A maioria das empresas já usa inteligência artificial sem saber exatamente onde, como e com que riscos — funcionalidades de IA embutidas em softwares de gestão, assistentes de atendimento, ferramentas de crédito e análise preditiva contratadas por SaaS. Enquanto a legislação específica avança, a exposição jurídica é imediata: LGPD, CDC, propriedade intelectual e responsabilidade contratual já alcançam hoje o uso de sistemas inteligentes.
Passo 1: Inventário de Sistemas de IA
Nenhuma governança começa sem saber o que se governa. O inventário deve listar todos os sistemas — próprios e de terceiros — que coletam dados pessoais, tomam ou apoiam decisões automatizadas ou geram conteúdo. Para cada item: finalidade, dados utilizados, existência de decisão automatizada, grau de impacto sobre clientes e empregados e responsável interno. Esse mapeamento é também o documento que o regulador ou um adversário processual vai pedir primeiro.
Passo 2: Avaliação de Risco e Relatório de Impacto
A LGPD exige relatório de impacto à proteção de dados (RIPD) quando o tratamento puder gerar riscos a direitos e liberdades — e sistemas de IA que afetam crédito, emprego, saúde ou perfis de risco claramente se enquadram. A avaliação deve considerar viés dos modelos, qualidade dos dados de treinamento, possibilidade de reparação do titular e plano de resposta a incidentes algorítmicos, inclusive aqueles que não são "vazamentos" no sentido tradicional: respostas sistemáticas erradas de um chatbot também são incidente.
Passo 3: Contratos com Fornecedores de IA
A contratação de IA como "caixa-preta" transfere o problema sem transferir a responsabilidade. Contratos com fornecedores de tecnologia devem prever, no mínimo: descrição funcional do sistema e de seus limites de desempenho; titularidade dos dados e dos outputs gerados; obrigação de notificação de alterações relevantes no modelo; regras de uso dos dados do cliente para treinamento; auditabilidade e cooperação em demandas de titulares e autoridades; e indenização por violações de dados e falhas do sistema. A ausência dessas cláusulas tem sido decisiva na alocação de perdas em litígios B2B.
Passo 4: Integração com o Programa de Compliance
Empresas com programa de integridade (Lei Anticorrupção, ISO 37001) já possuem a estrutura de que a governança de IA precisa: canal de denúncias, gestão de riscos, treinamento e revisão periódica. A IA deve entrar nesse mapa como um risco corporativo próprio — com política de uso, treinamento documentado das equipes, controle de acesso a ferramentas de IA generativa e revisão humana obrigatória em decisões relevantes. Em setores regulados (financeiro, saúde, energia), a expectativa do regulador é ainda maior.
Passo 5: Due Diligence em Fusões e Aquisições
Ativos de IA têm se tornado motivo de aquisição — e também fonte de surpresas pós-fechamento. Modelos treinados com dados de terceiros sem licença, bases com dados pessoais irregularmente obtidos, dependência de um único fornecedor e ausência de documentação do ciclo de vida do modelo são passivos que aparecem só quando alguém pergunta. A due diligence tecnológica deixou de ser opcional em operações que envolvam dados e automação.
O Custo de Fazer Depois
Multas da LGPD podem chegar a 2% do faturamento (limitadas a R$ 50 milhões por infração), sem contar danos morais coletivos, ações de consumidores e rescisões contratuais. Mais relevante: a ausência de governança documentada é o que transforma um incidente pontual em um padrão de negligência perante o Judiciário. Empresas que mapeiam, avaliam e contratam IA com cuidado não eliminam riscos — mas eliminam o agravante da indiferença.
Este artigo tem finalidade exclusivamente informativa e não constitui consultoria jurídica. Para estruturar a governança de inteligência artificial da sua empresa ou revisar contratos com fornecedores de tecnologia, agende uma consulta com nossa equipe de Direito Empresarial e Compliance.