Em um fim de semana, com a ajuda de uma inteligência artificial, é possível hoje montar um CRM para gerenciar clientes, um dashboard para acompanhar vendas, um aplicativo para a equipe ou até um SaaS para vender por assinatura. O código aparece pronto na tela, o sistema funciona, os primeiros cadastros entram. É uma sensação poderosa — a de que finalmente não se depende mais de uma equipe de tecnologia cara.
Tenho conversado com cada vez mais pessoas que construíram suas próprias ferramentas assim. E preciso ser direto com quem está nesse caminho: na pressa de ter o sistema funcionando, quase ninguém parou para pensar em cibersegurança. E é justamente aí que mora um risco que pode sair muito mais caro do que qualquer desenvolvedor.
O problema não é a IA. É o que você não vê
A inteligência artificial gera código que funciona, mas não necessariamente código seguro. Ela entrega o que foi pedido, e quase ninguém pede "proteja os dados dos meus clientes contra invasão". O resultado, com frequência, são sistemas com chaves de acesso expostas, bancos de dados sem criptografia, permissões abertas e portas que qualquer pessoa minimamente capaz consegue empurrar.
Quem não entende de proteção digital não enxerga essas falhas — elas não aparecem para o usuário comum. O sistema parece perfeito por fora. Por dentro, é uma casa com as janelas destrancadas. E aqui está o dado que assusta: levantamentos recentes do setor de segurança mostram que a imensa maioria dos ataques a empresas não usa vírus algum. Os criminosos simplesmente entram com credenciais válidas, explorando o elo mais fraco da cadeia — muitas vezes um fornecedor, um parceiro ou um sisteminha secundário criado às pressas.
Esse "sisteminha" pode ser exatamente o seu CRM de fim de semana.
Quando o vazamento vira o seu problema
Imagine o cenário. Você montou um sistema para guardar dados dos seus clientes: nomes, CPFs, telefones, histórico de compras, talvez dados de pagamento. Um dia, esses dados vazam. Aparecem à venda em um fórum, ou começam a alimentar golpes contra os seus próprios clientes, que recebem mensagens fraudulentas se passando pela sua empresa.
O primeiro instinto é se ver como vítima. E você é, em parte. Mas a lei não para por aí.
Pela Lei Geral de Proteção de Dados, a Lei 13.709/2018, quem decide como e por que os dados dos clientes são tratados é o controlador — e o controlador é você, dono do negócio, não a IA que escreveu o código. Se o vazamento decorreu de negligência na segurança, você responde administrativamente perante a Autoridade Nacional de Proteção de Dados, com sanções que vão de advertência a multas pesadas, e responde civilmente perante cada cliente prejudicado.
A inteligência artificial escreveu o código, mas a responsabilidade legal tem o seu nome.
E onde entra o risco criminal
É preciso ser direto aqui, porque o tema costuma ser tratado com exagero ou com leviandade. O simples fato de a sua empresa sofrer um vazamento não é, por si só, um crime cometido por você. Crime comete quem invade. A invasão de dispositivo informático é punida pelo art. 154-A do Código Penal, incluído pela Lei 12.737/2012, e os golpes que vêm depois se enquadram no estelionato eletrônico, cujas penas foram elevadas pela Lei 14.155/2021.
O risco penal para o empresário aparece em situações específicas, e eu as vejo acontecer. Quando há omissão consciente diante de um problema de segurança já conhecido. Quando o dado vazado é usado para fraudar terceiros e a investigação tenta entender quem permitiu, e como. Quando a empresa, no afã de minimizar o estrago, omite o incidente, manipula registros ou presta informação falsa às autoridades — e aí já se fala em outros tipos penais. O que começa como descuido técnico pode, dependendo da reação, escalar para o terreno criminal.
Há ainda um ângulo que poucos percebem. Se o seu sistema mal protegido se torna a porta de entrada para um ataque que atinge os dados de outras empresas — seus parceiros, seus fornecedores, seus clientes corporativos —, você deixa de ser apenas vítima e passa a ser o elo que falhou. As repercussões, nesse caso, são contratuais, civis e, conforme as circunstâncias, podem alcançar a esfera penal.
O que fazer antes que aconteça
Não estou dizendo para deixar de usar IA. Seria inútil e ultrapassado. Estou dizendo para usar com consciência de que velocidade não substitui proteção. Algumas medidas que oriento a qualquer pessoa que tenha construído ou pretenda construir o próprio sistema:
- Não guarde o que você não precisa. Cada dado sensível que você armazena é um passivo. Colete o mínimo necessário e descarte o que não usa.
- Exija uma revisão de segurança por gente que entende. O código gerado por IA precisa passar pelo olhar de alguém que saiba procurar chaves expostas, falhas de permissão e ausência de criptografia. Isso custa uma fração do que custa um vazamento.
- Documente suas decisões. Em uma eventual apuração, a diferença entre o empresário negligente e o empresário diligente está nos registros que mostram o cuidado que foi tomado.
- Tenha um plano para o pior. Saber a quem ligar e o que fazer nas primeiras horas de um incidente evita que o erro técnico vire erro jurídico.
Uma reflexão final
A democratização da tecnologia pela inteligência artificial é real e bem-vinda. Ela colocou nas mãos de pequenos empresários um poder que antes pertencia só a grandes empresas. Mas poder vem com responsabilidade — e, no caso dos dados de clientes, com responsabilidade prevista em lei.
O empresário que monta o próprio sistema assume, sem perceber, o papel que antes era de toda uma equipe de tecnologia e do jurídico. Reconhecer isso a tempo é o que separa quem colhe os frutos da autonomia de quem descobre, tarde demais, o tamanho da conta.
Se você construiu uma ferramenta que guarda dados dos seus clientes e nunca olhou para o lado da cibersegurança e da conformidade, vale parar agora e revisar antes que um incidente decida isso por você. É sempre mais barato proteger do que remediar.