Proteger uma informação confidencial já não significa apenas controlar quem pode acessá-la ou divulgá-la. Com a inteligência artificial, é preciso definir também em quais sistemas ela pode ser inserida, como será processada e o que poderá acontecer com ela depois disso.

Introdução

Uma planilha financeira enviada para análise. Uma minuta contratual submetida para revisão. Um relatório técnico inserido em uma ferramenta para ser resumido.

Atividades como essas já fazem parte da rotina de muitas empresas. O problema surge quando os documentos contêm informações protegidas por acordos de confidencialidade e são inseridos em ferramentas de inteligência artificial sem que se saiba exatamente como esses dados serão tratados.

Os acordos de confidencialidade ( Non- Disclosure Agreements ou NDAs) tradicionalmente se concentram em três pontos: definir o que é confidencial, l imitar quem pode acessar a informação e impedir sua divulgação a terceiros.

A inteligência artificial acrescentou uma nova dimensão a essa estrutura. A informação pode não ser propriamente “ divulgada” a outra pessoa e, ainda assim, ser transmitida à infraestrutura de um terceiro, processada em ambiente externo, eventualmente armazenada e submetida às regras próprias daquele serviço.

Surge, então, uma pergunta que muitos contratos atualmente em vigor não respondem de forma satisfatória: a inserção de uma informação confidencial em uma ferramenta de inteligência artificial pode violar o NDA?

A resposta dependerá do contrato, da ferramenta utilizada e das circunstâncias concretas. É justamente essa incerteza que recomenda uma revisão dos modelos tradicionais de proteção da informação.

A proteção jurídica da informação confidencial

No Brasil, não existe uma disciplina legal específica para os acordos de confidencialidade. O NDA é um contrato atípico, admitido pelo art. 425 do Código Civil, e seu conteúdo é definido essencialmente pelas próprias partes. Nas relações empresariais, essa autonomia é reforçada pelo art. 421 – A do Código Civil, que prestigia a alocação de riscos contratualmente estabelecida, e pelo art. 113 , § 2 º, que permite às partes definir regras próprias de interpretação e integração do negócio.

Na prática, a consequência é simples: quanto mais clara for a disciplina contratual sobre o uso das informações, menor será o espaço para controvérsia quando surgir um incidente.

A proteção também não depende exclusivamente do NDA. A Lei de Propriedade Industrial considera crime de concorrência desleal, em determinadas circunstâncias, divulgar, explorar ou utilizar, sem autorização, conhecimentos, informações ou dados confidenciais obtidos em razão de relação contratual ou empregatícia , inclusive após seu encerramento. A própria legislação assegura tutela civil diante de atos de concorrência desleal.

Esse arcabouço permanece aplicável. O desafio está em definir como ele incide sobre formas de uso da informação que os modelos tradicionais de NDA nem sempre previram.

Quando divulgar deixa de ser o único risco

A cláusula clássica de um NDA normalmente proíbe que informações confidenciais sejam reveladas a terceiros não autorizados. Esse modelo foi construído pensando, sobretudo, na circulação da informação entre pessoas e empresas.

Com a inteligência artificial, a situação é diferente. Quando um colaborador insere um documento em uma plataforma externa, talvez não exista intenção de revelar seu conteúdo a outra pessoa. Ainda assim, os dados são enviados para um ambiente tecnológico controlado por terceiro e passam a ser tratados de acordo com as condições técnicas e contratuais daquela solução.

Por isso, uma cláusula que simplesmente proíbe a “divulgação a terceiros” pode gerar discussão sobre algo que poderia ter sido disciplinado expressamente: inserir, carregar ou submeter informação confidencial a uma ferramenta externa de IA é ou não permitido?

A mesma dificuldade aparece nas cláusulas de devolução e destruição. Quando o conteúdo é submetido a uma ferramenta externa, é preciso verificar se o usuário possui efetivo controle sobre sua retenção e eliminação.

O mesmo raciocínio vale para materiais derivados. Um resumo de relatório financeiro, uma análise de contrato ou uma tabela produzida por IA pode continuar revelando conteúdo confidencial, embora não corresponda ao documento originalmente entregue.

Por isso, a definição contratual de informação confidencial deve considerar também cópias, extratos, resumos, análises e outros materiais derivados, independentemente de terem sido produzidos por uma pessoa ou por um sistema automatizado.

Há ainda uma camada adicional quando esses documentos contêm dados pessoais de clientes, consumidores, empregados, fornecedores ou executivos.

Nesses casos, a utilização de inteligência artificial não deve ser analisada apenas sob a perspectiva do NDA. Também é necessário verificar a compatibilidade do tratamento com a Lei Geral de Proteção de Dados, inclusive quanto à finalidade, à base legal, à necessidade dos dados utilizados e às medidas de segurança adotadas.

Nesse cenário, um único uso inadequado de uma ferramenta pode produzir consequências em duas frentes: descumprimento de obrigações contratuais de confidencialidade e exposição a riscos relacionados à proteção de dados pessoais.

Como os NDAs podem se adaptar

A solução não está necessariamente em proibir qualquer utilização de inteligência artificial.

Uma proibição absoluta pode ser incompatível com a própria rotina empresarial e, se não houver mecanismos para implementá-la, corre o risco de permanecer apenas no contrato. O mais eficiente é disciplinar o uso.

Os NDAs mais sensíveis podem estabelecer se informações confidenciais podem ser inseridas em ferramentas de inteligência artificial, quais soluções estão autorizadas e quais informações não podem ser submetidas a esses sistemas.

Em operações de maior sensibilidade, também pode ser adequado exigir autorização prévia antes da submissão de informações a determinadas ferramentas ou restringir sua utilização a ambientes corporativos previamente aprovados.

A ferramenta também precisa preservar o sigilo

O contrato, sozinho, não resolve o problema. Uma cláusula bem redigida perde grande parte de sua eficácia se a estrutura tecnológica da empresa caminha na direção oposta.

Por isso, a gestão da confidencialidade deve alcançar também as configurações das próprias ferramentas de inteligência artificial utilizadas pela organização.

Antes de autorizar determinada solução, a empresa deve conhecer suas condições de uso e avaliar, entre outros pontos, se é possível limitar retenção e histórico, restringir acessos e impedir a utilização de conteúdo empresarial para treinamento ou aprimora mento do modelo.

Também é importante distinguir ferramentas de uso pessoal de soluções corporativas especificamente contratadas. Produtos diferentes — e até modalidades diferentes de um mesmo produto — podem oferecer níveis distintos de controle sobre os dados.

Governança: contrato e operação precisam estar alinhados

Nenhum NDA será suficiente se a empresa não souber como a inteligência artificial está sendo utilizada na prática.

A política interna deve responder a perguntas objetivas: quais ferramentas são autorizadas? Que tipo de informação pode ser inserido? O que depende de anonimização? Quais documentos exigem autorização prévia? Que conteúdos jamais devem sair dos sistemas internos?

Para um colaborador, inserir um contrato em uma ferramenta de IA apenas para obter um resumo pode parecer uma atividade trivial. Para a empresa, porém, aquele mesmo documento pode conter informações protegidas por NDA, dados pessoais, estratégias comerciai s ou segredos empresariais.

A proteção contemporânea da informação depende, portanto, de três camadas que precisam funcionar em conjunto: contrato, configuração tecnológica e governança interna.

Conclusão

A inteligência artificial não tornou os acordos de confidencialidade obsoletos. Tornou insuficientes os modelos que consideram apenas as formas tradicionais de circulação da informação.

Hoje, proteger um dado estratégico não significa somente definir quem pode conhecê-lo. Significa também determinar em quais sistemas ele pode ser inserido, para qual finalidade, sob quais configurações e com quais garantias de retenção, segurança e exclusão.

Para empresas que negociam, contratam e inovam a partir de informações estratégicas, essa revisão deve ocorrer antes de um incidente.

O desafio não está em escolher entre confidencialidade e inteligência artificial. Está em estruturar contratos e processos internos capazes de permitir inovação sem perder o controle sobre a informação que sustenta o negócio.