Governança e compliance no uso de IA no escritório

O que você vai aprender

• O risco real de sigilo ao usar IA sem regras — e por que "foi a IA" não é defesa.
• Os 4 pilares de uma política de uso de IA que dá para escrever esta semana.
• A cláusula-base pronta para copiar e o checklist de 3 perguntas ao fornecedor.

Por que isso não é opcional

Esta é a aula para mostrar ao sócio mais cético do escritório — porque ela não é sobre usar mais IA; é sobre usar com controle.

O risco, dito sem rodeios: quando um advogado cola um contrato com dados sigilosos de cliente numa ferramenta de IA gratuita, esse dado pode ir parar no treinamento do modelo. Informação confidencial de cliente, saindo do controle do escritório. Isso não é hipótese distante — é o funcionamento padrão de várias ferramentas gratuitas.

E o dever de sigilo profissional não tem exceção de "foi a IA". A responsabilidade é do escritório. O paralelo com a LGPD é direto: dado pessoal de cliente processado por terceiro sem base e sem controle é problema jurídico do controlador — você.

Os 4 pilares da política mínima

Uma política de uso de IA não precisa de cinquenta páginas. Precisa de quatro pilares:

1. Ferramentas aprovadas. Defina quais ferramentas podem receber dado de cliente e quais nunca podem. Regra prática: ferramenta que treina o modelo com o que você digita entra na lista "nunca dado sensível". Mantenha a lista curta e revisada.
2. Revisão humana obrigatória. Nada gerado por IA é protocolado ou enviado sem que um advogado revise e assuma. Já é a regra da casa — agora está por escrito, com nome de quem assina.
3. Anonimização. Sempre que possível, troque nome, CPF e número de processo por marcadores antes de colar em ferramenta externa. A skill anonimizador-lgpd automatiza isso.
4. Rastreabilidade. Registre quem usou IA em qual peça. Se der problema, o escritório precisa saber onde olhar — e provar diligência.

A cláusula-base (copie e adapte)

O uso de ferramentas de inteligência artificial neste escritório é permitido exclusivamente como apoio à produção jurídica. É vedada a inserção de dados sigilosos de clientes em ferramentas não aprovadas. Toda produção assistida por IA será obrigatoriamente revisada por advogado responsável, a quem cabe conferir citações legais e jurisprudenciais antes de qualquer protocolo ou envio.

Isso é o esqueleto. O prompt "política de uso de IA do escritório" expande esse texto para o porte e as áreas do seu escritório — e o Hub também tem um modelo completo de política para baixar, pronto para adaptar.

Comunicação com o cliente

Preciso avisar o cliente que uso IA? Nem sempre. Na maioria dos casos, IA é ferramenta de apoio, como um sistema de pesquisa — você não avisa que usou pesquisa. Mas alguns contratos corporativos exigem transparência ou até proíbem o uso.

A regra: leia o contrato com o cliente. Havendo cláusula de confidencialidade reforçada, alinhe antes. Transparência proativa nesses casos vira diferencial de confiança, não fraqueza.

Checklist do fornecedor

Antes de contratar qualquer ferramenta de IA jurídica, três perguntas:

1. O dado fica armazenado no Brasil ou vai para fora? (Transferência internacional tem requisitos próprios na LGPD.)
2. O meu conteúdo é usado para treinar o modelo de vocês? A resposta que você quer é "não" — por contrato, não por promessa.
3. Vocês têm certificação de segurança da informação? (ISO 27001 ou equivalente.)

Se o vendedor enrolar nessas três, isso já é a resposta.

Exemplo prático real

Situação fictícia comum: um associado precisa analisar um contrato de cliente com IA. Fluxo errado: colar o PDF inteiro, com razão social, CNPJ e valores, numa ferramenta gratuita. Fluxo conforme a política:

[antes de colar, a skill de anonimização devolve:]
CONTRATANTE: [EMPRESA-A], inscrita no CNPJ [CNPJ-1]...
CONTRATADA: [EMPRESA-B]...
Valor mensal: [VALOR-1]

A análise de risco sai igual — cláusulas, prazos e obrigações não dependem dos nomes reais. Na peça final, o advogado devolve os dados verdadeiros. O que a revisão pegou no exemplo: a IA classificou como "risco alto" uma cláusula de reajuste que, para aquele cliente específico, era padrão de mercado — o contexto comercial quem tinha era o advogado. A política não substitui julgamento; ela garante que o julgamento aconteça.

Erros comuns

• Política que proíbe tudo. Proibição total não elimina o uso — só o esconde. O time passa a usar IA no celular pessoal, sem nenhum controle. Política boa canaliza, não nega.
• Política sem dono nem revisão. Ferramentas mudam de termos de uso; a lista de aprovadas precisa de revisão periódica (a cada 6 meses, no mínimo).
• Confundir anonimização com "tirar só o nome". CPF, número de processo, endereço e combinações raras de dados também identificam. Anonimização é processo, não apagar uma palavra.

Resumo em 5 linhas

1. Dado sigiloso em ferramenta não aprovada é risco de sigilo profissional e LGPD — e a responsabilidade é do escritório.
2. Política mínima tem 4 pilares: ferramentas aprovadas, revisão obrigatória, anonimização, rastreabilidade.
3. A cláusula-base desta aula é o esqueleto; o prompt do Hub expande para o seu porte.
4. Transparência com cliente: regra geral não exige aviso, mas o contrato com o cliente manda.
5. Fornecedor que enrola sobre armazenamento, treinamento e certificação já respondeu.

Sua próxima ação (10–15 min)

Redija a versão 1 da política do seu escritório: copie a cláusula-base, rode o prompt de política de uso com o porte e as áreas de vocês, e liste as ferramentas hoje em uso em duas colunas — "aprovada" e "nunca dado sensível". Leve para o próximo almoço de sócios. O que outros escritórios colocaram na política deles? Discussão aberta no fórum: o que tem na política de IA do seu escritório.