Sem política escrita, cada advogado interno decide sozinho o que sai da empresa, e a decisão costuma ser tomada com o prazo vencendo.
É comum o advogado interno receber do comercial uma minuta de acordo para revisar até o dia seguinte. O documento traz nome completo da outra parte, CPF, valor, cláusula de confidencialidade e o histórico do litígio resumido no primeiro parágrafo. Para ganhar tempo, ele abre uma ferramenta de inteligência artificial no navegador, cola o texto inteiro e pede um resumo dos riscos. A resposta sai em segundos, mas o documento já deixou a empresa e ninguém registrou isso em lugar nenhum.
A cena se repete em departamentos jurídicos de todo porte. Não há invasão nem vazamento no sentido clássico, e não existe incidente formal para comunicar. O que existe é uma decisão individual, tomada por quem estava com pressa, sobre um dado que não era dele. Isso se repete todo dia, multiplicado pelo número de advogados que a empresa tem.
Para onde o texto vai
Quando alguém cola um contrato numa ferramenta de IA aberta no navegador, aquele texto trafega para o servidor de um terceiro e passa a existir fora do perímetro da empresa. O que acontece depois depende dos termos de uso e do plano contratados, e de configurações que quase nunca são revisadas pelo jurídico. Na maior parte dos casos, ninguém no departamento sabe dizer qual é a resposta.
Há um detalhe de jurisdição que costuma passar batido nessa conta: os principais serviços de IA usados no Brasil são de empresas americanas, e o governo americano pode requisitar os dados que uma empresa dos Estados Unidos guarda, sem que o titular seja avisado. Isso não torna o uso ilícito, mas exige que a escolha seja tomada por escrito, por quem responde pela empresa, e não improvisada por cada advogado às 18h40.
O material que passa pelas mãos de um jurídico interno também carrega risco. Contratos, acordos, folhas de funcionário e documentos de processo trazem dado pessoal e, com frequência, dado pessoal sensível, que vai de situação financeira a histórico de saúde, muitas vezes cruzado com questão familiar. A Lei 13.709/2018 alcança esse conteúdo do mesmo jeito, esteja ele numa pasta de rede ou numa caixa de texto de navegador. O sigilo profissional é dever do advogado e continua valendo ainda que o arquivo tenha trocado de suporte.
O que definir antes
Mais do que discutir se o departamento vai usar IA, a pergunta prática é o que a empresa decidiu antes de usar. Alguns pontos ajudam a resolver a maior parte do problema.
Um primeiro ponto é dizer qual ferramenta está autorizada: uma só, já contratada e com termos lidos pelo próprio jurídico. Enquanto não houver essa definição, o padrão de fato acaba sendo a soma das preferências pessoais de cada advogado, e ninguém consegue auditar isso depois.
Também importa dizer o que nunca sai íntegro. É melhor listar categorias do que documentos: dado de funcionário, dado de cliente identificado, número de documento, valor de acordo sob confidencialidade. Onde o conteúdo precisa mesmo ser processado, o caminho é trocar identificadores por rótulos antes do envio, para que a análise aconteça sobre a estrutura do texto, não sobre a identidade das pessoas.
Por fim, entra o registro. Sem trilha de quem usou, quando e sobre qual documento, a empresa não tem como responder a uma pergunta simples do cliente ou de uma autoridade: esse contrato foi processado por IA? Por quem? A ausência de resposta já é um problema.
O setor dos cartórios já tem essas regras escritas no Provimento 213 do CNJ: criptografia, trilha de quem fez o quê e contrato com o fornecedor prevendo confidencialidade, reversibilidade, portabilidade e gestão de incidentes. A lista serve de roteiro para qualquer departamento jurídico.
Do lado das ferramentas, o mercado tem hoje opções que não funcionam todas do mesmo jeito nesse quesito. Algumas operam inteiramente no navegador de um serviço aberto. Outras rodam instaladas na máquina, indexam os documentos localmente e só enviam para processamento externo o que a política permitir. A Locus.IA, software desenvolvido no interior do Paraná, segue esse segundo modelo, com pseudonimização antes do envio em parte das funções e ferramentas de PDF que processam inteiramente no computador do usuário. Para quem está montando a política do departamento, a decisão sobre tecnologia é diferente da decisão sobre responsabilidade, que continua sendo da empresa em qualquer ferramenta escolhida. O texto sobre como a inteligência artificial vem sendo usada no trabalho jurídico detalha esse ponto.