Shadow AI e justa causa: o que muda quando os dados vazam
Usar IA não autorizada no ambiente de trabalho já motiva demissões por justa causa com respaldo de decisões trabalhistas no Brasil.
No entanto, a responsabilidade não se limita ao colaborador: perante a LGPD, a responsabilidade pelo vazamento de informações sigilosas recai sobre a empresa controladora dos dados, independentemente de quem inseriu o comando na ferramenta.
Esse cenário de shadow AI — o uso não corporativo da tecnologia — já atinge 82% das empresas brasileiras, segundo levantamento recente da SAP em parceria com a Oxford Economics.
O número que todo mundo repete e a pergunta que quase ninguém faz
A marca de 82% é expressiva. O dado circulou em diversas manchetes recentemente, inclusive na Forbes Brasil. O problema é que a maioria das análises se limita ao alerta: aponta o risco, cita a estatística, sugere a criação de uma política interna e encerra a discussão.
Já abordamos o conceito de shadow AI e os motivos de sua formação no setor jurídico. O foco agora é outro: quando o dado vaza, quem assume a responsabilidade financeira e jurídica? A resposta envolve dois pilares: a empresa e o profissional que utilizou a ferramenta inadequada.
O lado da empresa: a multa que ninguém quer calcular
Pela LGPD, a empresa é a controladora dos dados de seus clientes. Não importa se a inserção de um contrato em um assistente de IA gratuito foi feita por um estagiário sem autorização prévia. Perante a Autoridade Nacional de Proteção de Dados (ANPD), a responsabilidade é da organização.
A penalidade prevista pode ser expressiva, atingindo a casa das dezenas de milhões de reais, a depender do faturamento da instituição. E o impacto financeiro não se restringe às sanções regulatórias. A IBM estima em R$ 7,19 milhões o custo médio de uma violação de dados no Brasil em 2025, considerando etapas de investigação, remediação e resposta ao incidente. Organizações com shadow AI identificado enfrentam ainda um adicional médio de US$ 670 mil por ocorrência.
Em última análise, o prejuízo da empresa vai além da multa aplicada pela ANPD: envolve investigação técnica, contratação emergencial de assessoria jurídica, gestão de crises com clientes e, em muitos casos, a perda irrecuperável de contratos.
O lado do colaborador: quando o uso enseja justa causa
Neste ponto, a análise exige cautela, pois a aplicação de penalidades máximas não é automática. Nem todo uso não autorizado de IA culmina em rescisão por justa causa. Contudo, a Justiça do Trabalho já consolidou precedentes importantes sobre a matéria.
Decisões de Tribunais Regionais do Trabalho — como os da 2ª e da 4ª Região — já enquadraram a exposição de dados sigilosos via ferramentas de IA não homologadas como falta grave disciplinar.
Os principais critérios avaliados pela Justiça Trabalhista incluem:
1. Existência prévia de diretrizes transparentes sobre o uso de IA e a devida comunicação dessas regras à equipe;
2. A natureza do dado exposto, verificando se envolvia informação confidencial (segredo do cliente, estratégia processual ou dado protegido por sigilo profissional) ou mero rascunho sem sensibilidade;
3. A recorrência da conduta, identificando se tratou-se de equívoco isolado ou comportamento reiterado após advertências formais;
4. A disponibilização de soluções alternativas homologadas pela empresa para atendimento às demandas operacionais da equipe.
Este último elemento é fundamental no debate sobre shadow AI. Empresas que não fornecem ferramentas adequadas e tentam aplicar justa causa a colaboradores que buscaram alternativas de produtividade têm suas teses fragilizadas no Judiciário.
Por que proibir sozinho não protege ninguém
Um estudo conduzido pela Cisco aponta que 27% das empresas proibiram o uso de IA generativa devido a receios com segurança e privacidade. Apesar da restrição, 48% dos colaboradores dessas organizações admitiram ter inserido dados confidenciais nessas plataformas — contudo, agora sem qualquer controle ou visibilidade por parte da governança.
Restringir o acesso sem oferecer alternativas viáveis não exime a organização de sanções previstas pela LGPD. Além disso, mantém o profissional exposto a riscos disciplinares em um ambiente informal e invisível para a gestão.
O que muda quando a ferramenta jurídica já nasce com governança e controle
Nesse contexto, a discussão ultrapassa a esfera punitiva e alcança a arquitetura de tecnologia corporativa. Para equipes jurídicas, a diretriz é clara: quando a ferramenta homologada entrega eficiência, possui gestão de acessos e garante registros de auditoria por procedimento, elimina-se o incentivo para buscas de soluções externas inseguras. Em caso de incidentes, a organização dispõe de rastreabilidade completa para fundamentar suas ações.
Esse foi o pilar para o desenvolvimento da Inspira: controle de acesso granular por unidade e cliente, registro auditável que permanece mesmo após eventuais desligamentos e aderência aos padrões de confidencialidade do setor jurídico. Em publicações anteriores, analisamos o dilema entre a adoção de IA e a responsabilização por omissão, bem como os requisitos exigidos pela Recomendação da OAB. A conclusão converge para o mesmo ponto: a escolha de uma ferramenta adequada mitiga riscos em vez de ocultá-los.
Perguntas frequentes
Usar IA sem autorização no trabalho pode dar justa causa?
Sim, dependendo da gravidade e do contexto. A Justiça do Trabalho já considerou o vazamento de dados confidenciais por meio de ferramentas não autorizadas como justa causa. Fatores como a presença de políticas internas claras, o grau de sensibilidade da informação e a reincidência do colaborador influenciam diretamente a decisão judicial.
Quem responde pela multa da LGPD quando um funcionário vaza dado num shadow AI: a empresa ou o funcionário?
A responsabilidade primária é da empresa. Perante a ANPD, a organização responde na condição de controladora dos dados. A apuração de responsabilidade do colaborador no âmbito interno é uma medida de natureza trabalhista e disciplinar separada.
Qual o valor da multa da LGPD por vazamento de dados via shadow AI?
A LGPD prevê multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração. O valor final depende da gravidade, da reincidência e da cooperação da empresa durante a investigação da ANPD.
Um escritório de advocacia pode ser responsabilizado se um cliente descobrir que seu processo foi colado numa IA não autorizada?
Sim. Além das sanções administrativas da LGPD, incide o dever de sigilo profissional inerente à advocacia. A divulgação inadvertida de dados sigilosos do cliente enseja responsabilização civil e eventuais sanções disciplinares pela OAB.
O que a empresa precisa provar para demitir por justa causa nesse tipo de caso?
A organização deve comprovar a existência de normativas claras sobre o tema, a ciência formal do colaborador, o caráter confidencial da informação e que a quebra da confiança inviabilizou a continuidade da relação de emprego.
