PT
EN
Dados pessoais, confidencialidade, uso de conteúdo e responsabilidade exigem regras claras na contratação de inteligência artificial, mesmo enquanto o marco legal específico segue em discussão.
A contratação de uma ferramenta de inteligência artificial pode começar com uma licença de baixo custo e alcançar atividades relevantes para a empresa. Um assistente passa a resumir documentos, outro analisa propostas comerciais e um terceiro ajuda a selecionar informações sobre clientes. A escala de uso aumenta, assim como a necessidade de entender quais dados circulam e quem responde por cada etapa.
A TIC Empresas 2025, divulgada em 2026 pelo Cetic.br/NIC.br, mostra que o uso de IA alcançou 17% das empresas no universo pesquisado, ante 13% em 2024. Entre as usuárias da tecnologia, 80% adquiriram soluções prontas e 60% recorreram a fornecedores externos para desenvolver ou adaptar sistemas. Uma empresa pode combinar essas formas de aquisição.
Para o jurídico, esses dados reforçam uma questão operacional: as condições de contratação precisam acompanhar o uso efetivo da ferramenta. Uma licença aceita para uma atividade de apoio pode ser insuficiente para um processo que envolve informação confidencial ou afeta direitos de pessoas.
As obrigações já existentes
Na consulta realizada em 2 de outubro de 2026, o PL 2338/2023 aguardava parecer do relator na comissão especial da Câmara dos Deputados. O projeto pode sofrer alterações e não deve ser tratado como lei vigente.
A empresa já precisa observar a LGPD quando houver tratamento de dados pessoais. Também se aplicam, conforme a operação, as regras de responsabilidade contratual e de direitos autorais. A definição dos cuidados deve partir da finalidade do uso, das informações envolvidas e das consequências de uma falha.
No artigo anterior da Tonani sobre gestão jurídica de IA, abordamos as obrigações e a importância da governança. A análise a seguir concentra-se no contrato com o fornecedor e nas decisões internas que tornam essas regras aplicáveis à rotina.
-
Para que a ferramenta poderá ser utilizada
O contrato precisa descrever o serviço contratado e seus limites. Apoiar uma pesquisa interna, classificar currículos e produzir uma recomendação de crédito são aplicações com consequências distintas. Convém definir usos autorizados, critérios de aceitação e situações em que o resultado dependerá de validação adicional.
A área responsável também deve conhecer mudanças de versão que alterem o comportamento do sistema. Um processo relevante pode exigir testes antes da adoção de uma atualização, além de um procedimento alternativo para períodos de indisponibilidade.
-
Quais informações entram e quem pode acessá-las
Prompts, documentos anexados, registros de uso e respostas podem conter dados pessoais ou segredos de negócio. O contrato deve esclarecer quais informações serão armazenadas, por quanto tempo e quais equipes do fornecedor ou subcontratados poderão acessá-las.
Na aplicação da LGPD, é necessário identificar a finalidade e a base legal do tratamento. A definição de controlador e operador depende das decisões efetivamente tomadas por cada parte. Chamar o fornecedor de operador no contrato não resolve usos próprios que ele faça das informações.
Recomenda-se descrever as medidas de proteção exigidas, os acessos autorizados e as hipóteses de divulgação permitida. Credenciais, dados de saúde, documentos estratégicos e informações de terceiros sujeitos a sigilo devem passar por avaliação específica antes de qualquer envio.
-
O fornecedor pode usar o conteúdo para treinar modelos
O tratamento necessário para entregar uma resposta e a reutilização do conteúdo para aperfeiçoar um modelo precisam ser examinados separadamente. Os termos comerciais devem indicar se o fornecedor utiliza entradas e saídas para treinamento, avaliação ou melhoria de produto, e se essa utilização alcança terceiros.
Se a empresa exigir que seus dados não sejam usados para treinamento, essa restrição deve constar das condições aplicáveis e ser compatível com a configuração da conta contratada. Também convém verificar se a condição muda conforme o plano, a funcionalidade ou a integração utilizada.
A autorização contratual entre empresas não substitui a avaliação jurídica do tratamento de dados pessoais nem afasta deveres de confidencialidade assumidos perante clientes e parceiros.
-
Onde os dados serão tratados
Hospedagem, suporte remoto e subcontratação podem envolver agentes localizados em outros países. O contrato deve permitir identificar os participantes da operação e as transferências internacionais de dados pessoais, quando existirem.
A Resolução CD/ANPD 19/2024 regulamenta transferências internacionais e aprova cláusulas-padrão contratuais. É preciso verificar qual mecanismo legal ampara a transferência e como suas exigências serão atendidas. A simples menção a uma “nuvem global” não fornece essas respostas.
Como medida de gestão, convém prever informação sobre novos subcontratados, possibilidade de avaliação de mudanças relevantes e consequências para o contrato se a empresa deixar de aceitar a estrutura de tratamento proposta.
-
Quais direitos a empresa terá sobre o resultado
O contrato deve distinguir os materiais fornecidos pela empresa, os componentes preexistentes do fornecedor e os resultados produzidos durante o serviço. Licença de uso, possibilidade de alteração e exploração comercial precisam ter alcance definido.
A Lei de Direitos Autorais identifica como autor a pessoa física criadora da obra. Isso exige cautela com promessas de exclusividade ou proteção automática para todo conteúdo gerado por IA. O enquadramento depende das características do material e da participação humana, entre outros fatores.
Também merece atenção o risco de o resultado reproduzir material protegido de terceiros. O contrato pode organizar garantias do fornecedor, deveres de cooperação e a condução da defesa em caso de reclamação. A revisão humana do conteúdo continua relevante, especialmente antes de sua publicação ou exploração comercial.
-
O que acontece se a ferramenta errar ou ficar indisponível
Uma cláusula de disponibilidade não responde, sozinha, às consequências de um resultado incorreto. A empresa deve avaliar como o contrato trata falhas do serviço, perda de dados, respostas inadequadas e descumprimento de obrigações de segurança.
Limites de responsabilidade, exclusões de danos e valores máximos de indenização precisam ser comparados com a importância do processo atendido. Se a solução suporta uma operação relevante, a avaliação pode incluir mecanismos de contingência, prazos de correção e formas de comprovar a ocorrência da falha.
Em aplicações que afetem pessoas, devem ser considerados os direitos previstos na legislação. O art. 20 da LGPD assegura a possibilidade de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem interesses do titular. O desenho do processo precisa permitir o atendimento desses pedidos.
-
Como a empresa será avisada sobre um incidente
O fornecedor deve saber a quem comunicar um incidente, quais informações apresentar e como colaborar na investigação. A empresa, por sua vez, precisa de condições para avaliar o impacto e cumprir suas próprias obrigações.
A regulamentação da ANPD prevê, como regra geral, comunicação pelo controlador à autoridade e aos titulares em até três dias úteis nos incidentes sujeitos a comunicação, contados do conhecimento de que o incidente afetou dados pessoais. Há condições de aplicação e regras específicas a observar. Por isso, o prazo de aviso do fornecedor deve ser compatível com uma resposta tempestiva da contratante.
Além do aviso, é recomendável prever preservação de evidências, contenção, apoio técnico e acompanhamento das medidas corretivas. Esses itens devem ter responsáveis e meios de contato definidos.
-
Como encerrar o contrato e recuperar as informações
A saída do fornecedor merece atenção antes da contratação. A empresa precisa saber quais dados e registros conseguirá exportar, em que formato e com quais custos. Também deve avaliar o prazo de transição e a dependência de recursos exclusivos da plataforma.
O contrato deve disciplinar devolução e exclusão das informações, inclusive em subcontratados, observadas as retenções legalmente justificadas. Cópias de segurança e registros sujeitos a prazos próprios precisam de tratamento explícito.
Se a relação terminar após um incidente ou uma falha relevante, o acesso aos documentos necessários à apuração não pode depender apenas da continuidade da licença. Convém prever como serão preservadas e disponibilizadas as evidências pertinentes.
A política interna precisa acompanhar o contrato
Mesmo um contrato bem negociado perde utilidade se a equipe utilizar contas pessoais, enviar informações fora do escopo autorizado ou incorporar respostas sem revisão. A política interna deve traduzir os limites da contratação em orientações que as pessoas consigam aplicar.
A política deve indicar ferramentas e informações autorizadas, responsáveis pela revisão dos resultados e canais para comunicar falhas. Novas aplicações precisam de avaliação proporcional ao risco, com participação das áreas competentes. Usos que afetem pessoas ou envolvam dados sensíveis merecem controles adicionais.
Registros de aprovação e testes documentam essa avaliação. Mudanças de finalidade ou de fornecedor devem motivar a revisão do contrato e das práticas internas, para que os controles continuem adequados ao uso efetivo da ferramenta.
