir disclaimers e declarações de responsabilidade nos materiais em que outputs de IA forem utilizados, sempre que aplicável;
– Estabelecer ciclos de validação formal e rastreamento das fontes citadas nos textos gerados;
– Restringir o uso da IA em decisões finais de alto impacto ou em contextos que exijam fundamentação jurídica, médica ou técnica qualificada.

6) Responsabilidade civil e accountability

Em contextos de uso corporativo de IA generativa, a definição sobre quem responde em caso de dano é um dos pontos mais controversos. Quando há erro, violação de direitos ou prejuízo causado por uma decisão orientada por IA, é comum surgir a dúvida: recai a responsabilidade sobre o fornecedor da tecnologia, sobre quem a implementou ou sobre o agente que a utilizou operacionalmente? Na maioria dos casos, os termos de uso dos provedores de IA limitam amplamente sua responsabilidade, repassando à empresa contratante o ônus integral pelos riscos associados.

A depender da situação, a responsabilização pode recair tanto na esfera civil (arts. 186 e 927 do Código Civil), quanto em searas administrativas e regulatórias. O uso de tecnologia sem avaliação de impacto, sem protocolos de validação ou sem definição clara de atribuições internas enfraquece qualquer estratégia de defesa, agravando a exposição jurídica da organização.

Mitigação:
– Estabelecer contratos robustos com fornecedores, prevendo cláusulas de responsabilidade solidária, indenização por danos e limites de uso;
– Exigir Acordos de Proteção de Dados (DPAs) consistentes e bem delimitados;
– Formalizar Acordos de Nível de Serviço (SLAs) com métricas de qualidade e disponibilidade;
– Contratar apólices de seguro específicas para incidentes decorrentes do uso de IA;
– Estruturar matriz interna de responsabilidades e fluxos de escalonamento de decisão, com definição clara de quem responde pelo quê.

7) Segurança da informação e cadeia de suprimentos

O uso não autorizado de ferramentas de IA por colaboradores — fenômeno conhecido como shadow AI — constitui uma ameaça direta à segurança da informação, especialmente quando os sistemas são acessados fora do perímetro corporativo ou integram APIs sem configuração adequada. Falhas na arquitetura de segurança, integrações inseguras com bancos de dados internos e ausência de monitoramento em tempo real ampliam significativamente o risco de vazamento de informações, acesso não autorizado e quebra de sigilo profissional.

A responsabilidade, nesse caso, não se limita à ferramenta em si, mas à governança de toda a cadeia de fornecimento, incluindo provedores terceirizados, plataformas de IA, integradores e desenvolvedores internos. Em empresas sujeitas à ISO 27001 ou à regulação setorial (como saúde, telecom, financeiro), a negligência nesse campo pode gerar penalidades contratuais, sanções administrativas e danos reputacionais severos.

Mitigação:
– Elaborar inventário completo de ferramentas de IA em uso, incluindo aplicações não autorizadas ou em fase de teste;
– Implantar soluções de segurança como Cloud Access Security Broker (CASB) e Data Protection as a Service (DPaaS);
– Adotar criptografia, controle granular de acesso e técnicas de tokenização para proteção de dados sensíveis;
– Monitorar logs de uso e realizar auditorias periódicas de segurança nas integrações com IA;
– Promover treinamentos internos para conscientização sobre riscos de shadow AI e condutas proibidas.

8) Contratos e termos de uso desfavoráveis

O aceite automático dos Terms of Service (ToS) de ferramentas de IA — especialmente em versões públicas ou gratuitas — pode submeter a organização a cláusulas amplamente desfavoráveis. Muitos desses contratos preveem a reutilização dos dados inseridos nos prompts, a cessão ampla dos direitos sobre os outputs gerados, limitações expressivas de responsabilidade por parte do provedor e ausência de garantias quanto à qualidade, precisão ou segurança das respostas fornecidas.

Em ambientes corporativos, esse tipo de adesão contratual sem revisão prévia compromete a governança jurídica e expõe a empresa a litígios em múltiplas frentes: desde disputas sobre propriedade intelectual até responsabilização por vazamento de dados ou uso indevido de conteúdo gerado. A ausência de cláusulas específicas sobre sigilo, exclusividade, suporte técnico ou resolução de conflitos fragiliza ainda mais a posição institucional em caso de incidente.

Mitigação:
– Negociar contratos corporativos com fornecedores de IA, formalizando obrigações específicas sobre proteção de dados, confidencialidade, PI e responsabilidade civil;
– Submeter todos os ToS a análise jurídica prévia, mesmo quando não for possível negociar individualmente as cláusulas;
– Exigir a inclusão de Key Risk Indicators (KRIs) e métricas de qualidade nos Acordos de Nível de Serviço (SLAs);
– Definir de forma expressa os limites de uso, os direitos sobre os outputs gerados e os critérios de encerramento ou migração contratual.

9) Regulação setorial e futura regulação de IA

Diversos setores da economia — como financeiro, saúde, telecomunicações, seguros e educação — já operam sob marcos regulatórios específicos que impõem restrições ao uso de tecnologias de automação e exigem padrões elevados de governança, rastreabilidade e prestação de contas.

A utilização de IA generativa em ambientes regulados, sem alinhamento com as exigências de órgãos como Banco Central, CVM, ANS ou Anatel, pode configurar infração normativa ou quebra de deveres fiduciários.

Paralelamente, a regulamentação específica sobre inteligência artificial avança tanto no Brasil quanto no exterior. O Projeto de Lei nº 2338/2023, atualmente em tramitação, propõe a classificação dos sistemas de IA por grau de risco e estabelece obrigações proporcionais, com foco especial em sistemas que influenciem direitos fundamentais. A ANPD, por sua vez, já sinalizou que atuará em sinergia com essas diretrizes, promovendo interpretações mais rigorosas da LGPD em contextos automatizados.

Mitigação:
– Acompanhar ativamente as atualizações normativas dos setores regulados em que a empresa atua, com apoio técnico-jurídico especializado;
– Antecipar a adequação da governança interna ao regime de “IA de alto risco”, ainda que o PL 2338/2023 não tenha sido aprovado;
– Integrar o mapeamento de riscos regulatórios ao ciclo de avaliação de novos casos de uso de IA;
– Reavaliar periodicamente políticas internas, manuais, contratos e treinamentos à luz das normas setoriais e tendências legislativas.

10) Propriedade intelectual sobre os outputs

A titularidade dos conteúdos gerados por ferramentas de IA generativa não é automática nem irrestrita. Em muitos casos, os próprios termos de uso dos provedores estabelecem que os outputs não são exclusivos do usuário, não geram direitos autorais plenos ou estão sujeitos a regimes de licenciamento amplos, como o uso não comercial, a reutilização por terceiros ou a cessão parcial ao fornecedor.

No Brasil, a Lei nº 9.610/1998 (Lei de Direitos Autorais) exige, como condição para o reconhecimento da autoria, a presença de intervenção criativa humana. Outputs produzidos integralmente por sistemas automatizados, sem contribuição intelectual significativa de uma pessoa natural, não são protegidos pelo regime tradicional de direito autoral — o que implica fragilidade jurídica quanto à exclusividade, uso comercial e defesa em disputas sobre originalidade.

Esse cenário se torna ainda mais crítico quando os conteúdos gerados são incorporados a produtos, campanhas, relatórios, pareceres técnicos ou qualquer ativo com valor comercial ou estratégico. Sem previsões contratuais específicas, a organização pode enfrentar limitações para exploração econômica ou riscos de contestação por terceiros.

Mitigação:
– Incluir cláusulas contratuais específicas sobre propriedade intelectual nos acordos com fornecedores de IA, prevendo titularidade, cessão de direitos e limitações de uso;
– Manter registro dos prompts utilizados e comprovar a contribuição humana no desenvolvimento do conteúdo, como forma de reforçar a autoria e a originalidade;
– Compreender detalhadamente o regime de licenciamento aplicável a cada ferramenta, incluindo permissões, restrições e modelos de uso derivados;
– Evitar, sempre que possível, o uso de outputs não modificados em materiais de alto valor agregado ou em documentos jurídicos, técnicos ou publicitários.

Implementação segura de IA generativa: fundamentos jurídicos e boas práticas organizacionais

A adoção de ferramentas de inteligência artificial generativa — como Copilot, Gemini e ChatGPT — exige o alinhamento entre inovação tecnológica, proteção de dados pessoais e governança institucional. A seguir, são apresentados os principais pilares que devem orientar a implementação segura e juridicamente responsável dessas soluções no contexto corporativo:

1. Mapeamento de bases legais e finalidades do tratamento
   Todo caso de uso envolvendo dados pessoais deve estar vinculado a uma base legal legítima e documentada, nos termos do art. 7º da LGPD. A finalidade deve ser claramente definida e compatível com o princípio da minimização, evitando tratamentos excessivos ou desnecessários.
2. Elaboração de RIPD/DPIA nos fluxos de alto risco
   Fluxos que envolvam decisões automatizadas, dados sensíveis ou tratamento em larga escala demandam a produção do Relatório de Impacto à Proteção de Dados, nos termos do art. 38 da LGPD. O relatório deve contemplar riscos identificados, medidas compensatórias e justificativa técnica da solução adotada.
3. Garantia de transparência e explicabilidade
   É fundamental assegurar que os titulares de dados compreendam se — e como — estão sendo submetidos a decisões automatizadas, com base no art. 20 da LGPD. Devem ser oferecidos canais de contestação, revisão humana qualificada e explicação acessível dos critérios utilizados.
4. Adoção de controles técnicos e medidas de segurança da informação
   O art. 46 da LGPD impõe ao controlador o dever de adotar medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados e vazamentos. Isso inclui criptografia, controle de acesso, segregação de ambientes, monitoramento de logs e desativação de funcionalidades como “train on your data”.
5. Formalização de política corporativa de uso de IA generativa
   É recomendável que a organização disponha de diretrizes internas que regulem o uso de IA, delimitando contextos autorizados, responsabilidades, classificação de dados e condutas proibidas. Essa política deve estar alinhada ao programa de integridade e às demais normas internas.
6. Revisão contratual com fornecedores de IA
   Os contratos com plataformas de IA devem conter cláusulas específicas sobre proteção de dados, confidencialidade, responsabilidade civil, propriedade intelectual, auditoria, interoperabilidade e encerramento da relação contratual, com base em avaliação prévia de riscos.
7. Registro e rastreabilidade de prompts e outputs
   Para garantir governança e accountability, a organização deve manter registros auditáveis das interações com os modelos de IA, especialmente quando os outputs forem utilizados em decisões sensíveis, materiais externos ou documentos com valor jurídico.
8. Capacitação contínua das equipes envolvidas
   Os profissionais das áreas jurídica, de compliance, tecnologia, segurança da informação e negócios devem ser treinados periodicamente sobre os riscos, limites legais e diretrizes éticas relacionados ao uso de IA generativa.
9. Inclusão do tema IA nos comitês institucionais existentes
   A governança da IA generativa deve ser atribuída a instâncias colegiadas já estabelecidas — como comitês de ética, compliance, segurança da informação ou privacidade — que devem incorporar o tema como pauta permanente para avaliação de riscos, aprovação de novos fluxos e revisão de políticas internas.

Conclusão

Ferramentas de inteligência artificial generativa já participam ativamente da rotina decisória das organizações — seja na criação de conteúdos, na automação de processos ou na análise de informações estratégicas. Essa integração não se limita a ganhos operacionais: ela altera pressupostos jurídicos, redistribui responsabilidades e impõe um novo patamar de governança sobre fluxos antes considerados seguros.

Sem diretrizes claras, documentação técnica e controle institucional, o uso de IA pode comprometer direitos de terceiros, violar obrigações legais, fragilizar contratos e expor a organização a riscos reputacionais de alta complexidade.

A resposta não está na proibição genérica nem na adesão acrítica. Está na construção de um ecossistema de governança algorítmica: com políticas consistentes, cláusulas contratuais robustas, mecanismos de auditoria, matriz clara de responsabilidades e comitês preparados para avaliar a legitimidade e a legalidade de cada novo uso.

Empresas que tratam a IA generativa como tema estratégico — e não apenas como ferramenta — ampliam sua capacidade de inovar com responsabilidade, proteger ativos sensíveis e sustentar decisões que resistam ao tempo, à fiscalização e à jurisprudência.

Acesse gratuitamente: Matriz prática com base legal, riscos e medidas de mitigação

FAQ