Responsabilidade por Erro de IA: Quem Responde Dentro da Empresa

Quando um agente de IA erra (recomenda o produto errado, aprova um crédito que não deveria, gera um contrato com cláusula inventada), a resposta jurídica no Brasil é quase sempre a mesma: a empresa que opera a ferramenta responde, não o algoritmo. A ESV vê essa dúvida aparecer cada vez mais nas conversas de advisory, e ela raramente é tratada antes do primeiro incidente.

Por que isso é um problema operacional, não só jurídico

A maioria das empresas discute IA pelo lado da produtividade: quanto tempo economiza, quantos atendimentos a mais o time consegue fazer. Poucas param para desenhar o que acontece quando o sistema erra de um jeito que gera dano a um cliente, a um fornecedor ou à própria operação.

Isso importa porque a IA generativa erra de forma diferente de um sistema tradicional. Ela pode "alucinar" uma informação com a mesma confiança de uma informação correta, e isso muda como o erro se propaga: ninguém percebe até o cliente reclamar ou o prejuízo aparecer no caixa.

O que a lei brasileira diz hoje

Não existe, ainda, uma lei específica no Brasil tratando de responsabilidade civil por decisão de IA. O Marco Legal da Inteligência Artificial (PL 2338/2023) segue em tramitação, e enquanto ele não é aprovado, os tribunais aplicam o que já existe: Código de Defesa do Consumidor, Código Civil e LGPD.

Na prática, isso cria uma responsabilidade objetiva na maior parte dos casos. O artigo 14 do CDC responsabiliza o fornecedor por defeito na prestação do serviço, o que inclui falhas em sistemas automatizados, mesmo sem culpa comprovada. Quando existe erro humano identificável (time que treinou o modelo sem validação, integrador que implantou fora da especificação, operador que ignorou um alerta do sistema), a discussão pode migrar para responsabilidade subjetiva, mas isso não muda o ponto central: alguém dentro da cadeia responde, e raramente é só o fornecedor da tecnologia.

Quem responde na prática

A cadeia de responsabilidade pode incluir o time que desenvolveu o modelo, o fornecedor que vendeu a ferramenta e a empresa que a contratou e disponibilizou ao cliente final. Na prática, quem primeiro é acionado é sempre quem está mais perto do dano: a empresa que usa a IA no atendimento, na venda ou na decisão de crédito.

Isso vale mesmo quando o erro nasce em um modelo de terceiro (um fornecedor de LLM, por exemplo) e não em algo construído internamente. O fato de o erro ter saído de um algoritmo, e não de uma pessoa, não isenta a empresa contratante. Essa é a razão pela qual avaliar fornecedores de IA com critério (tratamos isso em detalhe no artigo sobre como avaliar um fornecedor de IA) deixou de ser só uma questão de qualidade de produto e passou a ser uma questão de exposição jurídica.

Como reduzir a exposição antes do erro acontecer

Nenhuma medida elimina o dever de indenizar quando há dano, mas várias reduzem a chance de o erro acontecer e ajudam a empresa a se defender quando acontece:

Human-in-the-loop em decisões de maior risco. Aprovação de crédito, diagnóstico médico, decisão que afeta direito do consumidor: nenhuma dessas deveria sair 100% automatizada sem revisão humana no ponto de maior impacto.

Contratos com cláusulas claras de responsabilidade. Cláusulas que tentam excluir qualquer responsabilidade do fornecedor, mesmo quando ele controla arquitetura e treinamento do modelo, tendem a gerar mais disputa do que proteção. O contrato precisa definir quem responde por qual tipo de falha, não tentar zerar a responsabilidade de todo mundo.

Seguro com cobertura para falha algorítmica. Apólices de cyber insurance e de responsabilidade profissional (E&O) já incluem, em alguns mercados, cobertura específica para decisão automatizada e output de IA. Vale perguntar ao corretor se a apólice atual cobre isso ou se é preciso um adicional.

Registro e auditabilidade das decisões automatizadas. Guardar o histórico de o que o sistema decidiu, com que dado e em que versão do modelo, é o que permite provar boa-fé e diligência depois que algo dá errado. Sem isso, a empresa está sempre na defensiva.

Essas quatro frentes são, na prática, o mesmo tipo de estrutura que tratamos no guia de gestão de risco em IA: a responsabilidade por erro de IA não é um capítulo separado, é uma consequência direta de como a empresa gerencia risco de IA no dia a dia.

O papel do advisory contínuo

Empresas que tratam isso como pauta pontual (uma reunião jurídica quando o projeto de IA é aprovado) tendem a deixar a política desatualizada assim que o uso da IA muda. A ESV recomenda tratar responsabilidade e exposição jurídica como item recorrente do advisory de IA, revisado a cada novo caso de uso relevante, não só uma vez no início do projeto.

Perguntas frequentes

Quem responde legalmente quando um agente de IA comete um erro? Na maioria dos casos, a empresa que opera ou disponibiliza a ferramenta ao cliente final, mesmo que o erro tenha origem em um modelo de terceiro. O Código de Defesa do Consumidor responsabiliza objetivamente quem presta o serviço com defeito.

Contratar um seguro elimina a responsabilidade da empresa? Não. O seguro cobre o custo financeiro do dano e da defesa em caso de disputa, mas o dever de indenizar continua existindo para a empresa. Compliance e seguro reduzem a exposição financeira e ajudam a comprovar boa-fé, mas não eliminam a responsabilidade civil pelo erro.

Já existe uma lei específica sobre erro de IA no Brasil? Ainda não. O Marco Legal da IA (PL 2338/2023) segue em tramitação no Congresso. Enquanto isso, os tribunais aplicam o Código de Defesa do Consumidor, o Código Civil e a LGPD para decidir quem responde, geralmente responsabilizando a empresa que opera o sistema.

Próximo passo

Se sua empresa já usa ou está prestes a colocar agentes de IA em produção, vale mapear onde estão os pontos de maior exposição antes que um erro apareça. Comece pelo diagnóstico gratuito de IA da ESV.