Contrato de inteligência artificial: o que revisar

Ao contratar uma ferramenta ou um agente de inteligência artificial, a empresa precisa saber, por escrito, cinco coisas: o que o fornecedor faz com os dados que você envia, quem pode usar o que a IA gera, quem responde quando a IA erra, onde os dados ficam e como você sai do contrato levando o que é seu. Não há hoje no Brasil uma lei específica de IA em vigor. Por isso, as respostas estão no contrato, na LGPD, na lei de direitos autorais e nas regras gerais do Código Civil.

Onde está o risco

A maior parte das empresas contrata IA aceitando termos de uso padrão, muitas vezes com um clique, e só lê as condições quando algo dá errado. O problema é que esses termos costumam ser escritos para proteger o fornecedor: limitam a responsabilidade a valores baixos, permitem o uso das informações enviadas para melhorar o serviço e mudam de versão sem aviso.

Nos contratos entre empresas, a lei presume que as partes negociaram em igualdade e manda respeitar a alocação de riscos que elas definiram (Código Civil, art. 421-A). Ou seja, o que você aceitou tende a valer.

Como funciona: os conceitos que aparecem no contrato

• Entradas. Tudo o que a empresa envia à ferramenta: textos, planilhas, documentos, gravações. O ponto central é se o fornecedor pode usar esse material para treinar ou ajustar os modelos.
• Saídas. O que a IA devolve: textos, imagens, códigos, análises. O contrato precisa dizer quem pode usá-las, para quê e se o fornecedor mantém algum direito sobre elas.
• Agente de IA. Uma ferramenta que não só responde, mas executa ações em sistemas, como enviar e-mails, consultar bases ou registrar pedidos. Quanto mais o agente age, mais importam permissões, registros e limites.
• Papel na LGPD. Quando a ferramenta trata dados pessoais em nome da sua empresa, o fornecedor costuma ser o operador e a sua empresa, a controladora (Lei 13.709/2018, art. 5º, VI e VII). O operador deve seguir as instruções do controlador (art. 39).
• Subcontratados e modelos de terceiros. Muitas ferramentas usam modelos de outras empresas por trás. Isso multiplica os locais por onde os dados passam.
• Nível de serviço. Disponibilidade, tempo de resposta, suporte e o que acontece quando o serviço cai.

O que a lei já diz sobre o tema

• Dados pessoais. Controlador e operador respondem por danos causados em violação à LGPD. O operador responde de forma solidária quando descumpre a lei ou as instruções lícitas do controlador (art. 42, § 1º, I). Ambos devem adotar medidas de segurança (art. 46), e o controlador deve comunicar incidentes relevantes à ANPD e aos titulares (art. 48). O roteiro está em Vazamento de dados: o que a empresa deve fazer e em que prazo.
• Dados fora do Brasil. A transferência internacional só é permitida nas hipóteses do art. 33 da LGPD, entre elas as cláusulas-padrão contratuais aprovadas pela ANPD na Resolução CD/ANPD nº 19/2024, que fixou prazo de 12 meses, contados da publicação, para que contratos baseados em cláusulas contratuais as incorporassem.
• Decisões automatizadas. O titular pode pedir revisão de decisões tomadas só com base em tratamento automatizado que afetem seus interesses (art. 20). Isso pesa em usos como seleção de currículos e análise de crédito.
• Autoria. Pela Lei 9.610/1998, autor é a pessoa física criadora da obra (art. 11). Se um conteúdo gerado apenas por IA tem ou não proteção autoral é tema controvertido. Por isso, o contrato deve regular expressamente o uso das saídas, e a cessão de direitos precisa ser escrita (art. 49).
• Lei específica de IA. O PL 2338/2023 foi aprovado pelo Senado e remetido à Câmara em março de 2025. Na consulta feita em novembro de 2026 à ficha de tramitação da Câmara, a situação era "aguardando parecer". Vale acompanhar, mas ele ainda não é lei.

Passo a passo: como revisar antes de contratar

1. Liste as ferramentas de IA já usadas na empresa, inclusive as que cada área assinou por conta própria.
2. Classifique cada uma pelo tipo de informação que recebe: pública, interna, confidencial ou com dados pessoais.
3. Leia a cláusula sobre uso das entradas e confirme se há opção, por escrito, de não usar seus dados para treinar modelos.
4. Confirme quem pode usar as saídas e se o fornecedor reivindica algum direito sobre elas.
5. Peça a lista de subcontratados e os países onde os dados são tratados e armazenados.
6. Exija um acordo de tratamento de dados quando houver dados pessoais, com instruções, segurança, prazo de aviso de incidentes e regra de transferência internacional.
7. Negocie o teto de responsabilidade, separando dano comum de vazamento de dados e violação de sigilo.
8. Defina, para agentes de IA, as permissões mínimas, os registros das ações e quem aprova o que o agente faz.
9. Combine a saída do contrato: exportação dos seus dados em formato utilizável, prazo e comprovação de exclusão.
10. Crie uma política interna simples de uso de IA e treine a equipe para não inserir dados sensíveis em ferramentas não aprovadas.

Tabela de decisão: quanto cuidado cada uso exige

Erros comuns

• Aceitar os termos padrão sem ler a parte de dados. É ali que costuma estar a autorização para usar suas informações no treino. Procure a opção de exclusão e registre a escolha.
• Achar que o plano pago muda tudo sozinho. Planos empresariais costumam ter regras melhores, mas isso só vale se estiver no contrato da sua versão. Guarde a versão aceita e a data.
• Ignorar o teto de responsabilidade. Um limite igual a um mês de assinatura não cobre um incidente de dados. Negocie limites separados para sigilo e dados pessoais.
• Deixar o agente com acesso amplo. Permissão total facilita a configuração e multiplica o estrago de um erro. Comece com o mínimo e amplie aos poucos.
• Esquecer a saída do contrato. Sem regra de exportação, a empresa fica presa ao fornecedor ou perde histórico. Defina formato e prazo desde o início.
• Não ter regra interna. O risco mais frequente é o funcionário colando dados de clientes numa conta pessoal de uma ferramenta não aprovada. Política curta e treinamento reduzem bastante esse risco.

Checklist

Perguntas frequentes

O fornecedor de IA pode usar os dados que eu envio? Depende do contrato e da configuração escolhida. Muitos termos permitem o uso para melhorar o serviço, salvo opção em contrário. Se houver dados pessoais, o uso fora das suas instruções pode violar a LGPD. Leia a cláusula de uso das entradas e formalize a vedação quando o conteúdo for sensível.

Quem é dono do texto ou da imagem gerada pela IA? A lei brasileira define autor como pessoa física, e a proteção de conteúdo gerado só por máquina é controvertida. Na prática, o que dá segurança é o contrato dizer que a sua empresa pode usar as saídas sem restrição e que o fornecedor não reivindica direitos sobre elas.

Se a IA errar e causar prejuízo, quem paga? A empresa que usa a ferramenta responde perante o próprio cliente. Se poderá cobrar do fornecedor depende do contrato, do teto de responsabilidade e, em incidentes com dados pessoais, das regras da LGPD. Por isso o teto e as exceções a ele merecem negociação.

Já existe lei de inteligência artificial no Brasil? Ainda não há lei geral de IA em vigor. O PL 2338/2023 foi aprovado pelo Senado e está em análise na Câmara. Enquanto isso, valem a LGPD, o Código Civil, a lei de direitos autorais e as normas do setor de cada empresa.

Termos de uso aceitos com um clique valem como contrato? Em regra, sim. Entre empresas, a lei presume que as partes negociaram em igualdade e respeita a alocação de riscos aceita. Por isso vale guardar a versão aceita e, para usos críticos, negociar um contrato ou aditivo próprio.

Próximo passo

Para ver em poucos minutos onde estão os pontos de atenção da sua empresa, inclusive no uso de dados, faça o Diagnóstico de Risco Jurídico. Se a dúvida for a parte de dados pessoais, o guia LGPD na prática e o artigo LGPD em pequenas empresas: por onde começar ajudam a organizar o básico. Quando o uso da IA for crítico para o negócio, o Contrato Sob Medida é a Solução Estratégica para revisar ou negociar esse contrato com escopo definido. Veja também a área de Jurídico para Empresas.

Fontes

• Lei 13.709/2018 (LGPD), arts. 5º, VI e VII; 20; 33; 39; 42; 46 e 48.
• Resolução CD/ANPD nº 19, de 23 de agosto de 2024 (Regulamento de Transferência Internacional de Dados e cláusulas-padrão contratuais).
• Lei 9.610/1998, arts. 11 e 49.
• Código Civil (Lei 10.406/2002), art. 421-A.
• Senado Federal e Câmara dos Deputados, fichas de tramitação do PL 2338/2023 (na Câmara, apresentado em 17/03/2025; situação "aguardando parecer" na consulta de novembro de 2026).

Conteúdo informativo. Não substitui consulta a um advogado.