A DEMOCRATIZAÇÃO DO CÓDIGO NÃO DEMOCRATIZA A RESPONSABILIDADE
Uma plataforma anunciada como inteiramente construída por inteligência artificial, sem uma única linha escrita à mão, passou a permitir, dias após o lançamento, que qualquer usuário acessasse recursos pagos e alterasse dados de terceiros. O caso, noticiado por empresas de cibersegurança em 2025, ilustra um movimento que já chegou ao cotidiano das empresas brasileiras. A geração de código por IA, as plataformas no-code e low-code e os assistentes de programação permitiram a ascensão do desenvolvedor cidadão, o citizen developer, profissional sem formação técnica em engenharia de software que hoje constrói aplicações inteiras, com banco de dados, autenticação e API, para tratar dados de clientes. A barreira para produzir caiu. A barreira para responder juridicamente, não.
Convém afastar de saída a tese de que a culpa seria da IA. A exposição de credenciais e a ausência de controle de acesso são falhas clássicas de engenharia, anteriores ao chamado vibe coding. O que mudou foi a escala: a aplicação nasce funcional na superfície e segue direto para produção, tratando dados reais, sem que ninguém tenha avaliado autorização, criptografia ou retenção. O que falta no desenvolvimento sem repertório técnico não é tecnologia. É a cultura de segurança que o ordenamento pressupõe. E é sobre as consequências jurídicas dessa lacuna que este artigo se debruça.
O desenvolvimento sem formação técnica é tratamento de dados, e o tratamento gera dever de indenizar
A informalidade da solução não afasta a Lei nº 13.709/2018. Uma aplicação que cadastra clientes ou um fluxo que cruza dados é atividade de tratamento, e atrai integralmente a LGPD, independentemente do porte do agente ou de o código ter saído de um prompt. Os arts. 6º, 46 e 47 impõem a adoção de medidas técnicas e administrativas aptas a proteger os dados de acessos não autorizados. O ponto decisivo está no regime de responsabilidade civil do art. 42, e é nele que a empresa subestima a própria exposição.
O art. 42 estabelece que o controlador ou o operador que, em razão do tratamento, causar dano a outrem, é obrigado a repará-lo. A doutrina majoritária e a jurisprudência em consolidação, sobretudo nas relações de consumo, leem o dispositivo como responsabilidade objetiva: dispensa-se a prova de culpa, bastando a demonstração do nexo causal entre o incidente e o dano. O art. 45 remete expressamente ao Código de Defesa do Consumidor nas relações de consumo, e o art. 14 do CDC reforça a responsabilidade objetiva do fornecedor por defeito na prestação do serviço. Para a maioria das aplicações desenvolvidas internamente e voltadas a clientes, é esse o cenário aplicável.
QUEM É O CONTROLADOR, E POR QUE A EMPRESA QUASE SEMPRE O É
A distinção entre controlador, a quem competem as decisões sobre o tratamento, e operador, que o realiza por conta daquele, está no art. 5º. A empresa que concebe a aplicação e decide quais dados serão tratados e para quê figura, em regra, como controladora. E aqui está a primeira ilusão a desfazer: a responsabilidade do controlador não se transfere para a IA nem para a plataforma no-code que gerou o código. A ferramenta é instrumento, não garantidora.
Mais do que isso, o art. 42, §1º, prevê a responsabilidade solidária do operador que descumprir as obrigações da legislação ou deixar de seguir as instruções lícitas do controlador. A relação entre a empresa que desenvolve a solução e a plataforma que a hospeda e processa pode, conforme o arranjo concreto, configurar cadeia de tratamento com responsabilização solidária, com direito de regresso na medida da participação de cada um no evento danoso (art. 42, §4º). A empresa que imagina estar protegida por terceirizar a tecnologia, na prática, apenas se inseriu numa cadeia de responsáveis.
O ÔNUS DA PROVA E A ESTREITEZA DAS EXCLUDENTES
O art. 42, §2º, faculta ao juiz inverter o ônus da prova em favor do titular quando, a seu critério, a alegação for verossímil, houver hipossuficiência probatória ou a produção da prova lhe for excessivamente onerosa. Não se trata, portanto, de inversão automática na LGPD. Nas relações de consumo, contudo, o titular conta com o regime do CDC, e o efeito prático tende a ser severo: cabe ao agente demonstrar que adotou as medidas de segurança esperadas. Foi o que reconheceu o STJ no já citado REsp 2.121.904/SP, ao atribuir ao fornecedor o ônus de comprovar o cumprimento do dever de proteção dos dados (com base, entre outros, no art. 42, §2º, da LGPD e nos arts. 6º, VIII, e 14, §3º, do CDC). “Funcionou no teste” não é “está conforme”, porque a conformidade se prova com documentação, trilha de auditoria, registro das operações e, quando exigível, relatório de impacto, instrumentos que o desenvolvimento não especializado simplesmente não produz.
As hipóteses de exclusão do art. 43 são restritas: que não se realizou o tratamento, que não houve violação à legislação, ou que o dano decorreu de culpa exclusiva do titular ou de terceiros. A ausência de intenção de causar dano não exclui a responsabilidade, e a excludente de fato de terceiro, comum após um ataque, é de difícil sustentação. A distinção entre fortuito interno e externo é determinante: falhas decorrentes de sistemas mal configurados, desatualizados ou sem controle de acesso adequado são tratadas como fortuito interno, que não rompe o nexo causal, como reconheceu o STJ no REsp 2.077.278/SP (caso do golpe do boleto, art. 44 da LGPD e Súmula 479/STJ). Apenas o estado da arte em segurança, somado a evento genuinamente imprevisível e inevitável, pode caracterizar o fortuito externo. Uma aplicação construída sem critério técnico, com permissões amplas demais e credenciais expostas, está no campo do fortuito interno, ou seja, no campo da responsabilidade.
O QUE O STJ VEM DECIDINDO
A jurisprudência recente confirma a direção, com a ressalva de que os acórdãos devem ser conferidos no inteiro teor antes de citação em peça. No REsp 2.121.904/SP (3ª Turma, Rel. Min. Nancy Andrighi, j. 11/02/2025), o STJ reconheceu a responsabilidade objetiva de seguradora por vazamento de dados sensíveis de segurado, fixando que, nessa hipótese, o dano moral é presumido.
O entendimento alcança o universo do cadastro e do crédito: no REsp 2.115.461/SP (3ª Turma, Rel. Min. Nancy Andrighi, j. 08/10/2024), reconheceu-se a responsabilidade objetiva do gestor de banco de dados que disponibilizou indevidamente informações cadastrais e de adimplemento a terceiros consulentes, com dano moral presumido, à luz dos arts. 16 da Lei nº 12.414/2011 e 42 e 43, II, da LGPD.
O quadro não é de responsabilização automática em toda hipótese. No AREsp 2.130.619/SP (2ª Turma, j. 07/03/2023), o STJ sinalizou que o vazamento, por si só, pode não gerar dano moral presumido, exigindo demonstração do prejuízo concreto. Há, portanto, divergência entre as turmas, com a 2ª mais restritiva e a 3ª mais inclinada ao dano presumido, sobretudo em dados sensíveis e relações de consumo. A leitura correta é de gradação: dados sensíveis tendem ao dano in re ipsa e à responsabilização objetiva; dados comuns reclamam prova do dano, sem que isso afaste o dever de segurança nem a responsabilidade quando o prejuízo se materializa. Para a empresa que desenvolve sem critério e mistura, num mesmo banco mal protegido, dados comuns e sensíveis, a exposição é máxima.
A VIA ADMINISTRATIVA, PARALELA E INDEPENDENTE
À responsabilização civil soma-se a sanção administrativa, e as duas não se excluem. A primeira multa da ANPD, no caso Telekall (concluído em julho de 2023), recaiu sobre microempresa por tratamento sem base legal, demonstrando que porte não confere imunidade. Na dosimetria do art. 52, a existência de programa de conformidade, de governança e de medidas corretivas opera como atenuante, ao passo que a ausência de qualquer estrutura de proteção agrava a posição do agente. O quadro institucional, ademais, se robusteceu: a Medida Provisória nº 1.317/2025, publicada no DOU em setembro de 2025 e convertida em lei pelo Congresso no início de 2026, transformou a ANPD em agência reguladora, autarquia de natureza especial inserida no rol das agências nos termos da Lei nº 13.848/2019, conforme o próprio sítio oficial da ANPD (o número da lei de conversão deve ser conferido no DOU antes de citação formal). A fase predominantemente orientadora ficou para trás.
A CONDUTA DEVIDA, E O CAMINHO DA PROTEÇÃO
A consequência não é abandonar a IA ou o no-code, é submetê-los aos deveres de o controlador antes de qualquer dado entrar no fluxo. Definição clara de base legal, gestão de segredos, princípio do menor privilégio, anonimização ou pseudonimização quando a finalidade permitir, registro das operações e revisão técnica qualificada. Mais do que higiene de engenharia, são elementos de prova da diligência que a lei exige e que os tribunais cobram.
Para a empresa que adota essas ferramentas, o primeiro passo de proteção é dimensionar a própria exposição: mapear quais aplicações tratam dados pessoais, em que papel a organização se enquadra na cadeia de responsabilização e se há prova documental da diligência. É nessa interseção, entre a arquitetura técnica de uma solução e o regime jurídico que ela atrai, que se concentra a nossa atuação, combinando a prática em contencioso e recuperação de crédito com o domínio das teses de responsabilidade civil sob a LGPD. Compreender quem responde, em que medida e com qual ônus probatório é o que distingue a inovação segura do passivo anunciado.
