IA nos shoppings: riscos jurídicos e governança exigida pelo mercado

O uso de inteligência artificial (IA) na gestão de shopping centers já deixou de ser cenário futuro: operadores tratam centros comerciais como plataformas de dados, integrando câmeras, Wi‑Fi, aplicativos, sistemas de estacionamento e programas de fidelidade a modelos algorítmicos. Essa transformação cria oportunidades comerciais relevantes, mas também impõe exigências jurídicas e de governança que os operadores precisam enfrentar com urgência.

Contexto

Nos últimos anos os shopping centers ampliaram seu papel além do aluguel de espaços físicos, ofertando serviços digitais que captam e cruzam dados para melhorar experiência do cliente, personalizar ofertas e otimizar operações. Essa transição converge com dois vetores regulatórios e de risco: a proteção de dados pessoais e as regras concorrenciais aplicáveis a mercados concentrados e a práticas de cooperação entre agentes econômicos.

A discussão sobre "IA-sombra" (uso não autorizado por colaboradores de ferramentas de IA externas) ilustra a dificuldade de controlar fluxos internos de informação em ambiente híbrido, sobretudo quando a empresa opera com múltiplos fornecedores e plataformas terceirizadas. Em paralelo, investimentos estruturados via fundos e novos modelos de financiamento vêm alterando a governança societária e a forma de conduzir operações no setor, com implicações concorrenciais.

O que foi decidido

Em palestra no Curso Jurídico da Abrasce, sócios do Cescon Barrieu destacaram posicionamentos práticos e recomendações: a responsabilidade pelo tratamento de dados e pela segurança das decisões automatizadas permanece com o operador do shopping, independentemente de terceirização das tecnologias; é imperativo mapear sistematicamente quais sistemas de IA são usados, quais dados são compartilhados e instituir mecanismos de governança, supervisão e avaliação de riscos. Também foi ressaltado o custo material e reputacional de incidentes decorrentes de usos não homologados — um dado trazido na apresentação indicou impacto econômico expressivo por incidente de segurança ligado à IA-sombra.

No plano concorrencial, chamou atenção a necessidade de observar como estruturas de capital (como fundos de investimento) e modelos de captação podem alterar incentivos e criar riscos de coordenação entre agentes, suscitando exame sob a ótica da legislação antitruste e da jurisprudência dos órgãos de defesa da concorrência.

Base normativa e precedentes

• Lei 13.709/2018 — LGPD — estabelece princípios, bases legais para tratamento de dados pessoais, obrigações do controlador e do operador, e direitos dos titulares; relevante para coleta em ambientes de shopping e uso de IA.
• Lei 8.078/1990 — CDC — disciplina proteção do consumidor, informação clara e prevenção de práticas abusivas; aplica‑se quando dados e decisões automatizadas impactam consumidores.
• Código Civil (Lei 10.406/2002) — responsabilidade civil por ato ilícito e relação contratual entre operadores, fornecedores e lojistas.
• CLT (Decreto‑Lei 5.452/1943) — normas trabalhistas relevantes quanto ao uso de ferramentas por empregados e dever de fiscalização do empregador.
• Atuação da ANPD — orientações e fiscalizações sobre tratamento de dados e relatórios de impacto à proteção de dados influenciam a avaliação de risco (autoridade administrativa relevante).
• Jurisprudência consolidada do tribunal administrativo e dos tribunais superiores sobre responsabilidade do titular/operador em incidentes de dados — reforça a tendência de imputação de responsabilidade a quem detém o controle do tratamento.

Impacto prático

• Para advogados e departamentos jurídicos: necessidade de revisar contratos com fornecedores de tecnologia, incluir cláusulas específicas sobre modelos de IA, segurança, auditoria, indicadores de desempenho e responsabilidades por incidentes; desenvolver playbooks para resposta a incidentes envolvendo modelos de IA.
• Para gestores de shopping e operadores: obrigação de mapear fluxos de dados (data mapping), catalogar sistemas que utilizam IA, promover inventário de providências de segurança e políticas internas contra IA‑sombra; investir em treinamentos e controles de acesso.
• Para lojistas e consumidores: maior exposição de dados pessoais e decisões automatizadas exige transparência e canais de informação/consentimento, sob pena de reclamações administrativas e ações consumeristas.
• Para investidores e estruturas societárias: modelos de captação via fundos exigem análise de risco concorrencial e cláusulas de compliance ancoradas em governança corporativa, para mitigar problemas em eventual análise por autoridades antitruste.

O que observar

• Governança e due diligence: empresas devem consolidar políticas de governança de IA que incluam avaliação contínua de riscos, auditorias técnicas e relatórios de impacto de privacidade quando aplicável.
• Contratos de terceirização: cláusulas de responsabilidade, direitos de auditoria, SLAs de segurança e obrigação de notificação de incidentes devem ser padrão; prever cláusulas sobre uso proibido de IA por subcontratados.
• Riscos de responsabilização: a terceirização tecnológica não exime o operador de responsabilidade perante titulares e autoridades; decisões de compliance devem priorizar documentação que demonstre diligência.
• Concorrência: ao estruturar operações com fundos ou parcerias, observar potenciais efeitos coordenados no mercado e a jurisprudência dos órgãos de defesa da concorrência; avaliar necessidade de consulta prévia ou notificações em operações que possam gerar concentração.
• Fiscalização e sanções: acompanhar posicionamentos e orientações da ANPD e de órgãos concorrenciais; preparar mitigação para multas administrativas e responsabilização cível.

Em síntese, a adoção de IA pelos shoppings é inevitável e traz ganhos operacionais e comerciais significativos, mas impõe uma matriz de conformidade integrada que articule proteção de dados, contratos, governança e análise antitruste. Operadores que não equilibrarem inovação com controles robustos estarão expostos a custos financeiros e reputacionais substanciais e a riscos regulatórios crescentes.