Responsabilidade fiduciária e IA: o conselho pode ser omisso?

Aviso legal: Este conteúdo é informação educativa sobre regulação de compliance e não constitui aconselhamento jurídico. Os requisitos específicos variam conforme jurisdição, setor e histórico da empresa. Consulte seu assessor jurídico certificado antes de implementar mudanças.

O dever de cuidado deixou de ser uma fotografia estática

Por décadas, o dever fiduciário de administradores e conselheiros foi entendido em termos relativamente fixos: agir de boa-fé, com a diligência de um administrador razoável, no melhor interesse da companhia. No Chile, o artigo 41 da Lei 18.046 de Sociedades Anônimas resume isso como "o cuidado e a diligência que os homens empregam ordinariamente em seus próprios negócios".

Mas o padrão de diligência não é uma foto fixa — é um espelho do que um administrador razoável faria nas circunstâncias atuais. E as circunstâncias atuais incluem dois elementos que não existiam há dez anos:

Um marco penal corporativo dramaticamente ampliado no Chile: a Lei 21.595 de Delitos Econômicos, em vigor para as pessoas físicas desde agosto de 2023, e cujas modificações ao regime de responsabilidade penal das empresas (Lei 20.393) regem desde 1º de setembro de 2024.
Tecnologia de detecção preventiva — monitoramento de comunicações com NLP e inteligência artificial — que é acessível, validada pela literatura acadêmica e já usada pelos próprios reguladores.

Quando as ferramentas disponíveis mudam, muda também o que significa ser diligente. Essa é a tese deste artigo — e ela não fica restrita ao Chile.

O paralelo direto com o programa de integridade no Brasil

Para quem opera sob a Lei Anticorrupção brasileira (Lei 12.846/2013), esse argumento não deveria soar estranho. O Decreto 11.129/2022 já exige que o programa de integridade seja efetivo — não basta ter política escrita, é preciso demonstrar que os mecanismos de detecção funcionam na prática, com monitoramento contínuo dos riscos mapeados. O CADE segue lógica semelhante em seu Guia de Compliance: comprometimento da alta direção, análise de riscos e monitoramento contínuo são atributos de um programa considerado robusto, e um programa efetivo pode pesar a favor da empresa na avaliação de sua boa-fé.

Ou seja: o raciocínio de que o padrão de diligência é dinâmico — e que a tecnologia disponível redefine o que é razoável — se aplica com a mesma força sob o marco brasileiro. A diferença é que o Chile oferece, com a Lei 21.595, um caso de estudo particularmente nítido de como esse raciocínio pode se traduzir em responsabilidade pessoal para administradores.

Da supervisão "de papel" à supervisão efetiva

A Lei 20.393 chilena condiciona a isenção de responsabilidade penal da pessoa jurídica à adoção e implementação efetiva de um modelo de prevenção de delitos. A Lei 21.595 elevou a régua: ampliou o catálogo de crimes, endureceu as penas e — de forma crucial — reforçou a exposição pessoal de executivos e conselheiros.

A palavra-chave é efetiva. Um manual na gaveta, um treinamento anual e um canal de denúncias que ninguém usa não constituem supervisão efetiva. Tribunais e doutrina convergem numa ideia simples: o modelo precisa ser proporcional ao risco real da empresa e precisa funcionar.

Aqui surge a pergunta incômoda: se existe tecnologia capaz de detectar sinais precoces de conluio, fraude ou corrupção nas comunicações corporativas — onde esses crimes nascem e se coordenam — e o conselho decide nem sequer avaliá-la, ele ainda pode sustentar que sua supervisão é "efetiva"?

O precedente conceitual: Caremark e o dever de monitorar

No direito comparado, a linha jurisprudencial americana iniciada em In re Caremark (Delaware, 1996) e refinada em casos como Marchand v. Barnhill (2019) estabeleceu que os administradores descumprem seu dever de lealdade quando:

não implementam nenhum sistema razoável de informação e reporte sobre riscos centrais do negócio, ou
tendo implementado um, ignoram conscientemente os sinais de alerta ("red flags") que esse sistema produz.

Marchand é particularmente ilustrativo: a Suprema Corte de Delaware permitiu que avançasse uma ação contra o conselho de uma empresa de alimentos justamente porque ele não tinha nenhum sistema de monitoramento específico para o seu risco crítico (segurança alimentar), apesar de contar com controles genéricos de conformidade. E em In re McDonald's (2023), a Court of Chancery foi além, estendendo esses deveres de supervisão aos executivos principais, não apenas aos conselheiros. A lição se transpõe sem atrito para qualquer companhia cujo risco crítico seja livre concorrência, fraude ou corrupção — ela precisa de sistemas de monitoramento desenhados para esse risco, não de controles genéricos.

O Chile não tem uma doutrina Caremark formal, mas a lógica já está incorporada ao ordenamento por outra via: a exigência de um modelo de prevenção adequado e efetivo como condição da isenção penal, somada ao dever geral de cuidado do artigo 41 da Lei 18.046. O resultado prático é análogo: o conselho que não monitora seus riscos críticos com meios razoavelmente disponíveis fica exposto.

O padrão de diligência é dinâmico: a regra de The T.J. Hooper

Há um princípio clássico do common law, formulado pelo juiz Learned Hand em The T.J. Hooper (1932), que resume o ponto melhor do que qualquer tratado moderno: um setor inteiro pode estar atrasado na adoção de precauções disponíveis, e esse atraso coletivo não isenta de responsabilidade. Que "ninguém mais faz isso" não é defesa quando a precaução é acessível e sua omissão causa o dano.

Aplicado ao nosso contexto:

A evidência acadêmica (o trabalho da OCDE sobre ferramentas de screening em investigações de concorrência e a pesquisa em detecção computacional de cartéis, incluindo a análise de linguagem natural sobre comunicações) valida que essas técnicas detectam padrões associados a condutas colusórias e fraudulentas, e que permitem analisar o universo completo de comunicações, algo que a revisão manual ou amostral não cobre.
As agências de concorrência já usam essas ferramentas para encontrar cartéis: o CADE opera há anos seu Projeto Cérebro, e a FNE chilena criou uma Unidade de Inteligência em sua Divisão Anticartéis, além de uma ferramenta desenvolvida com a ChileCompra que monitora o universo completo das licitações públicas.
O custo de adoção dessas tecnologias é uma fração do custo de uma investigação, uma multa ou uma condenação sob a Lei 21.595.

Quando o regulador usa IA para te detectar e você decide não usar IA para prevenir, o desequilíbrio deixa de ser apenas estratégico: passa a ser juridicamente relevante para avaliar sua diligência.

A assimetria que nenhum conselho deveria aceitar

A delação compensada chilena (leniência em livre concorrência) e a colaboração eficaz agravam o problema; no Brasil, o acordo de leniência do CADE segue a mesma lógica. Esses mecanismos premiam quem chega primeiro: a empresa que detecta internamente uma conduta e se autodenuncia pode obter isenção ou reduções substanciais de multa; as demais pagam o preço integral.

Isso transforma a capacidade de detecção precoce em um ativo estratégico com valor jurídico direto. Um conselho que carece dessa capacidade não apenas assume o risco da sanção: ele renuncia, por omissão, à principal ferramenta de mitigação que a lei oferece. É difícil imaginar uma decisão mais difícil de defender perante acionistas depois de uma condenação.

O que isso significa na prática para um conselho

Não significa que toda empresa deva contratar amanhã uma ferramenta de monitoramento com IA. Significa que o processo de decisão precisa existir e ficar documentado. Concretamente:

1. Avaliar formalmente a tecnologia disponível. O dever de cuidado exige se informar. Um conselho diligente deve conhecer quais ferramentas de detecção preventiva existem para seus riscos críticos — coordenação de preços, suborno e fraude interna, entre outros — e registrar essa avaliação em ata.

2. Mapear o risco comunicacional. Conluio, fraude e corrupção não acontecem nas demonstrações financeiras: acontecem em e-mails, chats e mensagens. Se o mapa de riscos do programa de integridade não considera as comunicações como vetor, ele está incompleto.

3. Decidir com fundamento e documentar. Adotar ou não adotar é uma decisão de negócio protegida — desde que seja informada. O indefensável não é dizer "ainda não"; é nunca ter perguntado.

4. Se adotar, fazer certo. O monitoramento de comunicações precisa ser implementado com privacidade desde a concepção, proporcionalidade e pleno respeito à legislação de proteção de dados pessoais aplicável. Um monitoramento invasivo ou desproporcional cria o próprio risco que pretendia mitigar.

5. Revisar periodicamente. O padrão de diligência vai continuar se movendo. O que hoje é "boa prática emergente" será amanhã o piso mínimo exigível.

Conclusão: a omissão também é uma decisão

A responsabilidade fiduciária moderna não se esgota em evitar más decisões. Ela inclui responder pelas decisões que nunca foram tomadas: os sistemas que não foram avaliados, os alertas que não existiram porque ninguém construiu o mecanismo para gerá-los.

A Lei 21.595 elevou as consequências no Chile. A tecnologia reduziu as desculpas em qualquer jurisdição. Nesse cruzamento, a pergunta para cada conselho — no Chile, no Brasil ou em qualquer lugar da América Latina — já não é "podemos nos dar ao luxo de adotar monitoramento preventivo com IA?", mas sim "conseguimos defender, diante de um promotor, um tribunal ou nossos próprios acionistas, a decisão de nunca ter considerado isso?".

Na vario construímos tecnologia de monitoramento de comunicações com NLP desenhada especificamente para os riscos de compliance corporativo — livre concorrência, fraude e corrupção — com proteção de dados por design.

Se você lidera um conselho, uma equipe jurídica ou de compliance, vamos conversar sobre como é a supervisão efetiva em 2026. Fale conosco.