Resumo
A incorporação acelerada de sistemas de Inteligência Artificial, especialmente de Inteligência Artificial generativa, aos ambientes corporativos produz ganhos relevantes de eficiência, automação e produtividade, mas também amplia riscos jurídicos relacionados à proteção de dados pessoais, confidencialidade, segurança da informação, propriedade intelectual, segredo empresarial, discriminação algorítmica e responsabilidade pela tomada de decisões. O fenômeno da Shadow AI, caracterizado pela utilização de ferramentas de IA sem conhecimento, autorização ou supervisão institucional, evidencia uma assimetria entre a velocidade da adoção tecnológica e a capacidade das organizações de estabelecer mecanismos adequados de governança. O presente artigo examina esses riscos a partir da Lei Geral de Proteção de Dados Pessoais — LGPD, dos deveres gerais de diligência e responsabilidade, dos princípios de segurança e prevenção e das estruturas contemporâneas de governança de IA. Sustenta-se que a adoção responsável da Inteligência Artificial exige abordagem baseada em risco, supervisão humana, classificação da informação, avaliação de fornecedores, controle de acesso, documentação, rastreabilidade e integração entre governança de IA, privacidade, segurança da informação e governança corporativa.
Palavras-chave: Inteligência Artificial; LGPD; Shadow AI; governança de IA; proteção de dados; segurança da informação; responsabilidade empresarial.
1. Introdução
A Inteligência Artificial deixou de ocupar posição periférica na transformação digital das organizações. Sistemas generativos passaram rapidamente a integrar atividades de elaboração de textos, análise documental, programação, atendimento ao consumidor, recrutamento, marketing, gestão de riscos, análise de contratos, produção de relatórios e suporte à decisão.
A facilidade de acesso a essas ferramentas, entretanto, criou um paradoxo regulatório e organizacional: enquanto a contratação tradicional de tecnologia costuma percorrer procedimentos de segurança, jurídico, compliance, privacidade e compras, uma ferramenta de IA pode ser incorporada à rotina profissional por iniciativa individual de um colaborador, mediante simples criação de uma conta.
Surge, assim, aquilo que se convencionou denominar Shadow AI, fenômeno derivado da conhecida Shadow IT, mas potencialmente mais complexo.
Na Shadow IT, o risco tradicionalmente estava relacionado à utilização de aplicações ou infraestrutura tecnológica não homologada. Na Shadow AI, além disso, existe a possibilidade de que informações corporativas sejam submetidas a modelos externos, utilizadas como contexto de processamento e incorporadas a fluxos informacionais que escapam à governança ordinária da organização.
O desafio jurídico não consiste, portanto, em decidir simplesmente entre permitir ou proibir a Inteligência Artificial. A questão central reside na construção de mecanismos capazes de compatibilizar inovação com proteção de dados, segurança, confidencialidade, transparência, supervisão humana, gestão de riscos e responsabilização.
2. O prompt como operação juridicamente relevante
Um dos equívocos recorrentes na utilização da IA generativa consiste em considerar o prompt como mera comunicação privada entre usuário e máquina.
Sob a perspectiva jurídica, essa compreensão pode ser inadequada.
Quando um colaborador insere em uma ferramenta externa nomes, documentos, contratos, dados financeiros, informações de empregados, processos internos ou bases de clientes, poderá estar realizando uma operação de tratamento de dados pessoais.
O conceito de tratamento adotado pelo art. 5º, X, da Lei nº 13.709/2018 é deliberadamente amplo e compreende, entre outras operações, coleta, utilização, acesso, reprodução, transmissão, distribuição, processamento, armazenamento e eliminação.
Consequentemente, a submissão de dados pessoais a uma aplicação de IA não se encontra em uma espécie de espaço juridicamente neutro.
Ela precisa ser analisada considerando finalidade, agentes envolvidos, base jurídica aplicável, necessidade, segurança, eventual transferência internacional, retenção, compartilhamento e direitos dos titulares.
A organização deve compreender também a posição jurídica ocupada pelos diferentes participantes dessa cadeia.
Dependendo da arquitetura contratual e operacional, poderão existir controlador, operador, suboperadores e outros fornecedores envolvidos no processamento. A mera denominação contratual atribuída às partes não necessariamente resolve a questão, pois a análise deve considerar as atividades efetivamente desempenhadas e o grau de determinação sobre finalidades e meios do tratamento.
3. Os princípios da LGPD aplicados à Inteligência Artificial
A utilização corporativa de IA deve ser interpretada à luz dos princípios estabelecidos no art. 6º da LGPD.
O princípio da finalidade exige propósito legítimo, específico e informado para o tratamento. O princípio da adequação demanda compatibilidade entre tratamento e finalidade. O princípio da necessidade determina a limitação do tratamento ao mínimo necessário.
Esses princípios assumem importância especial diante da facilidade tecnológica de submeter documentos inteiros aos sistemas generativos.
Se determinado profissional pretende solicitar auxílio para melhorar a redação de uma cláusula, por exemplo, dificilmente será justificável encaminhar automaticamente todo o contrato contendo dados identificadores, informações financeiras, assinaturas, endereços e outras informações desnecessárias.
A lógica deve ser inversa: primeiro determinar a finalidade; depois identificar o conjunto mínimo de informações necessário para alcançá-la.
Nesse sentido, a minimização de dados deve converter-se em prática concreta de governança de IA.
Anonimização, pseudonimização, mascaramento, supressão de campos e utilização de informações sintéticas podem, dependendo do contexto, reduzir significativamente os riscos associados à operação.
Também são especialmente relevantes os princípios da segurança e prevenção, bem como o princípio da responsabilização e prestação de contas, previsto no art. 6º, X, que exige demonstração da adoção de medidas eficazes capazes de comprovar observância e cumprimento das normas de proteção de dados.
Essa lógica de accountability possui conexão direta com a governança de IA.
Não basta afirmar que determinado uso é responsável. A organização precisa ser capaz de demonstrar como avaliou riscos, definiu responsabilidades, selecionou fornecedores, implementou controles e supervisionou a utilização da tecnologia.
4. Privacy by design e governança de IA
O art. 46 da LGPD estabelece o dever de adoção de medidas técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas.
Seu §2º determina que essas medidas sejam observadas desde a fase de concepção do produto ou serviço até sua execução.
Trata-se de comando diretamente relacionado à concepção de proteção de dados desde o desenho — privacy by design.
Aplicado à Inteligência Artificial, significa que privacidade e segurança não devem ser incorporadas somente após a contratação ou implantação da ferramenta.
Devem integrar sua própria avaliação inicial.
Antes da adoção de determinado sistema, questões fundamentais precisam ser examinadas: quais dados serão processados? Há dados pessoais sensíveis? Os dados serão conservados? Por quanto tempo? Poderão ser utilizados para aprimoramento de modelos? Existem suboperadores? Há transferência internacional? Quais mecanismos de segurança estão disponíveis? Existem controles administrativos? É possível limitar retenção? Há registros de auditoria? O fornecedor permite configuração empresarial diferenciada?
A resposta a essas perguntas constitui parte do dever de diligência da organização.
5. Registro das operações, avaliação de impacto e documentação
A governança adequada pressupõe documentação.
O art. 37 da LGPD estabelece que controlador e operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseadas no legítimo interesse.
O art. 38, por sua vez, prevê a possibilidade de a autoridade nacional determinar ao controlador a elaboração de Relatório de Impacto à Proteção de Dados Pessoais.
No contexto da IA, a avaliação de impacto não deve ser compreendida exclusivamente como obrigação formal eventualmente determinada pela autoridade.
Ela constitui importante metodologia de gestão de riscos.
Aplicações envolvendo grande volume de dados, dados sensíveis, crianças e adolescentes, biometria, monitoramento de trabalhadores, decisões automatizadas, perfilamento ou consequências significativas sobre indivíduos justificam avaliação particularmente cuidadosa.
O mesmo raciocínio pode ser estendido para avaliações de impacto algorítmico, ainda que sua metodologia possa ultrapassar o âmbito estrito da LGPD.
Privacidade é um dos riscos da IA, mas não o único.
6. Segurança da informação e a ruptura do perímetro corporativo
A utilização de IA generativa também exige reconsideração dos modelos tradicionais de segurança da informação.
Durante décadas, as organizações concentraram esforços na construção de perímetros tecnológicos: firewalls, sistemas de prevenção de intrusão, criptografia, controle de acesso, autenticação multifator, segmentação de redes e mecanismos de prevenção contra perda de dados.
Entretanto, o próprio usuário autorizado pode contornar grande parte dessa arquitetura simplesmente copiando informações para uma ferramenta externa.
O risco deixa de depender exclusivamente de invasão.
Pode decorrer de uma ação aparentemente legítima praticada por um usuário legítimo.
Por isso, confidencialidade, integridade e disponibilidade — elementos clássicos da segurança da informação — devem ser reinterpretados diante da IA generativa.
A governança deve considerar inclusive mecanismos de prevenção contra perda de dados (Data Loss Prevention — DLP), gestão de identidades, controle de aplicações, classificação da informação e monitoramento proporcional dos fluxos corporativos.
7. Confidencialidade, segredo empresarial e propriedade intelectual
Outro ponto essencial consiste em compreender que a proteção jurídica das informações corporativas ultrapassa o âmbito da LGPD.
Nem toda informação confidencial constitui dado pessoal.
Planejamento estratégico, código-fonte, métodos produtivos, propostas comerciais, fórmulas, pesquisas, estruturas de preços, operações societárias ainda não divulgadas, documentos internos e estratégias negociais podem possuir elevado valor econômico sem necessariamente estarem protegidos pela legislação de dados pessoais.
O ordenamento jurídico brasileiro dispõe de outros instrumentos de proteção.
A Lei nº 9.279/1996, ao disciplinar a concorrência desleal, protege determinadas informações confidenciais e conhecimentos obtidos em relações contratuais ou empregatícias, conforme as hipóteses do art. 195.
Também podem existir deveres decorrentes da boa-fé objetiva, dos contratos, de acordos de confidencialidade, do dever fiduciário e de normas profissionais específicas.
A utilização não autorizada de sistemas externos pode, portanto, comprometer simultaneamente diversos regimes jurídicos.
Esse aspecto é especialmente relevante para escritórios de advocacia, instituições financeiras, empresas de tecnologia, estruturas de pesquisa, departamentos jurídicos e organizações que tratam informações protegidas por deveres profissionais ou contratuais de sigilo.
8. Shadow AI como problema de governança corporativa
A Shadow AI revela um problema mais profundo do que a simples utilização de uma ferramenta não autorizada.
Ela demonstra perda de governabilidade sobre os ativos informacionais.
Quando inexistem diretrizes institucionais, cada colaborador passa, na prática, a definir individualmente:
- qual sistema utilizar;
- quais informações inserir;
- qual fornecedor considerar confiável;
- quais respostas aceitar;
- quais documentos produzir;
- e quais decisões apoiar na tecnologia.
A ausência de política não representa ausência de uso.
Representa descentralização informal do risco.
Sob a perspectiva de governança corporativa, isso significa que decisões relacionadas à segurança, privacidade, fornecedores e risco tecnológico podem ser tomadas por indivíduos sem mandato institucional para realizá-las.
Consequentemente, políticas de IA precisam estabelecer mecanismos claros de autorização, supervisão e responsabilização.
9. Decisões automatizadas, vieses e direitos dos titulares
A discussão torna-se ainda mais sensível quando sistemas de IA participam de decisões que produzem efeitos sobre pessoas.
O art. 20 da LGPD disciplina decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem interesses do titular, incluindo decisões destinadas à definição de perfil pessoal, profissional, de consumo e de crédito.
No ambiente corporativo, sistemas automatizados podem ser utilizados para recrutamento, avaliação de desempenho, prevenção de fraudes, concessão de crédito, segmentação de consumidores ou priorização de atendimento.
Essas aplicações apresentam riscos relacionados não apenas à privacidade, mas também à discriminação algorítmica.
Dados históricos podem reproduzir desigualdades existentes. Variáveis aparentemente neutras podem funcionar como proxies de atributos protegidos. Modelos complexos podem dificultar a compreensão dos critérios utilizados.
Nesse cenário, governança de IA deve incorporar mecanismos de avaliação de viés, qualidade de dados, explicabilidade adequada ao contexto, contestabilidade e supervisão humana.
10. Alucinação, confiança excessiva e responsabilidade
Modelos generativos não são mecanismos infalíveis de produção da verdade.
Podem gerar respostas incorretas, referências inexistentes ou conclusões equivocadas com elevada aparência de plausibilidade.
No ambiente jurídico, já se tornaram conhecidos episódios internacionais envolvendo apresentação de precedentes inexistentes produzidos por IA. O fenômeno demonstra um risco relevante: a automação da confiança.
A utilização de uma ferramenta tecnológica não elimina os deveres profissionais e organizacionais de diligência.
O advogado continua responsável pelo conteúdo da manifestação que subscreve. O administrador continua responsável pela decisão empresarial. O profissional de saúde permanece submetido às obrigações próprias de sua atividade. O desenvolvedor continua responsável pelos controles aplicáveis ao código colocado em produção.
A IA deve ser compreendida, em muitos contextos, como instrumento de apoio, e não como mecanismo automático de transferência de responsabilidade.
11. Agentes de IA e o princípio do menor privilégio
O avanço dos agentes de IA amplia significativamente essa discussão.
Diferentemente de um chatbot tradicional, um agente pode receber capacidade para consultar documentos, acessar e-mails, movimentar informações entre sistemas, executar códigos, realizar consultas ou iniciar determinadas ações.
Nesse cenário, ganha centralidade o princípio do menor privilégio.
Um agente deve possuir somente as permissões estritamente necessárias à tarefa para a qual foi autorizado.
Também devem ser considerados segregação de funções, limitação de escopo, autenticação, registro de atividades, monitoramento, possibilidade de interrupção e aprovação humana para ações críticas.
A questão jurídica acompanha a arquitetura tecnológica: quanto maior a autonomia concedida ao sistema, maior deve ser a estrutura de controle, rastreabilidade e responsabilização.
12. NIST AI RMF, ISO/IEC 42001 e governança baseada em risco
A construção de programas corporativos de governança de IA pode beneficiar-se de referenciais técnicos internacionais.
O NIST Artificial Intelligence Risk Management Framework — AI RMF estrutura a gestão de riscos de IA em quatro funções centrais: Govern, Map, Measure e Manage.
A lógica é relevante porque reconhece que riscos relacionados à IA precisam ser contextualizados, avaliados, mensurados e continuamente administrados.
Já a ISO/IEC 42001 estabelece requisitos para sistemas de gestão de Inteligência Artificial, adotando abordagem organizacional semelhante àquela utilizada em outros sistemas de gestão.
Esses referenciais não substituem a legislação aplicável, mas podem servir como mecanismos de estruturação de controles, evidências e processos de governança.
A convergência entre normas jurídicas e padrões técnicos é especialmente importante porque o dever de diligência empresarial não se esgota no cumprimento formal da legislação.
Governança pressupõe capacidade de demonstrar que riscos previsíveis foram identificados e razoavelmente tratados.
13. O AI Act europeu e a consolidação da abordagem baseada em risco
A experiência regulatória europeia também merece atenção.
O Regulamento Europeu de Inteligência Artificial consolidou uma abordagem baseada em risco, estabelecendo diferentes regimes jurídicos conforme características e potenciais impactos dos sistemas.
Embora o regulamento europeu não seja automaticamente aplicável a toda organização brasileira, sua estrutura possui relevância comparativa e pode influenciar contratos internacionais, programas de compliance e padrões globais de governança tecnológica.
A tendência regulatória internacional aponta para uma conclusão importante: sistemas de IA não devem ser tratados de maneira uniforme.
Uma ferramenta utilizada para correção gramatical não apresenta necessariamente os mesmos riscos de um sistema empregado para seleção de trabalhadores, análise biométrica ou decisões que afetem direitos.
A governança precisa ser proporcional ao risco.
14. Política Corporativa de IA como instrumento de accountability
Nesse cenário, a Política Corporativa de Inteligência Artificial assume função estratégica.
Ela deve integrar o programa geral de governança da informação e estabelecer, ao menos:
- inventário e classificação das aplicações de IA;
- definição de sistemas autorizados, condicionados e proibidos;
- classificação das informações que podem ser submetidas aos sistemas;
- regras para dados pessoais e dados pessoais sensíveis;
- critérios para contratação e avaliação de fornecedores;
- análise de transferências e compartilhamentos;
- requisitos de segurança;
- minimização, anonimização e pseudonimização;
- gestão de identidades e acessos;
- supervisão humana proporcional ao risco;
- regras para agentes autônomos;
- documentação e rastreabilidade;
- mecanismos de avaliação de impacto;
- procedimentos para incidentes;
- treinamento periódico;
- definição de responsabilidades e mecanismos de auditoria.
É igualmente recomendável estabelecer um inventário corporativo de sistemas de IA, permitindo que a organização saiba quais tecnologias estão efetivamente sendo utilizadas.
Sem inventário não existe conhecimento adequado do ambiente; sem conhecimento não existe avaliação consistente de risco; e sem avaliação de risco dificilmente haverá governança efetiva.
15. Da proteção de dados à governança integrada da informação
Um programa maduro de governança de IA não deve funcionar isoladamente.
Ele deve dialogar com o programa de privacidade e proteção de dados, segurança da informação, compliance, gestão de riscos, propriedade intelectual, gestão de terceiros, auditoria e continuidade dos negócios.
A atuação do encarregado de proteção de dados também é relevante, mas não exclusiva.
A IA não é apenas uma questão de LGPD.
É simultaneamente questão de tecnologia, governança, segurança, direito empresarial, relações trabalhistas, defesa do consumidor, propriedade intelectual, ética e gestão de riscos.
Por isso, estruturas multidisciplinares, como comitês de governança de IA, podem desempenhar função importante na definição dos casos de uso, avaliação dos riscos e acompanhamento dos sistemas adotados.
16. Conclusão
A Inteligência Artificial representa uma transformação estrutural do ambiente corporativo.
Seus benefícios são suficientemente relevantes para tornar pouco realista uma política baseada simplesmente na proibição. Entretanto, a liberdade absoluta de utilização também não se mostra juridicamente sustentável.
Entre a proibição e a ausência de controle encontra-se a governança.
A LGPD fornece importantes fundamentos para essa construção ao estabelecer princípios de finalidade, necessidade, segurança, prevenção e responsabilização, além de deveres relacionados à segurança, documentação e proteção de dados desde a concepção.
Entretanto, a governança de IA precisa ir além da LGPD.
Deve proteger ativos informacionais, segredos empresariais, propriedade intelectual e direitos fundamentais; controlar acessos; avaliar fornecedores; mitigar vieses; estabelecer supervisão humana; documentar decisões e definir responsabilidades.
A questão central deixa, portanto, de ser simplesmente saber se determinada empresa utiliza Inteligência Artificial.
A verdadeira questão de governança é determinar quem autorizou seu uso, para qual finalidade, mediante quais dados, sob quais controles, com quais evidências e com qual responsabilidade.
A ausência dessas respostas pode indicar que a organização possui Inteligência Artificial, mas ainda não possui governança sobre ela.
E, em um cenário no qual dados, conhecimento e algoritmos se transformaram em ativos estratégicos, inovar sem governar significa também aceitar riscos que muitas vezes sequer foram identificados.
Referências normativas e técnicas essenciais
BRASIL. Constituição da República Federativa do Brasil de 1988, especialmente a proteção constitucional da intimidade, vida privada e do direito fundamental à proteção de dados pessoais.
BRASIL. Lei nº 10.406, de 10 de janeiro de 2002 — Código Civil. Aplicável, entre outros aspectos, aos deveres de boa-fé, responsabilidade civil e relações contratuais.
BRASIL. Lei nº 12.965, de 23 de abril de 2014 — Marco Civil da Internet. Estabelece princípios, garantias, direitos e deveres para o uso da Internet no Brasil.
BRASIL. Lei nº 13.709, de 14 de agosto de 2018 — Lei Geral de Proteção de Dados Pessoais (LGPD). Em especial, arts. 5º, 6º, 20, 37, 38, 46, 48 e 50.
BRASIL. Lei nº 9.279, de 14 de maio de 1996 — Lei da Propriedade Industrial. Particularmente as disposições relacionadas à concorrência desleal e proteção de informações confidenciais.
NIST — NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Artificial Intelligence Risk Management Framework (AI RMF 1.0). Gaithersburg: NIST, 2023.
ISO/IEC. ISO/IEC 42001:2023 — Information technology — Artificial intelligence — Management system. Norma internacional destinada à estruturação de sistemas de gestão de Inteligência Artificial.
UNIÃO EUROPEIA. Regulation (EU) 2024/1689 — Artificial Intelligence Act. Marco regulatório europeu de Inteligência Artificial estruturado segundo abordagem baseada em riscos.
OWASP FOUNDATION. OWASP Top 10 for Large Language Model Applications. Referencial técnico sobre riscos e vulnerabilidades associados a aplicações baseadas em grandes modelos de linguagem.
ANPD — AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Radar Tecnológico — Inteligência Artificial Generativa. Documento técnico dedicado aos impactos e desafios da IA generativa sob a perspectiva da proteção de dados pessoais.
Documento acessado em okai.com.br.
