Como estruturar governança de IA no departamento jurídico

TL;DR — Governança de IA no jurídico é o conjunto de decisões sobre quem aprova, quem usa e quem responde por cada aplicação de inteligência artificial. A estrutura mínima viável tem três peças: comitê enxuto, política que aprova casos de uso, e não ferramentas, e matriz de papéis entre jurídico, TI, DPO e negócio. A urgência é mensurável: 77% dos profissionais do Direito dizem que suas organizações não atingiram ou não sabem informar o retorno da IA (FGV Direito SP, 2026).

O uso de IA no jurídico já aconteceu. A pesquisa Inteligência Artificial Generativa no Direito, do CEPI da FGV Direito SP, divulgada em maio de 2026, indica que cerca de 80% dos profissionais do Direito usam IA generativa com alta frequência, e 58% o fazem diariamente. A estrutura para governar esse uso ficou para trás.

O Relatório Impacto da IA Generativa no Direito 2026, conduzido por seccionais da OAB com Jusbrasil, Trybe e ITS Rio, mostra que 51% das organizações jurídicas não têm regras ou planos formais de adoção. Enquanto isso, o marco legal da IA segue em tramitação. Esperar a lei para organizar a casa significa operar sem regra própria por tempo indeterminado.

O que é governança de IA no departamento jurídico?

Governança de IA no departamento jurídico é o sistema de decisão que define quais usos de inteligência artificial são permitidos, quem os aprova, quais dados podem entrar em cada ferramenta e quem responde pelo resultado. Governança de IA não é código de ética: é alocação de responsabilidade, registrada antes do primeiro incidente.

A diferença aparece no dia em que algo dá errado. Uma carta de princípios afirma que a organização usa IA de forma responsável. Uma estrutura de governança mostra que aquele caso de uso foi aprovado em determinada data, por determinado comitê, com classificação de risco e revisor humano nomeado. Só a segunda versão sustenta defesa perante cliente, auditor ou regulador.

O departamento jurídico é o lugar natural dessa estrutura por dois motivos. O jurídico já guarda o risco contratual, regulatório e reputacional da empresa. E o jurídico é também grande usuário de IA generativa: segundo o relatório das seccionais da OAB, 56% dos profissionais do Direito já usam IA para análise e revisão de contratos.

Por que esperar o marco legal da IA para estruturar a governança é um erro?

Esperar o marco legal da IA é um erro porque o PL 2.338/2023 ainda não é lei e não tem data de votação definida, enquanto a LGPD, as regras da OAB, os contratos com clientes e a fiscalização da ANPD já se aplicam hoje a qualquer uso de inteligência artificial no departamento jurídico.

O status, verificado em outubro de 2026: o PL 2.338/2023 foi aprovado pelo Senado em dezembro de 2024 e aguarda parecer na Comissão Especial da Câmara dos Deputados. Em agosto de 2026, o relator, deputado Aguinaldo Ribeiro, indicou que a votação deve ficar para depois das eleições de outubro. Aprovado na Câmara, o texto ainda volta ao Senado.

O vácuo é apenas legislativo. A ANPD incluiu, pela primeira vez, um eixo dedicado a inteligência artificial no Mapa de Temas Prioritários de fiscalização para 2026-2027, ao lado de direitos dos titulares, proteção de crianças e tratamento de dados pelo poder público. A expectativa do regulador sobe sem esperar o Congresso.

Existe ainda um argumento de eficiência. O texto aprovado pelo Senado organiza obrigações conforme o grau de risco do sistema de IA. Uma organização que já classifica seus casos de uso por risco fará adaptação incremental quando a lei vier. Uma organização sem inventário começará do zero, sob prazo legal.

Qual é a estrutura mínima viável de um comitê de IA no jurídico?

A estrutura mínima viável de um comitê de IA no jurídico tem quatro assentos fixos: jurídico, tecnologia da informação, encarregado de dados e um representante do negócio usuário. O comitê de IA se reúne em cadência curta, decide por caso de uso e registra cada decisão em ata, com classificação de risco.

Comitê grande demais não decide. O CEPI da FGV Direito SP analisou 23 comitês de ética em IA existentes no mundo e propôs um framework que vai de estruturas informais, focadas em um tipo de solução, até colegiados robustos para empresas com IA no centro do negócio. Para o jurídico de uma empresa média, a ponta enxuta do espectro costuma bastar.

O modelo público mais recente ajuda a calibrar. O Tribunal Regional do Trabalho da 15ª Região instituiu, em julho de 2026, um Comitê de Governança da Inteligência Artificial, com atribuição expressa de propor e acompanhar a política institucional e de definir diretrizes para ferramentas de IA generativa. A lógica é transponível para empresas: colegiado pequeno, mandato escrito, escopo definido.

O que o comitê de IA não deve fazer é aprovar tudo por unanimidade e sem prazo. O mandato precisa dizer quem tem voto de minerva em risco jurídico, qual o prazo máximo de resposta a um pedido de novo caso de uso e quais usos de baixo risco dispensam reunião e seguem apenas registro.

Por que aprovar ferramentas não funciona e aprovar casos de uso funciona?

Aprovar ferramentas não funciona porque a mesma ferramenta de IA serve a usos de risco muito diferente. Resumir uma notícia pública e redigir cláusula de limitação de responsabilidade para um cliente passam pelo mesmo software, mas exigem controles opostos. A política que aprova casos de uso coloca o controle onde o risco realmente está.

É nesse ponto que a política interna trava na prática. A lista de ferramentas homologadas costuma ser a primeira entrega e transmite sensação de controle. Na operação, o problema surge em dois sentidos: ferramentas aprovadas são usadas em tarefas que ninguém avaliou, e usos de baixo risco ficam bloqueados porque a ferramenta adequada ainda não foi homologada.

O dado da FGV Direito SP mostra por que o caso de uso importa: 75% dos profissionais usam IA tanto para temas que dominam quanto para temas que não dominam. A ferramenta é a mesma nos dois cenários. O risco não é. Em tema dominado, o profissional detecta o erro. Em tema desconhecido, o profissional passa a depender da resposta da máquina.

Por isso cada caso de uso aprovado responde a cinco perguntas: qual tarefa, qual categoria de dado entra, qual ferramenta, quem revisa e qual registro fica. O formato é curto, auditável e sobrevive à troca de fornecedor, porque a aprovação está amarrada à tarefa e ao controle, não ao nome comercial do software.

A política genérica é o modelo mais comum e o mais enganoso. A política genérica produz documento, mas não produz decisão: proíbe amplamente o que o time continua fazendo e não deixa rastro de quem autorizou o quê. Na auditoria ou no incidente, a política genérica equivale, na prática, à ausência de política.

A governança por caso de uso exige mais trabalho na largada, porque obriga a inventariar e classificar. Em troca, a governança por caso de uso entrega o que o conselho, o cliente e o regulador vão perguntar: o que foi aprovado, com qual controle, revisado por quem.

Como estruturar governança de IA no jurídico em seis etapas?

A governança de IA no jurídico se estrutura em seis etapas sequenciais: inventariar os usos existentes, classificar cada uso por risco, instalar um comitê enxuto, publicar a política por caso de uso, capacitar o time e medir em ciclos curtos. Pular o inventário é o erro que compromete as demais etapas.

1. Inventarie os usos que já existem. Levante, sem tom punitivo, quais ferramentas de IA o time usa hoje, para quais tarefas e com quais dados. O inventário real quase sempre é maior que o oficial, e a política só governa o que enxerga.
2. Classifique cada uso por risco. Use três níveis: baixo (conteúdo público, sem dado pessoal), moderado (dado interno ou rascunho revisado) e alto (dado de cliente, dado sensível ou texto que vai assinado para fora). A classificação define o controle exigido.
3. Instale um comitê enxuto com mandato escrito. Quatro assentos fixos: jurídico, tecnologia, encarregado de dados e negócio. Defina por escrito o que o comitê aprova, em qual prazo responde e como registra cada decisão em ata.
4. Publique a política por caso de uso. Cada caso aprovado responde a cinco perguntas: qual tarefa, qual dado entra, qual ferramenta, quem revisa e qual registro fica. Usos de alto risco não aprovados ficam vedados até avaliação.
5. Capacite antes de cobrar. Treine o time no método de revisão e nos limites de cada ferramenta. Política sem letramento produz uso escondido, que é exatamente o risco que a governança pretende reduzir.
6. Meça e revise em ciclos curtos. Acompanhe percentual de usos inventariados, taxa de saídas alteradas pela revisão humana, tempo de aprovação e incidentes. Revise a classificação a cada ciclo e sempre que a regulação mudar de estágio.

A etapa de capacitação é a mais subestimada. A trajetória de Clóvis Barreto Jr., advogado corporativo internacional e fundador das plataformas Contrato Revisado e Risco Gerenciado, inclui mais de 1.500 executivos e alunos capacitados na Escola de Governo (ENA). Na formação de gestores, o letramento vem antes da política por um motivo objetivo: regra que o time não entende vira uso escondido.

O inventário e a classificação de risco não devem viver em planilha paralela. Em plataformas de gestão de risco como o Risco Gerenciado, os casos de uso de IA entram no mesmo repositório da matriz de riscos da empresa, o que permite ao comitê enxergar a IA como mais uma fonte de risco operacional, com dono, controle e evidência.

Quem faz o quê: como dividir papéis entre jurídico, TI, DPO e negócio?

Na governança de IA, o jurídico decide o risco jurídico, a tecnologia decide a viabilidade técnica, o encarregado de dados decide qual dado pessoal pode entrar e o negócio decide a necessidade e o indicador de resultado. Nenhum dos quatro papéis aprova sozinho um caso de uso de alto risco.

A matriz resolve o conflito mais frequente: a área de negócio quer velocidade, a tecnologia quer padronização e o jurídico quer segurança. Com papéis escritos, a discussão deixa de ser sobre preferência e passa a ser sobre quem tem a palavra final em cada dimensão do risco.

Um cuidado: o encarregado de dados não deve acumular a coordenação do comitê de IA. O encarregado precisa preservar independência para apontar quando um caso de uso não tem base legal adequada na LGPD, inclusive quando o caso de uso interessa à própria diretoria jurídica.

Como medir se a governança de IA no jurídico está funcionando?

A governança de IA no jurídico funciona quando produz quatro sinais mensuráveis: percentual crescente de usos inventariados, taxa conhecida de saídas alteradas pela revisão humana, tempo de aprovação de novos casos de uso sob controle e incidentes registrados com causa identificada. Satisfação do time com a ferramenta não é indicador de governança.

A ausência de medida é o problema mais documentado do setor. Segundo a FGV Direito SP, 77% dos profissionais relatam que suas organizações não atingiram ou não sabem informar o retorno esperado da IA. E apenas 34% das organizações jurídicas têm orçamento dedicado a ferramentas ou capacitação em IA, segundo o relatório apresentado na OAB SP.

Em plataforma em produção, o que se mede de fato é operacional: com que frequência o revisor humano altera a saída da IA, quanto tempo o ciclo de revisão consome e quantas vezes um documento precisa ser reprocessado. Esses três números dizem mais sobre risco e retorno do que qualquer pesquisa de percepção de produtividade.

A taxa de alteração pela revisão humana merece atenção especial. Taxa próxima de zero pode indicar ferramenta excelente ou revisão protocolar. Só a amostragem periódica de saídas aprovadas, conferidas por um segundo revisor, separa um cenário do outro.

Perguntas frequentes sobre governança de IA no jurídico

Usar IA no jurídico sem política interna expõe a empresa a risco regulatório?

Sim. Mesmo sem o marco legal da IA aprovado, a LGPD já se aplica a qualquer dado pessoal inserido em ferramenta de IA, a ANPD incluiu inteligência artificial entre seus eixos prioritários de fiscalização para 2026-2027 e o advogado responde pela peça que assina. Sem política interna, a empresa não consegue demonstrar quem autorizou o uso nem quais controles existiam no momento do erro.

Quem responde quando um caso de uso aprovado pelo comitê de IA gera erro?

A aprovação do comitê distribui responsabilidade, mas não a elimina. O revisor humano nomeado no caso de uso responde pela conferência do resultado, o profissional que assina responde perante o cliente e a OAB, e o comitê responde pela qualidade da avaliação de risco. Por isso cada aprovação precisa ficar registrada em ata, com classificação de risco e nome do revisor.

Posso colocar dados de clientes em uma ferramenta de IA aprovada pelo comitê?

Depende do caso de uso aprovado, não da ferramenta. A política precisa dizer, para cada uso, qual categoria de dado pode entrar: público, interno, confidencial ou pessoal sensível. Dado de cliente só entra quando o contrato com o fornecedor proíbe uso para treinamento, limita a retenção e define o papel do fornecedor como operador nos termos da LGPD.

Quanto tempo leva para estruturar a governança de IA no departamento jurídico?

O prazo depende do tamanho do inventário de usos que já existem. O que se pode definir com segurança é a sequência: primeiro o inventário, depois a classificação de risco, o comitê e a política por caso de uso. Uma primeira versão operacional, cobrindo os usos de maior risco, vem antes de uma política exaustiva e é revisada em ciclos curtos.

Preciso contratar especialistas em IA ou treinar o time jurídico atual?

Na maior parte dos departamentos jurídicos, o caminho é treinar o time atual e trazer apoio técnico pontual. Quem conhece os contratos, os clientes e os riscos do negócio já está na equipe. O que falta costuma ser letramento em IA e método de revisão. O comitê precisa de alguém de tecnologia, mas a decisão sobre risco jurídico continua no jurídico.

A governança de IA vai mudar quando o PL 2.338/2023 for aprovado?

Vai ser ajustada, não refeita, se a estrutura já classificar usos por risco. O PL 2.338/2023 foi aprovado pelo Senado em dezembro de 2024 e aguarda parecer na Comissão Especial da Câmara, com votação indicada pelo relator para depois das eleições de outubro de 2026. O texto final ainda pode mudar, e depois da Câmara volta ao Senado.

Governança de IA é decisão registrada, não documento de princípios

O departamento jurídico que já usa IA generativa, e a maioria usa, precisa de três peças antes de qualquer outra: um comitê pequeno com mandato escrito, uma política que aprova tarefas em vez de ferramentas e uma matriz que diz quem responde por quê. O marco legal vai chegar com classificação por risco. Quem já classifica hoje chega na frente.

Se você quer mapear os usos de IA do seu jurídico e desenhar a primeira versão da governança, a conversa começa por um diagnóstico de contexto.