Com o avanço de ferramentas de inteligência artificial generativa dentro do ambiente corporativo, cresce também um risco silencioso que poucas empresas conseguem enxergar a tempo. Jonatas Lucena, advogado especialista em Direito Digital, tem acompanhado um aumento expressivo de situações em que informações sigilosas acabam inseridas em plataformas de IA por funcionários que buscam apenas agilizar tarefas do cotidiano. Contratos, planilhas financeiras, dados de clientes e estratégias internas terminam alimentando sistemas externos sem qualquer autorização formal, o que pode configurar vazamento de dados corporativos com consequências jurídicas relevantes para a organização.
Como o uso cotidiano de IA se transforma em risco jurídico?
A rotina de trabalho mudou de forma acelerada nos últimos anos. Resumir um relatório, traduzir um contrato ou revisar uma proposta comercial em segundos tornou-se prática comum em praticamente todos os setores. O problema surge quando esse mesmo processo envolve colar trechos de documentos internos, nomes de clientes ou números financeiros em ferramentas que não pertencem à empresa e cujas políticas de armazenamento de dados nem sempre são conhecidas por quem as utiliza. Em muitos casos, o colaborador nem percebe que aquele conteúdo pode ser processado, armazenado ou até reaproveitado por terceiros em treinamentos futuros.
O que diz a LGPD sobre esse tipo de exposição?
Segundo Jonatas Lucena, a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) impõe à empresa o dever de adotar medidas técnicas e administrativas capazes de prevenir o tratamento indevido de dados pessoais, o que inclui orientar, treinar e monitorar o uso de ferramentas externas por seus colaboradores. A ausência de uma política clara sobre inteligência artificial no ambiente de trabalho não isenta a organização de responsabilidade caso um vazamento de dados corporativos venha a ocorrer, ainda que a falha tenha partida individual e não institucional.
Ferramentas de IA de uso gratuito costumam reter, em algum grau, o conteúdo submetido pelos usuários para aprimorar seus próprios modelos. Quando esse conteúdo contém dados pessoais de clientes, funcionários ou parceiros comerciais, a empresa pode ser responsabilizada por não ter adotado salvaguardas mínimas, mesmo sem ter autorizado diretamente aquela conduta específica.
Quem responde legalmente quando a IA se torna porta de saída de dados?
Na avaliação de Jonatas Lucena, a responsabilidade recai, na maior parte dos casos, sobre a pessoa jurídica, na condição de controladora dos dados, ainda que o vazamento tenha origem em uma conduta individual não autorizada por qualquer política interna. Isso não significa que o funcionário esteja isento de consequências, especialmente quando há violação expressa de normas de compliance ou de cláusulas contratuais de confidencialidade, mas o ônus regulatório e reputacional tende a recair, em primeiro lugar, sobre a empresa.
Contratos de trabalho, termos de confidencialidade e políticas internas de segurança da informação passam a ser instrumentos decisivos nesse cenário, tanto para orientar a conduta esperada quanto para delimitar responsabilidades em caso de incidente.
Como as empresas podem reduzir essa exposição?
Entre as medidas mais eficazes está a definição clara de quais ferramentas de inteligência artificial podem ser utilizadas no ambiente corporativo, com restrição de acesso a plataformas sem contrato de proteção de dados adequado. Treinamentos periódicos sobre o que pode e o que não pode ser inserido em sistemas externos também reduzem consideravelmente o risco. A atuação de um encarregado de proteção de dados, previsto pela própria LGPD, auxilia ainda na revisão contínua dessas práticas, adequando-as à velocidade com que novas ferramentas surgem no mercado.
Diante da rapidez com que a inteligência artificial se incorpora à rotina das empresas, muitas organizações ainda não perceberam que já convivem com esse risco todos os dias. Uma avaliação jurídica preventiva permite identificar brechas antes que se tornem prejuízo concreto, orientando políticas internas de uso de IA alinhadas à LGPD e ao Marco Civil da Internet.
Autor: Jonatas Lucena – Advogado Especialista em Crimes Cibernéticos – OAB/SP 285.933