A inteligência artificial já não ocupa apenas o lugar de ferramenta de apoio. Ela classifica, recomenda, seleciona, prevê, prioriza e, em determinadas circunstâncias, influencia decisões capazes de produzir efeitos jurídicos e econômicos relevantes. Quando uma empresa utiliza IA para selecionar candidatos, avaliar crédito, detectar fraudes, definir prioridades ou analisar comportamentos, a tecnologia deixa de ser mero instrumento operacional e passa a integrar a própria estrutura decisória da organização.
É nesse ponto que surge uma pergunta que não é tecnológica, mas jurídica: quem responde pela decisão da IA?
A resposta não está no algoritmo. Também não pode ser encontrada simplesmente na pessoa que, ao final do processo, clicou em “aprovar”. Entre o resultado produzido pelo sistema e o dano eventualmente causado existe uma cadeia de decisões humanas: alguém escolheu a ferramenta, definiu sua finalidade, autorizou sua utilização, delimitou seus parâmetros, avaliou - ou deixou de avaliar - seus riscos e estabeleceu o nível de supervisão. A IA pode executar a decisão. A responsabilidade, contudo, nasce das escolhas que tornaram possível delegar aquela decisão à máquina.
Essa é a fronteira em que governança e accountability deixam de ser conceitos abstratos e passam a funcionar como categorias jurídicas e organizacionais.
A autonomia tecnológica não é autonomia jurídica
Existe uma tentação recorrente no debate sobre inteligência artificial: quanto mais sofisticado o sistema, maior seria sua capacidade de “decidir sozinho” e, consequentemente, menor seria a possibilidade de atribuir responsabilidade aos seus usuários.
O raciocínio precisa ser invertido.
A complexidade do sistema não diminui, por si só, o dever de diligência de quem o utiliza. Ao contrário: quanto mais difícil for compreender, supervisionar ou contestar determinado resultado, maior será a necessidade de mecanismos prévios de governança capazes de delimitar sua utilização.
A questão juridicamente relevante não é apenas quem produziu o resultado, mas quem tinha o dever, a competência e a capacidade de governar o processo que produziu esse resultado.
Isso altera a forma de pensar responsabilidade.
Em vez de procurar apenas o último elo da cadeia, é necessário reconstruí-la. Quem contratou? Quem aprovou? Quem avaliou? Quem monitorou? Quem recebeu os alertas? Quem possuía autoridade para interromper o sistema? Quem decidiu mantê-lo em funcionamento mesmo diante de determinado risco?
A responsabilidade algorítmica, nesse sentido, não significa criar uma nova personalidade jurídica para a máquina. Significa tornar visíveis as responsabilidades humanas e institucionais que existem antes, durante e depois da utilização da tecnologia.
Accountability começa antes do incidente
No ambiente corporativo tradicional, muitas estruturas de controle são acionadas com maior intensidade quando o problema já ocorreu. Em IA, essa lógica é insuficiente.
Se um sistema automatizado produz uma classificação discriminatória, uma decisão equivocada ou uma recomendação inadequada, a pergunta não deveria começar pelo dano. Deveria começar pela decisão de implementar aquele sistema.
Houve avaliação de risco? A finalidade estava definida? O contexto de utilização foi documentado? Os dados foram examinados? O desempenho foi testado antes da implantação? Foram definidos responsáveis? Havia critérios para revisão, suspensão ou descontinuidade?
Essas perguntas são de governança.
A accountability, portanto, não pode ser reduzida à obrigação de explicar o ocorrido depois que alguém é prejudicado. Ela pressupõe rastreabilidade suficiente para reconstruir a cadeia decisória e identificar responsabilidades ao longo do ciclo de vida da IA.
Não por acaso, os Princípios da OCDE estabelecem que os atores de IA devem responder pelo adequado funcionamento dos sistemas conforme seus papéis e contexto, associando accountability à rastreabilidade de dados, processos e decisões e à gestão sistemática de riscos durante todo o ciclo de vida.¹
A consequência é direta: uma organização que não sabe quem responde por determinado sistema, quais controles foram aplicados ou por que determinada decisão foi tomada terá dificuldade não apenas para explicar o incidente, mas para demonstrar que efetivamente governava a tecnologia.
O fornecedor pode ser terceiro. O risco continua sendo da organização
É aqui que a terceirização da tecnologia produz uma das maiores zonas de atenção.
Imagine uma empresa que contrata uma plataforma de inteligência artificial para realizar análise de candidatos. O sistema foi desenvolvido por um fornecedor externo. A empresa contratante não criou o modelo e tampouco conhece sua arquitetura técnica.
Se, posteriormente, forem identificados resultados sistematicamente desfavoráveis a determinado grupo, não será juridicamente suficiente afirmar: “o algoritmo é do fornecedor”.
A contratação de tecnologia não significa terceirização integral do dever de governá-la.
Isso não significa afirmar, de antemão, que toda consequência será imputada ao usuário da ferramenta. A responsabilidade dependerá do regime jurídico aplicável, das obrigações de cada participante, da relação causal e das circunstâncias concretas.
Mas significa reconhecer que a posição de terceiro do fornecedor não elimina os deveres próprios de quem escolheu incorporar aquela tecnologia à sua operação.
A abordagem da OCDE considera a necessidade de gestão de riscos entre diferentes atores da cadeia de IA, incluindo fornecedores e usuários.²
Por isso, contratos de tecnologia tendem a precisar ir além de preço, disponibilidade e segurança operacional. Para sistemas relevantes, será necessário discutir finalidade autorizada, limitações de uso, documentação, auditoria, incidentes, alterações de modelo, subcontratação, proteção de dados, mecanismos de supervisão e condições para suspensão.
O risco pode ser contratado. A responsabilidade não desaparece por cláusula contratual.
O Direito brasileiro já possui uma porta de entrada
A discussão brasileira não começa do zero.
A LGPD já estabelece, em seu art. 20, que o titular tem direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, inclusive aquelas destinadas a definir seu perfil pessoal, profissional, de consumo ou de crédito.3
A norma não equivale a uma disciplina geral da inteligência artificial, e essa distinção é fundamental. Nem todo sistema de IA realiza tratamento de dados pessoais e nem toda decisão apoiada por IA se enquadra na hipótese do artigo 20.
Ainda assim, o dispositivo revela uma preocupação jurídica que tende a ganhar importância: a automatização da decisão não pode significar o desaparecimento dos mecanismos de controle sobre seus efeitos.
A isso se soma o movimento legislativo brasileiro. O PL 2.338/23, aprovado pelo Senado e remetido à Câmara dos Deputados, propõe um marco legal para o desenvolvimento e uso da inteligência artificial e está inserido justamente no debate sobre direitos, responsabilidade e regulação da tecnologia.4
Na Câmara, a matéria permanece em análise no âmbito da comissão especial criada para examinar o projeto.5
O surgimento de novas proposições relacionadas à responsabilidade, transparência e auditabilidade de sistemas de IA de alto impacto demonstra que o debate brasileiro está progressivamente se deslocando da pergunta “podemos usar IA?” para uma questão muito mais relevante: “sob quais estruturas de responsabilidade devemos utilizá-la?”.6
Governança não é uma política de uma página
Dizer que uma organização “possui governança de IA” porque publicou uma política interna é pouco.
Governança pressupõe arquitetura.
É preciso saber quais sistemas existem, para que são utilizados, quem os aprovou, quais riscos apresentam, quais dados processam, qual grau de autonomia possuem, quem os supervisiona e em que circunstâncias devem ser interrompidos.
O AI Risk Management Framework, do NIST, oferece uma referência particularmente útil ao estruturar a gestão de riscos de IA em quatro funções: Govern, Map, Measure e Manage. O framework trata governança como função transversal e prevê definição clara de papéis e responsabilidades, inventário de sistemas, monitoramento, documentação, testes e gestão dos riscos durante o ciclo de vida.7
Há uma consequência importante nessa abordagem: governar IA não é apenas aprovar sua entrada em produção. É continuar governando depois que ela entrou.
Um modelo pode mudar. Os dados podem mudar. A finalidade pode mudar. O comportamento dos usuários pode mudar. O ambiente regulatório pode mudar.
Por isso, a pergunta correta não é “a ferramenta foi aprovada?”.
É: “quem continua responsável por verificar se ela permanece adequada?”.
O “humano no circuito” não pode ser uma ficção
A supervisão humana costuma aparecer como resposta quase automática aos riscos da IA. Mas colocar uma pessoa no final do fluxo não transforma, por si só, uma decisão automatizada em uma decisão verdadeiramente supervisionada.
Supervisão pressupõe capacidade de compreender, questionar e, quando necessário, rejeitar o resultado.
O AI Act europeu oferece uma referência importante nesse ponto. Para sistemas de alto risco, o art. 14 exige mecanismos de supervisão humana efetiva e estabelece que a supervisão deve permitir, entre outras medidas, compreender limitações do sistema e intervir sobre seus resultados.8
O ponto merece atenção porque existe um fenômeno conhecido como automation bias: a tendência humana de confiar excessivamente na recomendação produzida pela máquina.
Se o funcionário não possui autoridade real para discordar, não possui informação suficiente para avaliar o resultado ou é pressionado a aceitar centenas de recomendações produzidas automaticamente, a supervisão pode existir apenas no organograma.
Não na realidade.
Supervisão humana efetiva exige poder de intervenção.
A responsabilidade chega ao Conselho
Outro equívoco é tratar a inteligência artificial como assunto exclusivamente técnico.
Quando a tecnologia passa a influenciar decisões relevantes para o negócio, ela ingressa na agenda de governança corporativa.
O Conselho de Administração não precisa conhecer a matemática do modelo. Precisa, entretanto, conhecer os riscos associados aos sistemas relevantes, saber quem possui responsabilidade sobre eles e compreender quais mecanismos existem para monitoramento, reporte e intervenção.
A pergunta estratégica não deveria ser apenas “qual IA estamos utilizando?”.
Deveria ser: “qual decisão estamos delegando à IA, qual risco estamos aceitando e quem tem autoridade para impedir que essa decisão produza um resultado inadequado?”.
Essa é uma pergunta de governança.
E também é uma pergunta de Compliance.
A verdadeira accountability é documental
Há uma dimensão da discussão que será cada vez mais relevante em auditorias, investigações e disputas judiciais: a capacidade de produzir evidências.
Não basta dizer que o sistema foi utilizado de maneira responsável.
Será necessário demonstrar.
Quem aprovou a utilização? Qual avaliação de risco foi realizada? Que versão do modelo estava em operação? Quais dados alimentaram o processo? Quais testes foram realizados? Quais alertas existiam? Quem recebeu esses alertas? Houve intervenção humana? Por que determinado resultado foi mantido?
Essa é a razão pela qual documentação e rastreabilidade não são burocracia acessória.
São instrumentos de accountability.
O NIST prevê estruturas de accountability, definição e documentação de papéis e responsabilidades, inventário, monitoramento e documentação como elementos da governança de riscos de IA.?
No futuro, talvez uma das perguntas mais importantes em uma investigação envolvendo IA seja menos “qual foi o erro do algoritmo?” e mais: “mostre-me como essa decisão foi governada.”
Governar a IA é governar a responsabilidade
A inteligência artificial não elimina a responsabilidade humana. Ela torna mais complexa a sua distribuição.
Quanto maior a autonomia operacional concedida ao sistema, maior deve ser a clareza sobre os limites dessa autonomia. Quanto maior o impacto potencial da decisão, maior deve ser a robustez dos controles. Quanto maior a complexidade tecnológica, maior a importância da documentação capaz de reconstruir a cadeia decisória.
Governança não existe para impedir que a organização utilize inteligência artificial. Existe para permitir que ela saiba quando utilizar, como utilizar, quem responde e quando parar.
Por isso, a pergunta “quem responde pela decisão da IA?” talvez ainda seja insuficiente.
A pergunta juridicamente mais sofisticada é outra: quem tinha o dever de governar a decisão que foi entregue à IA?
É essa pergunta que desloca o debate da tecnologia para a responsabilidade.
Porque a máquina pode calcular, recomendar, classificar e decidir dentro dos limites para os quais foi concebida.
Mas alguém escolheu colocá-la naquela posição. Alguém definiu o propósito. Alguém aceitou o risco. Alguém tinha autoridade para interromper.
E, se a organização não consegue identificar esse alguém - ou demonstrar como essa responsabilidade foi distribuída, supervisionada e documentada - o problema talvez não esteja apenas na inteligência artificial.
Pode estar na governança que decidiu confiar nela.
_____
1. OECD - Organização para a Cooperação e Desenvolvimento Econômico. OECD AI Principles. Princípio de accountability, atualizado em 2024.
2. OECD - Organização para a Cooperação e Desenvolvimento Econômico. Advancing accountability in AI: Governing and managing risks throughout the lifecycle for trustworthy AI. OECD Digital Economy Papers, nº 349, 2023.
3. Lei nº 13.709/2018 - Lei Geral de Proteção de Dados Pessoais (LGPD), art. 20.
4. Projeto de Lei nº 2.338/2023 - Senado Federal. Marco Legal da Inteligência Artificial.
5. Câmara dos Deputados - Comissão Especial sobre Inteligência Artificial (PL 2.338/2023).
6. Projeto de Lei nº 904/2026 - Câmara dos Deputados. Proposição relacionada à responsabilidade, transparência e auditabilidade de sistemas de inteligência artificial de alto impacto.
7. NIST - National Institute of Standards and Technology. Artificial Intelligence Risk Management Framework (AI RMF 1.0), 2023.
8. União Europeia. Regulamento (UE) 2024/1689 - Artificial Intelligence Act, art. 14.
9. NIST - National Institute of Standards and Technology. AI Risk Management Framework 1.0 - AI RMF Core.