Quem responde legalmente quando uma IA erra uma decisão na empresa?

TL;DR: Quando uma IA erra uma decisão, quem responde é a empresa que a adotou — não o sistema, não o algoritmo. No Direito brasileiro, a IA não é sujeito de direito: não tem personalidade jurídica, não tem patrimônio e não pode ser processada. Quem se beneficiou da automação e tinha o dever de supervisionar é quem arca com as consequências. Delegar uma decisão a um algoritmo não delega a responsabilidade por ela.

A IA pode ser "culpada" por um erro? O que diz o Direito brasileiro

Não. A inteligência artificial não pode ser responsabilizada por si mesma porque não é sujeito de direito. É um instrumento — sofisticado, autônomo em aparência, mas ainda um instrumento. Do ponto de vista jurídico, uma IA que aprova ou reprova um reembolso está mais perto de uma calculadora do que de um empregado: ela executa, mas quem responde pelo resultado é quem a colocou para funcionar e quem se beneficia dela.

O alicerce está no Código Civil. O artigo 186 define o ato ilícito: quem, por ação ou omissão, negligência ou imprudência, viola direito e causa dano a outrem comete ato ilícito. O artigo 187 acrescenta o abuso de direito. E o artigo 927 fecha o raciocínio: quem, por ato ilícito, causar dano a outrem fica obrigado a repará-lo. Nenhum desses artigos pergunta se a decisão foi tomada por um humano ou por uma máquina. Eles perguntam quem causou o dano — e, quando uma IA erra, quem causou foi a empresa que decidiu confiar a decisão a ela.

"A culpa é do sistema" não é defesa. Nenhum juiz aceita que uma empresa se exima de reparar um dano alegando que "foi o algoritmo". O algoritmo é um meio que a empresa escolheu, configurou e manteve em operação — e a responsabilidade pela escolha do meio é de quem escolheu.

Responsabilidade objetiva ou subjetiva: por que essa distinção decide o seu caso

O Código Civil prevê dois regimes de responsabilidade, e o que se aplica muda completamente a chance de defesa da empresa.

Regime	O que exige para responsabilizar	Chance de defesa
Subjetiva (regra geral)	Prova de culpa — negligência, imprudência ou imperícia	A empresa pode demonstrar diligência: política de uso, supervisão, auditoria
Objetiva (atividade de risco)	Apenas o dano e o nexo causal — culpa é irrelevante	Muito limitada — "fui cuidadoso" não funciona como defesa
CDC (relações de consumo)	Defeito do serviço — responsabilidade objetiva do fornecedor	Praticamente nenhuma perante o consumidor lesado

O parágrafo único do artigo 927 do Código Civil é explícito: haverá obrigação de reparar o dano, independentemente de culpa, quando a atividade normalmente desenvolvida pelo autor do dano implicar, por sua natureza, risco para os direitos de outrem. Em muitas atividades empresariais que dependem de automação em escala, esse regime se aplica — e a defesa de "eu fui cuidadoso" simplesmente não funciona.

O recado prático: antes de automatizar uma decisão, identifique em que regime ela cairá. Se for objetivo, a prevenção precisa ser muito mais rígida, porque você não terá a saída de "provar que foi diligente" quando o dano já tiver ocorrido.

E o fornecedor da IA — ele não responde junto?

Responde, sim, mas isso quase nunca tira a empresa contratante da linha de frente. A cadeia de responsabilidade tem três elos: a empresa que contratou e usou a IA, o fornecedor da plataforma e o desenvolvedor do modelo subjacente. Perante quem sofreu o dano, porém, esses elos não se apresentam em fila ordenada — o lesado aciona quem está mais próximo e mais visível, e isso, na maioria dos casos, é a empresa que tomou a decisão.

É o que o Direito chama de responsabilidade solidária: quando mais de uma pessoa concorre para o dano, todas podem ser cobradas integralmente. A LGPD adota essa lógica de forma expressa. Os artigos 42 e 43 estabelecem que controlador e operador respondem pelos danos causados em razão do tratamento, e o artigo 42, §1º, prevê responsabilidade solidária entre eles.

Dois conceitos clássicos explicam por que a empresa raramente escapa:

Culpa in eligendo: a culpa pela má escolha — responder por ter contratado um fornecedor inadequado ou uma solução com histórico de falhas
Culpa in vigilando: a culpa pela falta de fiscalização — responder por não ter supervisionado o que delegou

Quando uma empresa entrega decisões financeiras a uma IA e simplesmente "deixa rodar", ela acumula as duas: escolheu e não vigiou. É por isso que o human in the loop deixou de ser jargão de governança e virou peça de defesa jurídica.

Três cenários reais: o que acontece quando a IA erra de fato

Cenário 1 — A IA reprova o reembolso legítimo de um funcionário

Um colaborador submete uma despesa de viagem dentro da política. O sistema, por critério mal calibrado, classifica como fora do padrão e nega o reembolso. Quem responde? A empresa. A relação é de trabalho, regida pela boa-fé contratual — negar uma verba devida, ainda que por erro de máquina, é descumprimento.

Aqui a responsabilidade tende a ser subjetiva, então a empresa pode se defender mostrando que tinha canal de contestação e que corrigiu rapidamente. Quem nunca ofereceu revisão humana e deixou o erro persistir é quem se expõe. O fornecedor da IA não tem relação jurídica com o funcionário — só responde, eventualmente, perante a empresa, no plano do contrato.

Cenário 2 — A IA bloqueia um pagamento a fornecedor por suposta fraude e gera multa contratual

O sistema antifraude marca um pagamento legítimo como suspeito e o suspende. O fornecedor não recebe na data, invoca a cláusula de mora do contrato e cobra multa e juros. Quem responde pela multa? A empresa pagadora — porque foi ela quem deixou de cumprir a obrigação no prazo. "Meu sistema achou que era fraude" não suspende a mora contratual.

Depois de arcar com a multa, a empresa pode buscar ressarcimento do fornecedor da IA se o contrato previr responsabilidade por falsos positivos e direito de regresso. Sem essa cláusula, o prejuízo fica com quem usou o sistema.

Cenário 3 — A IA classifica errado uma despesa e provoca uma autuação fiscal

A IA enquadra uma despesa em categoria indevida, isso se reflete na escrituração e o Fisco autua a empresa. Quem responde perante a Receita? A empresa — o contribuinte é ela, e a responsabilidade tributária não se transfere por contrato privado a um fornecedor de software. O artigo 123 do Código Tributário Nacional é claro: convenções particulares não podem ser opostas à Fazenda para alterar quem deve o tributo.

O padrão dos três casos é o mesmo: perante o terceiro lesado, responde a empresa; o fornecedor entra em cena depois, e só se o contrato abrir essa porta. Para entender como estruturar esses controles de compliance, veja o artigo sobre compliance jurídico no uso de IA na gestão financeira.

Uma cláusula de limitação de responsabilidade no contrato resolve o problema?

Resolve parte dele — a parte interna — e não resolve a outra. Vale separar com cuidado, porque é onde mais se erra.

No plano interno, entre a empresa e o fornecedor da IA, o contrato manda. É lá que se define quem arca com o quê, os SLAs, as obrigações de segurança da informação, os limites de indenização e — peça central — o direito de regresso: o direito de a empresa, depois de reparar um dano a um terceiro, cobrar do fornecedor o que lhe couber.

No plano externo, diante de quem sofreu o dano — funcionário, cliente, fornecedor, Fisco —, a cláusula entre você e o fornecedor é, em regra, irrelevante. O terceiro não assinou aquele contrato e não está vinculado a ele. Em relações de consumo, cláusulas que limitam ou excluem responsabilidade são consideradas abusivas e nulas (CDC, artigo 51).

Resumindo: o contrato é excelente para o plano interno (regresso, SLA, segurança) e quase inútil como escudo perante terceiros. Quem confia o risco inteiro a uma cláusula de limitação costuma descobrir, tarde demais, que comprou uma proteção que não se aplica justamente quando mais precisa.

Quando o Brasil tiver uma lei de IA — muda alguma coisa?

Muda a moldura, não o princípio. Tramita no Congresso o Marco Legal da Inteligência Artificial (PL 2338/2023), que organiza o tema em torno de uma abordagem baseada em risco: quanto maior o risco da aplicação, mais obrigações de governança, transparência e supervisão humana.

O ponto central: você não precisa esperar a lei para já ser responsável. As obrigações existem hoje, pelo Código Civil e pela LGPD. O Marco Legal, quando aprovado, tende a tornar a régua mais exigente e explícita — não a criar do zero. Quem estruturar agora política de uso, supervisão humana e trilha de auditoria estará à frente, em vez de correr atrás.

Cinco medidas que reduzem o risco a partir de hoje

Documente as regras de decisão da IA — registre os critérios que o sistema usa para aprovar, reprovar ou classificar. Uma decisão explicável é uma decisão defensável
Crie um canal formal de contestação humana — a LGPD assegura ao titular o direito de pedir revisão de decisões automatizadas. Ter esse canal, e usá-lo, é prova direta de que existe um humano no circuito
Defina limites de valor e alçada para a automação total — decisões de maior impacto financeiro devem exigir aprovação humana antes de produzir efeitos. Risco maior, supervisão maior
Audite o sistema periodicamente — monitore viés, taxa de erro e explicabilidade. A auditoria recorrente é prova viva de fiscalização e ataca a alegação de culpa in vigilando
Revise os contratos com cláusulas de responsabilidade, regresso e segurança — defina SLAs, obrigações de segurança da informação e o direito de regresso contra o fornecedor. É o que organiza o plano interno e torna o prejuízo previsível

Como provar, na prática, que a empresa agiu com diligência

Com registro. A diferença entre "a IA errou" e "a empresa foi negligente" quase sempre se decide por uma pergunta: existe trilha de auditoria? Quem aprovou o quê, com base em qual regra, em qual momento, e quem reviu quando houve contestação? Quando essa informação existe e está íntegra, a empresa demonstra governança e que o erro foi um incidente tratado, não um descaso. Quando não existe, a ausência de registro vira, ela própria, indício de negligência.

É aqui que a escolha da ferramenta importa juridicamente, e não só operacionalmente. Plataformas de gestão de despesas corporativas que mantêm histórico por decisão registram automaticamente quem aprovou cada reembolso, com base em quais regras e em que momento — deixando rastro também das decisões automatizadas e das revisões humanas.

Uma trilha de auditoria completa não impede que a IA erre — nenhuma tecnologia faz isso —, mas dá à empresa exatamente o que o Direito pede para reconhecer diligência: a prova de que havia regras claras, supervisão humana e capacidade de corrigir. Em uma discussão de responsabilidade, esse conjunto de evidências costuma ser a diferença entre mitigar o risco e arcar com ele por inteiro.

Como a Payfy ajuda a empresa a demonstrar diligência

A Payfy é uma plataforma brasileira de gestão de despesas corporativas e cartão corporativo com inteligência artificial, pensada para que a automação ande junto com governança — e não no lugar dela. Na prática, isso significa transformar decisões automatizadas em algo rastreável e defensável.

Trilha de auditoria completa: registra quem aprovou o quê, quando e com base em quais dados — essencial para separar "a IA errou" de "a empresa foi negligente"
Fluxos de aprovação com revisão humana e alçadas: garante o human in the loop nas decisões de maior impacto financeiro, conforme o valor envolvido
Controles de contestação e revisão de decisões: em linha com o direito de revisão de decisões automatizadas previsto no art. 20 da LGPD
Segurança de dados e conformidade com a LGPD: protege as informações tratadas em todo o ciclo de aprovação

Nenhuma tecnologia impede que a IA erre — mas é possível garantir que cada decisão fique registrada e defensável. Agende uma demonstração gratuita e veja como a Payfy mantém a rastreabilidade das aprovações e ajuda a sua empresa a demonstrar diligência quando ela mais importa.