Governança contratual de inteligência artificial
Contrato para uso de IA na empresa: quais cláusulas não podem faltar?
Um contrato para uso de IA na empresa precisa definir, no mínimo, oito pontos: escopo de uso, regras para dados e prompts, confidencialidade e LGPD, propriedade intelectual das saídas, revisão humana, obrigações do fornecedor, resposta a incidentes e responsabilidade. Sem esse conjunto, a ferramenta entra na rotina antes de a empresa saber quem responde por erro, vazamento ou uso indevido.
Ir para o modelo de contrato simples
Em resumo: o contrato precisa travar 8 pontos
Por que o contrato de uso de IA virou tema imediato nas empresas?
A maior parte das empresas não adotou apenas uma ferramenta de IA. Elas passaram a combinar chatbot, assistente de código, automação de atendimento, análise de documentos, geração de conteúdo e integrações por API. Quanto maior a combinação, maior a distância entre o uso real da equipe e aquilo que os contratos existentes dizem.
Na prática, o contrato serve para transformar o uso de IA em uma operação governada. Ele define fronteiras de uso, reduz improviso, organiza responsabilidades e melhora a capacidade da empresa de explicar por que determinado processo era permitido, quem aprovou, quais dados foram tratados e qual resposta foi dada em caso de incidente.
O contrato não depende de uma lei específica de IA para ser necessário. A LGPD, o Código Civil e a Lei de Direitos Autorais já se aplicam ao uso de IA na empresa. A proposta de regulação geral, o PL 2.338/2023, deve ser acompanhada pela ficha oficial de tramitação na Câmara dos Deputados, porque o texto e a situação do projeto podem mudar.
Quando vale criar ou revisar esse contrato?
Antes de liberar IA generativa para todo o time.
Quando a empresa usa IA com dados de clientes, leads, candidatos ou colaboradores.
Ao contratar API ou plataforma externa que possa reutilizar prompts ou resultados.
Quando o uso de IA afeta marketing, suporte, RH, vendas, produto ou jurídico.
Ao incorporar IA em software próprio, assistente interno ou fluxo automatizado.
Quando um cliente corporativo exige cláusula de IA, auditoria ou due diligence.
Contrato, política interna ou termo de uso: qual documento resolve cada problema?
Uso de IA raramente cabe em um documento só. Cada parte da operação se obriga por um instrumento diferente, e a governança funciona quando os quatro abaixo dizem a mesma coisa.
Cláusulas essenciais para contrato de uso de IA na empresa
1. Escopo de uso aprovado e finalidades permitidas
O contrato deve definir para quais processos a IA pode ser usada, quem aprova novos casos de uso e quais atividades ficam proibidas sem autorização expressa.
- Times, sistemas, modelos, APIs e ferramentas cobertos pelo contrato.
- Casos de uso liberados: atendimento, rascunho contratual, marketing, analytics, suporte interno ou desenvolvimento.
- Usos proibidos ou condicionados: decisões automatizadas sensíveis, uso sem revisão humana, upload de dados restritos ou treinamento não autorizado.
Risco se faltar
Sem escopo claro, a ferramenta acaba sendo usada fora do contexto aprovado, inclusive em áreas com maior risco regulatório ou reputacional.
Como implementar
Vale anexar uma matriz simples com ferramenta, área usuária, finalidade, base de aprovação e responsável interno. Isso evita discutir depois se determinado uso estava ou não coberto.
2. Dados, prompts, bases internas e regras de entrada
Essa cláusula organiza que dados podem entrar na ferramenta, como os prompts devem ser estruturados e quais categorias dependem de anonimização, pseudonimização ou bloqueio.
- Classificação mínima de dados: público, interno, confidencial, pessoal, sensível e segredo de negócio.
- Proibição ou restrição de inserir dados pessoais, dados sensíveis, credenciais, código fechado e informações sigilosas sem controle específico.
- Regras para mascaramento, minimização de dados, retenção, logs e reaproveitamento de prompts.
Risco se faltar
Grande parte do risco em IA generativa nasce na entrada do dado, e não apenas na resposta. O contrato precisa tratar o prompt como ato operacional relevante.
Como implementar
Quando houver tratamento de dados pessoais, o texto contratual deve conversar com a governança de LGPD da empresa e com o contrato do fornecedor da ferramenta.
3. Confidencialidade, LGPD e compartilhamento com terceiros
A empresa precisa deixar claro quem trata dados, em que papel, quais medidas de segurança são exigidas e como ficam transferências, subprocessadores e canais de incidente.
- Obrigações de confidencialidade para empregados, prestadores, consultores e fornecedores.
- Regras sobre controlador, operador, instruções documentadas, bases legais e limitação de finalidade quando houver dados pessoais.
- Obrigação de informar subprocessadores relevantes, hospedagem, transferências internacionais e cooperação em auditoria ou em solicitação de titular.
Risco se faltar
Usar IA sem amarrar segurança, papéis e fluxo de dados cria distância entre o processo real da empresa e aquilo que os contratos prometem.
Como implementar
Se a ferramenta for contratada de terceiro, o ideal é alinhar NDA, contrato principal, DPA e política interna para evitar conflito entre documentos.
4. Propriedade intelectual, licenças e uso das saídas
A cláusula deve tratar a titularidade sobre prompts, bases internas, customizações, código, resultados gerados, treinamento adicional e direito de reutilização pelo fornecedor.
- Quem permanece titular do material enviado pela empresa e de suas bases internas.
- Se o fornecedor pode ou não usar prompts, resultados ou feedback para treinamento, ajuste fino ou melhoria do modelo.
- Como a empresa pode explorar comercialmente textos, imagens, código e materiais gerados com apoio de IA.
Risco se faltar
Muitas discussões sobre IA surgem quando o contrato não diferencia uso interno, licença de software, autoria humana, cessão e restrição de treinamento.
Como implementar
A empresa deve exigir linguagem objetiva sobre reutilização de dados e de resultados. Se houver marketing, software ou conteúdo criativo, também vale prever revisão de risco autoral antes da publicação.
5. Revisão humana, aprovação e trilha de decisão
Toda operação relevante precisa dizer quando a resposta da IA pode ser usada como apoio e quando depende de validação humana antes de seguir para cliente, colaborador ou mercado.
- Atividades que sempre exigem dupla checagem: contratos, atendimento sensível, desligamento, crédito, saúde, segurança ou resposta regulatória.
- Registro mínimo de aprovador, versão da ferramenta, data, finalidade e documento final publicado.
- Critérios de qualidade para fatos, cálculos, viés, alucinação, marca e aderência jurídica.
Risco se faltar
Sem regra de supervisão, a empresa transfere para a rotina um nível de automação que o contrato nunca delimitou, o que multiplica o alcance de um erro.
Como implementar
Essa cláusula funciona melhor quando combinada com um roteiro interno e com aprovação pela área dona do processo, como jurídico, produto, RH ou compliance.
6. Fornecedor, SLA, segurança técnica e continuidade
Quando a IA depende de provedor externo, o contrato deve definir disponibilidade, suporte, mudança de modelo, descontinuidade e exigências mínimas de segurança.
- SLA, janelas de manutenção, canais de suporte, prazos de resposta e escalonamento.
- Notificação sobre mudanças materiais no modelo, nas políticas de uso, nos subprocessadores ou na arquitetura.
- Direito de suspender o uso, exportar registros e encerrar a integração se o risco jurídico ou técnico se tornar inaceitável.
Risco se faltar
A empresa não controla o modelo do fornecedor. O contrato precisa prever o que acontece se a ferramenta mudar de comportamento, de custo ou de cobertura de compliance.
Como implementar
Se a operação depende de API de terceiro, faz sentido prever um plano alternativo e uma regra de contingência para manter a atividade sem violar prazo ou qualidade.
7. Incidentes, auditoria, preservação de provas e resposta
O contrato deve disciplinar o fluxo quando houver vazamento, prompt indevido, uso proibido, resultado ofensivo, violação de política ou suspeita de violação de direitos.
- Prazo para comunicar o incidente, medidas imediatas e ponto focal de resposta.
- Preservação de logs, prompts, arquivos, evidências e versões relevantes para apuração.
- Direito de auditoria, cooperação documental e plano de correção com responsabilidades definidas.
Risco se faltar
Sem trilha de resposta, a empresa perde tempo reconstruindo fatos justamente quando precisa reagir rápido perante clientes, autoridades ou parceiros.
Como implementar
Não basta dizer que o incidente será comunicado. O contrato deve dizer quem avisa, em quanto tempo, por qual canal e quais evidências precisam ser mantidas.
8. Responsabilidade, indenização, encerramento e saída
A última cláusula essencial distribui responsabilidade por uso indevido, violação de direito de terceiro, quebra de confidencialidade, falha de segurança e descumprimento de política.
- Hipóteses de responsabilização por uso fora do escopo, por negligência operacional ou por descumprimento de aprovações internas.
- Regras de indenização, limitação de responsabilidade e exceções para dolo, fraude, sigilo, dados pessoais e propriedade intelectual.
- Procedimento de encerramento, devolução ou descarte de dados, desativação de acessos e sobrevivência de cláusulas críticas.
Risco se faltar
Cláusula genérica de limitação de responsabilidade costuma falhar quando ignora cenários de dados, autoria, sigilo e danos a terceiros.
Como implementar
A saída deve ser operacional: quem revoga credenciais, por quanto tempo os logs ficam guardados, como os dados são excluídos e quais deveres continuam após o fim do contrato.
Tabela prática: cláusula fraca vs. cláusula útil
Modelo de contrato simples para uso de IA na empresa
Este modelo serve para uma empresa combinar com um prestador de serviços como a IA poderá ser usada nas entregas. Copie o texto, preencha os campos entre colchetes e ajuste as atividades e ferramentas permitidas antes de assinar.
Modelo para preencher
CONTRATO SIMPLES DE USO DE INTELIGÊNCIA ARTIFICIAL
EMPRESA: [RAZÃO SOCIAL], CNPJ [NÚMERO], com sede em [ENDEREÇO], representada por [NOME E CARGO], doravante denominada EMPRESA.
PRESTADOR: [NOME OU RAZÃO SOCIAL], CPF/CNPJ [NÚMERO], com endereço em [ENDEREÇO], representado, se pessoa jurídica, por [NOME E CARGO], doravante denominado PRESTADOR.
As partes acordam as seguintes condições:
1. Objeto e ferramentas autorizadas
A EMPRESA autoriza o PRESTADOR a usar as ferramentas de inteligência artificial [NOMES E PLANOS DAS FERRAMENTAS] exclusivamente para [ATIVIDADES AUTORIZADAS], na execução dos serviços de [DESCRIÇÃO DOS SERVIÇOS]. Novas ferramentas ou finalidades dependem de autorização prévia e por escrito da EMPRESA.
2. Dados e confidencialidade
O PRESTADOR manterá sigilo sobre as informações recebidas e usará apenas os dados necessários ao serviço. É proibido inserir dados pessoais, dados sensíveis, senhas, documentos de clientes ou segredos de negócio nas ferramentas sem autorização prévia e por escrito da EMPRESA e sem as medidas de proteção definidas por ela. Havendo tratamento de dados pessoais, as partes cumprirão a LGPD, com finalidade, base legal e responsabilidades previamente definidas.
3. Treinamento e configurações da ferramenta
Antes do uso, o PRESTADOR verificará os termos e as configurações do plano contratado. Não poderá usar informações, prompts ou materiais da EMPRESA para treinar modelos, nem enviá-los a ferramentas que os reutilizem para treinamento. Se não conseguir assegurar essa condição, suspenderá o envio e comunicará a EMPRESA para definição de uma alternativa.
4. Revisão humana
Todo material produzido com apoio de IA será revisado pelo PRESTADOR antes da entrega, incluindo fatos, cálculos, referências e possíveis violações de direitos de terceiros. A aprovação para publicação ou envio ao cliente caberá a [NOME OU CARGO DO RESPONSÁVEL]. A ferramenta não poderá tomar decisões sobre pessoas sem avaliação humana e autorização específica da EMPRESA.
5. Materiais e direitos de uso
Os materiais fornecidos pela EMPRESA permanecem de seus respectivos titulares. A EMPRESA poderá utilizar as entregas nas finalidades previstas no contrato de prestação de serviços, respeitados os direitos de terceiros e as licenças aplicáveis. O PRESTADOR informará eventuais restrições antes da entrega. O uso de IA não garante exclusividade ou proteção autoral do resultado, e este instrumento não estabelece cessão automática de direitos autorais.
6. Incidentes e responsabilidade
Ao identificar vazamento, envio indevido de dados ou erro relevante, o PRESTADOR suspenderá a atividade afetada e avisará a EMPRESA pelo canal [E-MAIL OU CONTATO], imediatamente e, no máximo, em [PRAZO EM HORAS] após tomar conhecimento. Preservará os registros necessários à apuração e cooperará na correção. Esse prazo é contratual e não substitui os prazos legais de comunicação. Cada parte responderá pelos danos decorrentes de sua conduta, conforme a legislação e o contrato de prestação de serviços; o uso de IA não afasta essas responsabilidades.
7. Vigência e encerramento
Este contrato vigora de [DATA DE INÍCIO] a [DATA DE TÉRMINO], limitado à duração dos serviços. A EMPRESA poderá suspender a autorização de uso de IA em caso de risco ou descumprimento. No encerramento, o PRESTADOR cessará o uso das informações, devolverá os materiais e eliminará as cópias que não precisem ser conservadas por obrigação legal ou exercício regular de direitos, com acesso restrito. O dever de sigilo continuará enquanto as informações forem confidenciais.
8. Relação com o contrato de serviços
Este instrumento complementa o contrato de prestação de serviços firmado em [DATA DO CONTRATO PRINCIPAL]. Remuneração, prazos de entrega e demais condições seguem o contrato principal. Para o uso de IA, prevalecem as regras específicas aqui ajustadas, respeitada a legislação aplicável. Alterações dependem de acordo por escrito entre as partes.
[CIDADE/UF], [DATA].
EMPRESA
[NOME DO REPRESENTANTE]
Assinatura: ____________________
PRESTADOR
[NOME DO PRESTADOR OU REPRESENTANTE]
Assinatura: ____________________
Modelo informativo, sujeito à adaptação jurídica. Para empregados, adapte as regras à política interna e à legislação trabalhista. Para contratar o fornecedor da plataforma, trate também de disponibilidade, suporte e tratamento de dados em instrumento próprio. Este acordo com o prestador não altera os termos do fornecedor da IA.
Exemplo de cláusula comentada: uso de IA por prestador de serviços
O texto abaixo é um ponto de partida para contratos com agências, freelancers e consultorias que usam IA na entrega. Os campos entre colchetes precisam ser preenchidos com a realidade da operação, e o restante do contrato precisa estar coerente com ele.
Modelo ilustrativo
Cláusula [•]. Uso de ferramentas de inteligência artificial
[•].1. A CONTRATADA somente poderá usar ferramentas de inteligência artificial na execução deste contrato para as finalidades listadas no Anexo [•], observadas as regras desta cláusula.
[•].2. É vedado inserir em prompts, bases de conhecimento ou integrações de IA dados pessoais de clientes da CONTRATANTE, dados pessoais sensíveis, credenciais de acesso, código-fonte não público ou informação classificada como confidencial, salvo autorização prévia e por escrito da CONTRATANTE, que indicará as medidas de proteção aplicáveis.
[•].3. A CONTRATADA declara que o fornecedor da ferramenta utilizada não usa os dados, prompts e resultados deste contrato para treinar ou aprimorar modelos. Se essa condição não puder ser garantida, a CONTRATADA informará a CONTRATANTE antes do uso.
[•].4. Todo material produzido com apoio de IA e destinado a terceiros passará por revisão humana de profissional designado pela CONTRATADA antes da entrega.
[•].5. Qualquer uso em desacordo com esta cláusula será comunicado à CONTRATANTE em até [•] horas da ciência, com preservação dos registros disponíveis.
Por que a cláusula foi escrita assim
Finalidades em anexo
O item 1 remete a um anexo porque a lista de usos permitidos muda mais rápido que o contrato. Atualizar um anexo assinado é mais simples do que renegociar a cláusula inteira.
Categorias de dados nomeadas
O item 2 lista o que não pode entrar no prompt em vez de falar apenas em “informação sigilosa”. Categorias nomeadas reduzem a discussão sobre o que estava ou não proibido.
Treinamento depende do plano contratado
O item 3 só é verdadeiro se o plano da ferramenta permitir. Planos gratuitos e corporativos costumam ter regras diferentes sobre uso das conversas, então confira os termos do fornecedor antes de assinar.
Prazo de comunicação em branco de propósito
O prazo do item 5 deve ser definido com a área de segurança. Ele precisa ser curto o bastante para que o controlador consiga cumprir o dever de comunicar incidentes relevantes previsto no art. 48 da LGPD.
Guias do site para aprofundar o tema
Contratos digitais e termos de uso
para alinhar aceite, prova, responsabilidade e governança documental no ambiente online.
Advogado para SaaS
quando a empresa integra IA a software, assinatura, API, plataforma interna ou produto B2B.
Assessoria para startups e agências
para operações que crescem rápido e precisam padronizar IA, dados, times e fornecedores.
Direito digital e propriedade intelectual
para discutir titularidade, licenciamento, software, conteúdo e proteção de ativos intangíveis.
Contrato de confidencialidade (NDA)
quando o ponto central é proteger informação trocada com fornecedores, parceiros ou prestadores.
Como o escritório usa IA
exemplo público de regras de uso de IA com revisão humana e proteção de dados.
Glossário de direito digital
definições curtas de controlador, operador, DPA, SLA e outros termos usados neste artigo.
Sobre o autor
perfil profissional, OAB, áreas de atuação e publicações de Diego Castro.
Erros comuns ao contratar ou liberar IA na empresa
Copiar a política pronta do fornecedor e achar que isso resolve a operação interna.
Falar em sigilo de forma genérica, sem tratar prompts, logs e subprocessadores.
Ignorar a propriedade intelectual de bases internas, resultados, software e material publicado.
Liberar uso amplo sem definir quando a revisão humana é obrigatória.
Esquecer cenários de desligamento, auditoria, incidente e preservação de provas.
Tratar IA apenas como tecnologia, sem integrar contrato, processo e treinamento do time.
Checklist prático antes de assinar ou liberar a ferramenta
- A empresa definiu quais áreas e casos de uso estão autorizados para IA.
- O contrato diz que tipo de dado pode ou não pode entrar nos prompts.
- Confidencialidade, LGPD, subprocessadores e incidentes foram tratados em conjunto.
- Existe regra clara sobre titularidade de bases, prompts, resultados e treinamento adicional.
- Atividades críticas exigem revisão humana antes de uso externo ou decisão relevante.
- SLA, mudança de modelo, contingência e encerramento foram previstos.
- Há procedimento para auditoria, logs, preservação de evidências e correção.
- A empresa revisou o contrato junto com a política interna e com o contrato do fornecedor.
Este conteúdo tem caráter informativo e não substitui a análise jurídica do seu caso concreto, do fluxo de dados da empresa e dos contratos firmados com clientes, colaboradores e fornecedores.
Perguntas frequentes sobre contrato de uso de IA
Toda empresa precisa de um contrato específico para uso de IA?
Nem sempre será um documento isolado, mas a empresa precisa disciplinar o uso de IA em contrato, política interna ou anexo operacional quando a ferramenta afeta dados, propriedade intelectual, atendimento, decisão relevante ou relacionamento com terceiros.
Esse contrato substitui a política interna de uso de IA?
Não. O contrato organiza obrigações jurídicas entre empresa, usuários internos e fornecedores. A política interna detalha a rotina: aprovações, treinamento, exemplos permitidos, proibições e controles do dia a dia. Os dois documentos precisam dizer a mesma coisa.
Posso proibir o fornecedor de usar meus prompts para treinamento?
Sim, desde que isso seja tratado de forma expressa no contrato ou no aditivo aplicável. O ponto crítico é não depender apenas da linguagem genérica da plataforma quando a empresa envia dados internos, código, segredos de negócio ou informações de clientes.
A LGPD se aplica ao uso de IA generativa na empresa?
Sim, sempre que houver tratamento de dados pessoais. O uso de IA não afasta as obrigações sobre finalidade, necessidade, segurança, governança, direitos dos titulares e compartilhamento com operadores ou terceiros.
Preciso esperar uma lei de IA para fazer esse contrato?
Não. A LGPD, o Código Civil, a Lei de Direitos Autorais e, quando houver relação de consumo, o Código de Defesa do Consumidor já se aplicam ao uso de IA. O PL 2.338/2023 propõe uma regulação geral de IA e pode criar novas obrigações. Acompanhe a situação na ficha oficial da Câmara e revise o contrato quando houver lei aprovada.
Quem responde se a IA errar em um documento enviado ao cliente?
Perante o cliente, responde quem entregou o documento, nos termos do contrato e da lei aplicável: o Código Civil nas relações entre empresas e o Código de Defesa do Consumidor nas relações de consumo. O fornecedor da ferramenta só responde na medida do contrato firmado com ele. Por isso revisão humana e limitação de responsabilidade precisam estar escritas.
O funcionário pode usar uma IA gratuita com dados da empresa?
Depende da política interna, mas o cuidado é maior. Em plano gratuito ou pessoal, a empresa aceita termos que não negociou, e esses termos podem permitir o uso das conversas para melhorar o serviço. Por isso muitas políticas vedam dados de clientes e informação confidencial nesses planos e liberam apenas ferramentas contratadas pela empresa.
Preciso avisar o cliente que usei IA na entrega?
Não existe uma regra geral única para todos os contratos. Depende do que foi contratado, da natureza do serviço e de normas do setor. Se o contrato exige sigilo, entrega autoral ou veda o uso de IA, usar a ferramenta sem avisar pode caracterizar descumprimento. O caminho mais seguro é prever o tema em cláusula própria.
Fontes oficiais e referências
base central para tratamento de dados pessoais, segurança, governança, comunicação de incidentes e compartilhamento.
referência para deveres no uso da internet, registros, aplicações e ambiente digital.
base contratual geral para obrigações, responsabilidade, boa-fé e interpretação dos negócios jurídicos.
referência para autoria, licença e cessão de textos, imagens e outros materiais produzidos com apoio de IA.
página oficial em que a Autoridade Nacional de Proteção de Dados publica guias, notas técnicas e estudos, inclusive sobre IA e dados pessoais.
ficha oficial de tramitação da proposta de regulação geral de IA. Consulte a situação atual diretamente nessa página.
Última revisão do conteúdo em . Leis e regulamentos mudam: antes de aplicar qualquer ponto deste artigo, confira a versão vigente nas fontes oficiais acima.