Shadow AI no trabalho: limites jurídicos e deveres empresariais

O uso não autorizado de ferramentas de inteligência artificial por empregados — o chamado shadow AI — expõe empresas a riscos de proteção de dados, segurança de segredos e passivos trabalhistas, exigindo governança integrada e mapeamento ativo das práticas internas. A análise detalha normas aplicáveis, lacunas operacionais e medidas práticas de mitigação.

Contexto

Shadow AI descreve o emprego, por trabalhadores, de modelos, agentes ou serviços de IA fora do arcabouço de políticas, contratos e controles corporativos. A prática surge quando a organização não fornece soluções satisfatórias ou quando as regras internas são desconhecidas ou inefetivas. No cenário internacional, pesquisas indicam uso difundido em grandes empresas mesmo diante de proibições internas; embora esses números não sejam extrapoláveis automaticamente ao Brasil, ilustram a natureza sistêmica do problema.

A controvérsia é relevante por cruzar três campos normativos: proteção de dados pessoais (LGPD), saúde e segurança no trabalho (normas regulamentadoras, agora com NR-1 atualizada) e proteção de informações empresariais (direito da propriedade industrial e contratual). A combinação gera riscos peculiares: decisões automatizadas que impactam empregados ou candidatos; vazamento ou uso indevido de segredos e códigos; e métodos de monitoramento ou controle que agravem fatores psicossociais.

O que foi decidido

Esta análise não relata uma decisão jurisdicional central, mas retoma decisões e normativas recentes que sinalizam como tribunais e órgãos têm tratado condutas ligadas a automação e informações produzidas por IA:

• As empresas têm o dever de conferir a origem e a veracidade de informações usadas em processos, relatórios e peças processuais, com responsabilização quando houver manipulação ou apresentação de conteúdo inverídico. Exemplo prático: aplicação de penalidade processual a empresa e advogado por citações fabricadas em contrarrazões demonstra a exigência de diligência nas fontes, independentemente do meio tecnológico.
• A LGPD assegura ao titular o direito de revisão de decisões automatizadas que produzam efeitos significativos (art. 20), impondo à organização a necessidade de transparência sobre critérios e possibilidade efetiva de reavaliação humana qualificada.
• A NR-1, em sua redação que incluiu fatores de risco psicossociais no Gerenciamento de Riscos Ocupacionais (vigente desde 26 de maio de 2026), exige que o uso de tecnologias de monitoramento e avaliação seja incorporado ao risco ocupacional, hipótese em que a empresa deve avaliar impacto conjunto de RH, segurança e tecnologia.

Base normativa e precedentes

• Art. 20, Lei 13.709/2018 (LGPD) — direito do titular à revisão de decisões individuais tomadas exclusivamente por tratamento automatizado que produzam efeitos jurídicos ou significativamente o afetem.
• Lei 13.709/2018 (LGPD), art. 52 e seguintes — prevêem sanções administrativas aplicáveis aos agentes de tratamento, incluindo advertência, multa e medidas corretivas; a base para aplicação de penalidades depende de apuração administrativa pela autoridade competente.
• Capítulo 1.5, NR-1 (Norma Regulamentadora) — inclusão expressa dos fatores de risco psicossociais no Gerenciamento de Riscos Ocupacionais, implicando avaliação quando IA é empregada para monitoramento ou cobrança de resultados.
• Art. 195, XI, Lei 9.279/1996 — tipifica a divulgação ou utilização não autorizada de informação confidencial relacionada a relação contratual ou empregatícia, como hipótese de proteção de segredos empresariais.
• Jurisprudência do TST e tribunais de processo civil — decisões recentes aplicando sanções por apresentação de documentos ou citações inverídicas reforçam o dever de verificação das fontes, incluído conteúdo gerado por IA.

Impacto prático

• Para advogados e departamentos jurídicos: necessidade de validar e documentar a origem de pareceres, citações e peças que incorporem resultados de IA; políticas internas devem prever diligência mínima e responsabilização.
• Para profissionais de compliance e proteção de dados: exigência de mapear fluxos de dados usados em IA, incluindo contas pessoais, e avaliar bases legais, finalidade, necessidade e medidas de segurança, com cláusulas contratuais claras sobre retenção, não-treinamento e subcontratação de fornecedores.
• Para RH e segurança do trabalho: inclusão do uso de IA no Programa de Gerenciamento de Riscos Ocupacionais, análise de fatores psicossociais e definição de medidas de controle quando a tecnologia influenciar avaliação de desempenho, seleção ou desligamento.
• Para fornecedores de tecnologia: pressão contratual por transparência sobre política de treinamento de modelos, retenção e acesso a dados e por garantias contratuais que impeçam uso indevido de informações sensíveis.
• Para empregados e candidatos: orientação sobre quais ferramentas são autorizadas, limites de compartilhamento de dados e canais internos para esclarecer dúvidas e relatar incidentes.

O que observar

• Mapeamento e governança ativos: empresas devem realizar inventário de usos reais (inclusive contas pessoais) e oferecer alternativas corporativas que atendam às necessidades de produtividade.
• Documentação e auditoria de decisões: quando IA influencia decisões com efeitos sobre pessoas, a supervisão humana precisa de informações concretas sobre critérios, tempo para revisão e poder de correção, evitando validações meramente formais.
• Contratos com fornecedores: cláusulas sobre treinamento de modelos, eliminação de dados, subcontratação e transferências internacionais são essenciais; exigir auditoria técnica e SLAs de segurança.
• Notificação e resposta a incidentes: protocolos internos para preservação de evidências e avaliação de exposição devem distinguir entre inserções acidentais e incidentes que demandam comunicação à ANPD.
• Risco trabalhista e disciplinar: proibições gerais sem oferta de alternativas ou comunicação efetiva tendem a ser inócuas; medidas disciplinares devem estar articuladas a políticas claras e à proporcionalidade.
• Observe a evolução da jurisprudência e de orientações da ANPD: enquadramentos e critérios de fiscalização sobre IA e tratamento automatizado continuam a se consolidar, exigindo atualização contínua das políticas corporativas.