A adoção de inteligência artificial generativa nas empresas criou um problema que ainda recebe menos atenção do que merece: cada prompt pode virar um registro corporativo informal. A governança de IA, portanto, deixou de ser apenas uma pauta de produtividade, inovação ou segurança da informação. Ela passa a ser uma questão de preservação de evidências, exposição jurídica e controle sobre dados que podem reaparecer em um processo, investigação regulatória ou disputa trabalhista.
O risco não se resume ao vazamento de um arquivo confidencial. Um empregado pode descrever uma negociação, pedir ajuda para redigir uma justificativa, resumir uma reunião sensível, discutir um cliente, analisar uma decisão interna ou registrar uma preocupação ética em uma conta pessoal de chatbot. Esse conteúdo pode formar um acervo pesquisável, armazenado fora dos canais oficiais da organização e fora das políticas de retenção que a empresa já aplica a e-mail, mensageria e documentos.
Para conselhos, CEOs, CTOs e líderes jurídicos, a pergunta estratégica não é se o ChatGPT ou ferramentas similares serão usados. Eles já são. A questão é se esse uso ocorrerá em um ambiente corporativo governado ou em uma camada paralela de registros que a empresa não enxerga, não protege e talvez não consiga contextualizar quando mais precisar.
O que está acontecendo na governança de IA
O tema ganhou relevância porque conversas com chatbots já começaram a aparecer em disputas judiciais. Segundo reportagem do Olhar Digital, baseada em levantamento do Washington Post, foram identificados 12 processos civis e criminais nos últimos dois anos em que registros de conversas com chatbots foram incluídos em documentos judiciais.
No Brasil, conversas com sistemas de IA não contam com sigilo profissional equivalente ao da relação entre advogado e cliente. Também não há uma regra específica que as torne, por definição, inadmissíveis como prova. Na prática, especialistas ouvidos pela reportagem apontam que esses registros podem ser extraídos de dispositivos e utilizados judicialmente mediante consentimento ou autorização judicial, inclusive em perícias de aparelhos apreendidos.
Isso não significa que qualquer conversa será automaticamente aceita, nem que o contexto deixará de importar. Significa algo mais relevante para empresas: histórico de IA pode ser coletado, questionado e interpretado por terceiros. A governança de IA precisa considerar que prompts, respostas, anexos e metadados podem ter ciclo de vida probatório.
Por que isso importa para empresas e para a governança de IA
Empresas maduras aprenderam a administrar e-mails, contratos, tickets, mensagens corporativas e documentos em repositórios oficiais. A IA generativa rompe esse modelo quando o funcionário usa uma conta individual, acessada por navegador ou celular, para executar tarefas de trabalho. O resultado é um novo tipo de shadow record: informação relacionada ao negócio, produzida fora da visibilidade da companhia.
Em uma investigação, a ausência de controle não equivale à ausência de evidência. Ao contrário, pode dificultar a preservação, ampliar o custo de coleta e deixar a empresa dependente de aparelhos pessoais, de provedores externos e da narrativa de partes litigantes. Os impactos concretos incluem:
- Descoberta judicial mais ampla: históricos podem conter versões preliminares de decisões, fatos ainda não formalizados ou comentários que ganham interpretação adversa fora de contexto.
- Exposição de propriedade intelectual: códigos, estratégias comerciais, listas de clientes, análises financeiras e documentos internos podem ser inseridos em ferramentas não aprovadas.
- Risco trabalhista e de conduta: prompts podem registrar orientações, discriminação, pressão por metas ou dúvidas sobre práticas inadequadas antes de qualquer comunicação oficial.
- Assimetria operacional: sem logs próprios, a organização pode ter menos capacidade de reconstruir fatos do que autoridades, peritos ou a parte contrária.
Setores regulados sentem esse efeito primeiro. Serviços financeiros, saúde, seguros, jurídico, consultoria, defesa e varejo com grandes bases de consumidores concentram dados pessoais, decisões sensíveis e potenciais litígios. Mas o problema alcança qualquer empresa cuja vantagem competitiva dependa de informação confidencial.
Aplicações práticas para a governança de IA
A resposta eficiente não é uma política genérica proibindo chatbots. Esse caminho tende a preservar a aparência de controle enquanto incentiva o uso clandestino em contas pessoais. A alternativa é tratar a IA como infraestrutura corporativa: definir plataformas aprovadas, fluxos permitidos, categorias de dados proibidas e responsabilidades claras para usuários, gestores e áreas de controle.
Mapear o uso real antes de redigir regras
Nos próximos 90 dias, Jurídico, Segurança da Informação e RH devem identificar onde a IA já aparece em processos reais: redação de propostas, atendimento, desenvolvimento de software, análise de contratos, recrutamento, pesquisas de mercado e suporte administrativo. O objetivo não é vigiar cada empregado, mas descobrir quais dados entram nas ferramentas, quais contas são usadas e quais atividades dependem delas.
Oferecer um ambiente corporativo utilizável
Uma plataforma empresarial precisa combinar SSO, controles de identidade, DLP, logs de auditoria e políticas de retenção. Isso permite limitar o envio de dados sensíveis, vincular acessos a identidades corporativas, revisar incidentes e estabelecer uma política defensável sobre preservação ou descarte de registros. Para desenvolvimento, por exemplo, devem existir regras específicas para código proprietário. Para áreas comerciais, filtros para dados de clientes e condições contratuais.
Transformar política em rotina operacional
Treinamento deve usar cenários concretos: quando um analista pode resumir um documento, quando precisa anonimizar dados e quando deve recorrer a um sistema interno. A empresa também precisa prever resposta a litígios, com procedimentos para preservação legal de registros relevantes. Governar não é arquivar tudo indefinidamente; é justificar o que reter, por quanto tempo e sob quais critérios.
Minha análise
Minha posição é direta: empresas que tratam conversas com IA apenas como risco de privacidade estão olhando para metade do problema. A outra metade é probatória. Um prompt pode conter não só um dado sensível, mas uma cronologia de raciocínio, uma intenção atribuída a alguém ou uma versão não revisada de uma decisão. Em litígios, esse tipo de material pode ser muito mais sensível do que o documento final que a companhia aprovou.
Também considero equivocada a resposta baseada exclusivamente em bloqueio. Proibir ferramentas públicas pode ser necessário para certos perfis e dados, mas sem uma alternativa corporativa funcional a empresa transfere o uso para dispositivos pessoais e torna o fenômeno menos visível. A produtividade não desaparece; a rastreabilidade desaparece.
Nos próximos seis a 12 meses, veremos a governança de prompts entrar em questionários de fornecedores, auditorias de compliance, investigações internas e requisitos de contratação em setores regulados. Escritórios de advocacia, empresas de e-discovery e fornecedores de arquivamento, identidade e DLP devem ganhar demanda. A vantagem competitiva estará com quem conseguir conciliar adoção ampla, segurança de dados e retenção juridicamente defensável.
O que acompanhar
Há quatro sinais que merecem acompanhamento. O primeiro é o aumento de pedidos de preservação e coleta de conversas com IA em disputas trabalhistas, cíveis e regulatórias. O segundo é a evolução das políticas dos provedores empresariais sobre retenção, logs, administração de contas e uso de dados. O terceiro é a integração entre plataformas de IA, ferramentas de DLP e soluções de e-discovery. O quarto é a mudança de comportamento dos reguladores e do Judiciário sobre autenticidade, contexto e cadeia de custódia desses registros.
Para a liderança, o indicador interno mais importante é simples: quantas atividades de trabalho dependem de IA fora de uma identidade corporativa? Essa resposta mostra a dimensão real do passivo invisível e ajuda a priorizar controles sem interromper processos que já entregam ganhos de produtividade.
Fonte: reportagem do Olhar Digital sobre o potencial uso judicial de conversas com chatbots: https://olhardigital.com.br/2026/08/28/inteligencia-artificial/o-que-voce-fala-com-o-chatgpt-pode-ser-usado-contra-voce/.
O desafio não é decidir se a empresa deve usar IA, mas definir onde esse uso acontece, quais informações podem circular e como os registros serão administrados quando houver pressão jurídica. Uma política madura protege dados, reduz exposição probatória e evita que funcionários precisem escolher entre produtividade e conformidade. Tratar esses históricos como parte do patrimônio informacional da empresa é uma decisão de gestão, não uma formalidade jurídica. Sua organização sabe hoje quais conversas de IA podem ser recuperadas amanhã?
Read this article in English: English version
