Cláusula de inteligência artificial em contrato: o que tratar

Cláusula de inteligência artificial em contrato: o que tratar

Uma cláusula de inteligência artificial em contrato é o trecho que diz se, onde e como a IA pode ser usada na entrega, quais dados ela pode tocar, quem revisa o resultado e quem responde quando algo dá errado. Ela não precisa ser longa, mas precisa ser específica o bastante para que as duas partes saibam o que foi combinado. Este texto lista os temas a levar para a conversa e não substitui a orientação de um advogado.

Principais pontos

• Contratos antigos costumam ser silenciosos sobre IA, e o silêncio deixa cada parte supor o que quiser.
• Os temas centrais são: uso permitido de IA, dados envolvidos, revisão humana, responsabilidade e saída do contrato.
• Uma boa cláusula descreve fluxos reais (atendimento, propostas, relatórios), não a tecnologia em abstrato.
• Dados pessoais exigem atenção à LGPD, inclusive quando o fornecedor de IA fica fora do Brasil.
• O texto final deve ser redigido ou revisado por advogado; o papel do negócio é levar os fatos corretos para ele.

Por que o contrato precisa falar de IA?

Quando um fornecedor passa a usar IA para redigir relatórios, responder clientes ou classificar documentos, a natureza do serviço muda, mesmo que o escopo no papel continue o mesmo. O mesmo vale para o cliente que cola informações do projeto em uma ferramenta de IA para resumir uma reunião. Nenhuma das partes agiu de má-fé, mas ninguém combinou nada.

O risco não está na IA em si. Está em três lacunas comuns: não se sabe quando ela foi usada, não se sabe para onde os dados foram e não se sabe quem conferiu o resultado. Uma cláusula bem feita fecha essas três lacunas com linguagem simples.

Um ponto de método ajuda aqui. Separe o que vem de documentação oficial (como a LGPD e as orientações da ANPD), o que vem de experiência de implementação (como fluxos de IA costumam falhar) e o que é hipótese sua sobre o futuro. O contrato deve se apoiar nos dois primeiros e prever mecanismos de revisão para o terceiro.

Quais temas uma cláusula de IA deveria cobrir?

Use a lista abaixo como roteiro de conversa com o advogado e com a outra parte. Nem todo contrato precisa de todos os itens; um contrato de manutenção de equipamentos pede menos do que um contrato de atendimento ao cliente.

• Definição: o que o contrato chama de sistema de IA (ferramenta de terceiros, modelo próprio, automação com regras fixas).
• Uso permitido e proibido: em quais atividades a IA pode ser usada e em quais não pode.
• Transparência: se e como a outra parte será informada de que a IA participou da entrega.
• Dados: quais categorias entram na ferramenta, quais ficam de fora, onde são processados e por quanto tempo ficam guardados.
• Treinamento: se os dados da outra parte podem ou não ser usados para treinar ou melhorar modelos.
• Subcontratados: quais provedores de IA participam e como mudanças serão comunicadas.
• Revisão humana: quem confere o que a IA produz antes de chegar ao cliente final ou virar decisão.
• Responsabilidade: quem responde por erro, vazamento, conteúdo indevido ou violação de direitos de terceiros.
• Propriedade e confidencialidade: de quem são os resultados gerados e como se protege informação sigilosa.
• Registro e auditoria: que logs existem e quem pode consultá-los.
• Incidentes: prazo e forma de aviso quando algo der errado.
• Encerramento: o que acontece com dados e configurações quando o contrato termina.

Uso de IA: declarar o que, onde e para quê

A cláusula mais útil não diz apenas que a IA pode ou não ser usada. Ela descreve em quais etapas. Por exemplo: rascunho de texto pode usar IA, cálculo de orçamento final não; triagem de mensagens pode usar IA, resposta sobre garantia ou cobrança não.

Pense em três categorias e escreva cada uma com exemplos do seu próprio negócio:

• Uso livre: tarefas internas de baixo risco, sem dados pessoais ou sigilosos.
• Uso condicionado: tarefas que exigem aprovação prévia, revisão humana ou ferramenta específica.
• Uso vedado: tarefas em que a IA não deve participar, como decisões que afetam direitos de pessoas ou comunicação sensível.

Essa divisão conversa com o que já se faz internamente em uma política de uso de ChatGPT na empresa. Se a política interna e o contrato dizem coisas diferentes, o contrato perde credibilidade na primeira discussão. Vale também olhar o que a empresa não deveria delegar à IA e transformar essa lista em uso vedado.

Dados: o que entra, onde fica e quem acessa

Este é o tema em que a cláusula mais se aproxima da LGPD. Se o fornecedor trata dados pessoais em nome do cliente, o contrato geralmente precisa deixar claro os papéis de cada parte (controlador e operador), a finalidade do tratamento e as medidas de segurança. Quem decide isso é o advogado, mas você precisa levar os fatos: quais dados são, de quem, por qual canal e para qual ferramenta.

Perguntas práticas para responder antes de redigir:

• A ferramenta de IA recebe nome, telefone, documento, dados de saúde ou financeiros?
• Mensagens de WhatsApp, áudios ou gravações de reunião passam por ela?
• O provedor processa dados fora do Brasil? Se sim, veja o que a LGPD exige em transferência internacional de dados com IA.
• Os dados são usados para treinar modelos do provedor, ou há opção de desligar isso?
• Por quanto tempo conversas e anexos ficam armazenados, e quem consegue apagá-los?

Para dados mais sensíveis, algumas empresas preferem restringir o que vai para serviços externos e rodar parte do trabalho em ambiente controlado. O artigo sobre Ollama na empresa mostra o que considerar nesse caminho. Em qualquer opção, o contrato deve refletir o que de fato acontece, não o que seria ideal.

Revisão humana e responsabilidade: quem confere e quem responde?

A revisão humana só tem valor se for específica. Escrever que o conteúdo será revisado por humanos não diz quem, quando nem com qual poder de corrigir ou barrar. Prefira descrever o ponto de controle: a pessoa responsável pelo serviço revisa o texto antes do envio ao cliente; casos fora de um conjunto definido de situações são encaminhados a um atendente.

Quando a IA participa de decisões que afetam pessoas (crédito, cancelamento, acesso a serviço), há um tema próprio na LGPD: o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado. O artigo sobre decisões automatizadas e o art. 20 da LGPD detalha o ponto. No contrato, vale prever como esse pedido chega ao responsável e em quanto tempo será tratado.

Sobre responsabilidade, o texto costuma tratar de:

• Quem responde perante o cliente final por erro de conteúdo gerado com IA.
• Quem arca com a correção e como ela é feita.
• Como se divide a responsabilidade quando o erro vem de um provedor terceiro.
• Quais limites e exceções se aplicam, o que é decisão estritamente jurídica e deve ser negociada com advogado.

O que você pode fazer como gestor é deixar o fluxo explícito. Quanto mais claro o desenho (quem faz o quê, onde há revisão, quais registros existem), mais fácil é alocar responsabilidade de forma justa.

Cenário ilustrativo: fornecedor de atendimento no WhatsApp

Cenário ilustrativo: uma empresa contrata um fornecedor para operar o atendimento inicial no WhatsApp com um agente de IA. O contrato anterior falava apenas em atendimento e horário de resposta.

Ao revisar o contrato, a empresa e o advogado decidem incluir os seguintes pontos:

• O agente pode responder dúvidas sobre horário, endereço e status de pedido; não pode negociar preço, prometer prazo de garantia nem tratar reclamações formais.
• Mensagens com palavras ligadas a cancelamento, cobrança ou reclamação são encaminhadas a uma pessoa.
• O cliente final é informado, na primeira mensagem, de que está falando com um assistente virtual.
• Os dados das conversas não são usados para treinar modelos de terceiros e são guardados por um período definido.
• O fornecedor mantém registro das respostas e entrega, a pedido, o histórico de uma conversa específica.
• Qualquer troca de provedor de IA é comunicada antes de entrar em operação.

O desenho dialoga com o que se discute em como integrar IA no WhatsApp da empresa: limites claros, entrega para humano e registro das decisões. O contrato apenas transforma essas decisões técnicas em compromissos verificáveis.

Como levar o tema ao contrato: passo a passo

O método que usamos em projetos de IA também serve para preparar a conversa contratual: mapear, limitar, pilotar e transferir. Aplicado ao contrato, fica assim.

• Mapear: liste onde a IA já é usada ou será usada na relação (por você, pelo fornecedor, pelo cliente), com ferramentas e dados envolvidos.
• Limitar: defina o que a IA pode e não pode fazer, quais dados ficam fora e onde há revisão humana obrigatória.
• Levar ao advogado: entregue o mapa e os limites, e peça que ele traduza em cláusulas, adequando à LGPD e ao tipo de contrato.
• Pilotar: se possível, comece com um fluxo real e prazo curto, com logs e um critério de sucesso combinado entre as partes.
• Transferir: ao fim do piloto, documente o que funcionou, ajuste a cláusula e decida se expande, ajusta ou encerra.

Um detalhe prático: contratos de longa duração se beneficiam de um anexo técnico, separado do corpo do contrato, que lista ferramentas, fluxos e dados. Anexos são mais fáceis de atualizar do que o contrato inteiro, e a IA muda mais rápido que a maioria das relações comerciais.

Para estruturar riscos, algumas empresas usam referenciais de gestão como o NIST AI Risk Management Framework e a lista de vulnerabilidades do OWASP Top 10 para aplicações com LLMs. Eles não são lei nem modelo de cláusula, mas ajudam a nomear riscos que o contrato deve endereçar. Também vale acompanhar o marco legal da IA no Brasil, já que regras futuras podem exigir revisão do texto.

Perguntas frequentes

Preciso de uma cláusula de IA mesmo que minha empresa não venda IA? Se você ou seu fornecedor usam IA em qualquer etapa que toque dados de clientes, informações confidenciais ou comunicação com terceiros, vale tratar do tema. A cláusula pode ser curta, mas deve dizer o que é permitido, quais dados entram e quem revisa o resultado.

Uma cláusula de IA substitui a política interna da empresa? Não. A política interna orienta a equipe no dia a dia, e o contrato fixa o que foi acordado com outra parte. Os dois devem ser coerentes, e o contrato pode fazer referência à política ou a um anexo técnico.

A cláusula pode proibir totalmente o uso de IA? Pode, se as partes concordarem, mas é difícil de fiscalizar quando a IA está embutida em ferramentas comuns. Em geral funciona melhor definir usos vedados, exigir comunicação sobre ferramentas e dados envolvidos e prever auditoria ou prestação de contas.

Quem deve redigir a cláusula? Um advogado, de preferência com familiaridade em proteção de dados e contratos de tecnologia. O papel do gestor e do responsável técnico é levar os fatos: fluxos, ferramentas, dados, pontos de revisão e o que acontece quando algo falha.

Fontes

• ANPD: Autoridade Nacional de Proteção de Dados
• NIST AI Risk Management Framework
• OWASP Top 10 for LLM Applications