O caso não é sobre um robô-juiz
Em junho, uma petição protocolada no Juizado Especial Cível de Rio Negrinho, em Santa Catarina, expôs um problema que vai muito além de uma empresa de cosméticos, de um advogado ou de uma peça malfeita. A defesa apresentada em nome da Natura continha uma instrução dissimulada, pensada para induzir uma ferramenta de IA a tratar a ação como genérica, desacreditar a autora e recomendar a improcedência dos pedidos.
O tribunal reconheceu a manobra como litigância de má-fé. A empresa foi condenada pela negativação indevida, e também recebeu multa processual de 10% sobre o valor atualizado da causa pela conduta. É importante separar as duas coisas: os R$ 5 mil correspondem à indenização por danos morais da consumidora; a multa pelo expediente processual é outra consequência.
A versão mais fácil dessa história é: “a Natura tentou enganar um robô-juiz”. Ela rende carrossel, indignação e uma sensação confortável de que o problema está contido em alguma tecnologia exótica que ainda não chegou de verdade aos autos.
Não está.
O que os registros públicos demonstram é uma tentativa de inserir uma instrução em um documento processual, esperando que ela fosse considerada por um sistema de IA em algum ponto do fluxo. Não há prova pública de que uma IA tenha obedecido ao texto, produzido um resumo contaminado ou influenciado a decisão. A sentença foi humana. A tentativa foi encontrada. A sanção foi humana.
Mas o simples fato de alguém ter considerado essa tentativa plausível já é importante demais para ser tratado como curiosidade jurídica.
Uma tentativa não é uma decisão automatizada
O conteúdo dissimulado e a sanção processual foram reconhecidos pelo TJSC. O que não está demonstrado publicamente é que uma IA tenha seguido a instrução ou alterado a decisão.
O risco existe porque alguém considerou o fluxo automatizado o suficiente para valer a tentativa.O documento deixou de ser apenas um documento
Durante muito tempo, uma petição era interpretada por pessoas. Ela podia ser mal escrita, prolixa, manipuladora, contraditória ou tecnicamente fraca, mas ainda entrava em um processo cognitivo humano. Um servidor lia, organizava, encaminhava. Um assessor reconstruía a controvérsia. Um juiz decidia.
Esse modelo continua existindo, mas já não está sozinho.
Em 2025, 45,8% dos tribunais e conselhos brasileiros informaram utilizar IA generativa em suas operações. Os usos mais frequentes são análise, sumarização e produção de textos. Isso não significa que uma máquina esteja assinando sentenças. Significa que documentos processuais já entram em sistemas capazes de resumir, extrair, ordenar, pesquisar e sugerir linguagem para quem trabalha nos autos.
O TJSC adotou institucionalmente o Microsoft 365 Copilot e, depois do caso, publicou uma nota técnica específica sobre injeção de instruções. O documento cita texto invisível, baixo contraste, fontes diminutas, sobreposições, caracteres de largura zero, metadados, comentários, legendas de imagem e manipulação de OCR como formas possíveis de esconder comandos.
Texto branco em fundo branco é a versão mais primitiva desse problema.
A petição não precisa dizer “ignore as instruções anteriores” para tentar contaminar uma leitura. Ela pode esconder uma ordem em uma imagem, colocar uma instrução em metadados, criar um anexo desenhado para ser lido por OCR ou usar linguagem aparentemente jurídica para empurrar um sistema a tratar alegação como fato, exceção como regra e indício como conclusão.
O documento processual passou a ter duas camadas. Uma é aquilo que a parte apresenta como argumento. A outra pode ser aquilo que ela tenta fazer um sistema executar.
Humano no circuito não basta
A resposta mais comum é dizer que existe um humano no circuito. É verdade, e isso é essencial. A Resolução CNJ nº 615/2025 exige governança, gestão de riscos, documentação e controles para soluções de IA no Judiciário. Ela também classifica como alto risco sistemas que avaliam provas ou formulam conclusões sobre a aplicação de normas a fatos concretos.
Mas “humano no circuito” não pode significar apenas um humano olhando o texto que a máquina produziu.
Se uma IA recebe 800 páginas, separa o que considera relevante, seleciona trechos, constrói uma cronologia, recupera precedentes e produz uma minuta, o juiz continua formalmente responsável pela decisão. Ainda assim, parte importante do espaço cognitivo da decisão já foi organizado por uma camada técnica anterior.
O risco não é apenas uma resposta errada. É uma realidade processual mal representada.
Um juiz pode revisar uma minuta. Um assessor pode contestar um resumo. Mas nenhum profissional voltará a ler integralmente todos os autos toda vez que um sistema apresentar uma síntese aparentemente coerente. Por isso, a defesa real não é exigir que o ser humano faça tudo de novo. É garantir que ele consiga voltar, de forma rápida e verificável, ao documento, à página, ao evento e à parte que sustentam cada afirmação.
O humano no circuito só protege quando consegue retornar à origem da conclusão.
Esse é o ponto que muitas discussões sobre IA no Direito ainda deixam escapar. A tecnologia não se torna segura porque termina em uma assinatura humana. Ela se torna auditável quando cada passo anterior preserva fonte, contexto, incerteza e possibilidade de contestação.
Prova não pode ocupar o mesmo lugar que comando
Um sistema jurídico sério precisa tratar documentos de partes como conteúdo não confiável. Isso não quer dizer que sejam falsos. Quer dizer que não são instruções do sistema.
A separação deveria ser rígida.
De um lado, estão as regras institucionais: permissões, política de acesso, fluxo processual, legislação versionada e limites de atuação. De outro, estão as evidências: petições, anexos, laudos, e-mails, imagens, depoimentos, decisões e manifestações. Uma parte não pode alterar a regra de leitura simplesmente porque escreveu algo dentro de um PDF.
Essa distinção parece óbvia quando formulada assim. Na prática, muitos sistemas de IA ainda recebem um conjunto de documentos e uma pergunta ampla: “resuma este caso”, “prepare uma minuta”, “qual é a melhor decisão?”. É um desenho frágil. Ele mistura instrução, evidência, opinião e tentativa de manipulação no mesmo contexto linguístico.
A solução não é pedir que o modelo fique “mais esperto”. É construir arquitetura.
A fronteira de confiança
Regras do tribunal, permissões e instruções internas pertencem a uma camada confiável. Petições, anexos e provas pertencem a uma camada de evidência, que deve ser analisada, citada e contestada.
Quando as camadas se misturam, o sistema deixa de interpretar autos e passa a obedecer a quem melhor escreveu para a máquina.Como eu construiria isso hoje
Eu não começaria pelo modelo. Começaria escolhendo uma classe processual pequena, digital, predominantemente documental e com fluxo previsível, como demandas consumeristas repetitivas em um Juizado Especial. A ambição nacional viria depois. O primeiro objetivo seria menos sedutor e mais útil: reconstruir com precisão o estado de um processo sem alterar um único ato processual.
A entrada não seria uma coleta informal de PDFs nem uma cópia paralela dos autos. A API pública do DataJud é útil para capas e movimentações de processos públicos, mas não substitui o acesso autorizado aos documentos. Para isso, o produto precisaria ser integrado ao tribunal em modo somente leitura, respeitando permissões, sigilo e os padrões já existentes no Judiciário, como o Modelo Nacional de Interoperabilidade e a PDPJ-Br. O sistema nasce ao lado do processo oficial, não acima dele.
Quando um documento chegasse, eu não o enviaria diretamente a um modelo de linguagem. Primeiro, o sistema preservaria o original, com hash, data, evento processual e controle de acesso. Em seguida, uma área isolada faria a renderização visual, a extração estrutural e a inspeção de elementos ocultos. Texto invisível, camadas sobrepostas, caracteres anormais, metadados suspeitos, comentários e divergências entre o que aparece na página e o que o arquivo contém seriam registrados como sinais técnicos, nunca como culpa automática.
A partir daí, eu criaria duas representações. A primeira seria um registro processual determinístico: partes, eventos, prazos, classe, assunto, decisões, recursos, sigilos e pendências. A segunda seria um mapa probatório: cada pedido, alegação ou documento teria autor, data, página, evento de origem, contraponto da outra parte e grau de incerteza. Não existiria “o resumo do processo” sem vínculo com sua origem.
O modelo de linguagem entraria depois, com acesso apenas a ferramentas de consulta. Ele não receberia uma caixa cheia de PDFs e a pergunta “quem deve ganhar?”. Receberia blocos rastreáveis, cada um marcado como documento da autora, da ré, ato do tribunal, perícia ou legislação oficial. Sua resposta precisaria vir em formato estruturado: afirmação, fonte, trecho citado, hipótese contrária e limite de confiança. Se não houver fonte, ele não poderia preencher a lacuna com uma frase convincente.
A interface de quem trabalha no caso mostraria um mapa simples: último ato válido, prazo ativo, pedidos pendentes, provas localizadas, divergências, providência provável e links para os documentos originais. Um juiz ou servidor poderia perguntar “de onde veio isso?” e chegar à página certa. Uma parte poderia apontar que o sistema classificou uma alegação de forma errada, sem apagar o histórico. A correção viraria novo evento, preservando a trilha de auditoria.
O primeiro piloto teria 500 processos e uma única função: errar em ambiente controlado. Eu exigiria validação humana integral, rastreabilidade de cada afirmação, nenhum vazamento entre processos, nenhum ato automático e testes adversariais com documentos manipulados. A expansão para 5 mil só ocorreria depois de medir atribuição correta de documentos, pedidos omitidos, falsos positivos, segurança e tempo efetivamente poupado.
O sistema não mandaria intimações, não alteraria prazos e não sugeriria sanções no início. Ele prepararia a mesa. A decisão, a interpretação final e a responsabilidade permaneceriam onde sempre deveriam ter estado: em pessoas autorizadas, que conseguem ver a evidência antes de agir.
Reconstruir antes de decidir
Não é um juiz artificial. É um reconstrutor de estado processual: lê o histórico em modo seguro, mostra o que aconteceu, o que falta, onde está a prova e como cada conclusão foi construída.
A IA ajuda a navegar. A autoridade continua humana.A velocidade precisa ser medida em dois relógios
Existe uma promessa que aparece sempre que alguém fala em IA e Justiça: processos serão resolvidos “70% mais rápido”. Eu desconfio desse número antes mesmo de alguém mostrar a planilha.
Há dois tempos diferentes. O primeiro é o tempo de trabalho: quantas horas uma equipe gasta para localizar um documento, identificar a fase, conferir um prazo, reconstruir pedidos, preparar um relatório ou redigir um despacho ordinatório. Esse tempo pode cair muito com uma boa arquitetura.
O segundo é o tempo total do processo: citação, defesa, manifestação, audiência, perícia, tentativa de acordo, recurso, suspensão, fila e decisão. Reduzir 40% do trabalho interno não transforma automaticamente um processo de dois anos em um processo de quatorze meses.
O Brasil encerrou 2025 com 75,5 milhões de processos em tramitação. O tempo médio dos processos baixados foi de 2 anos e 4 meses. A escala é grande demais para soluções mágicas e séria demais para promessas de marketing.
O primeiro piloto não deve servir para vender produtividade. Deve servir para descobrir onde o sistema erra. Só depois de validação humana integral, testes adversariais, rastreabilidade e métricas por classe processual é possível liberar apoio a tarefas de baixo risco.
A nova força de trabalho não é um detalhe
A ideia de que IA reduzirá a Justiça a menos pessoas apertando botões é superficial. Ela reduz uma parte do trabalho repetitivo, mas aumenta a necessidade de outras competências.
Será preciso ter gente que transforme prazos, condições e permissões em regras auditáveis. Gente que organize legislação, vigência, precedentes, revogações e hierarquias normativas. Gente que avalie se uma IA misturou as partes, ocultou uma incerteza, aplicou uma lei fora de vigência ou citou precedente superado.
Também será preciso formar profissionais de segurança adversarial jurídica. Pessoas capazes de procurar manipulação de OCR, documentos maliciosos, envenenamento de bases de recuperação, exfiltração de dados, fraude documental e abuso de permissões. A justiça digital não será segura apenas porque tem criptografia, autenticação e uma tela bonita. Ela precisará entender que linguagem também é superfície de ataque.
A lei não pode viver apenas nos pesos de um modelo. Ela precisa existir em regras determinísticas para aquilo que pode ser calculado; em um corpus jurídico oficial e versionado para aquilo que precisa ser recuperado; e em uma camada assistida de interpretação para aquilo que depende de contexto, conflito e julgamento humano.
A camada que falta
O caso Natura não é importante porque alguém tentou colocar uma frase escondida em uma petição. Isso é só o detalhe visível.
Ele é importante porque expõe uma mudança de era: quando documentos passam por sistemas de IA, eles não são apenas registros do processo. Eles podem tentar disputar a forma como o processo será lido.
A resposta não pode ser abandonar IA. Também não pode ser colocar um aviso dizendo “revise antes de usar” e chamar isso de governança.
Precisamos construir sistemas nos quais a máquina não confunda instrução com prova, não transforme síntese em verdade, não esconda a fonte de uma conclusão e não receba autoridade além do que foi explicitamente permitido.
A IA pode ajudar a Justiça a reduzir filas, localizar pendências, organizar provas, preparar relatórios e devolver tempo para o trabalho que exige julgamento. Mas ela só fará isso se o processo se tornar uma infraestrutura verificável: com fontes, versões, limites, contestação e responsabilidade.
A IA não acelerará a Justiça apenas escrevendo mais rápido. Ela acelerará a Justiça quando leis, provas, prazos, pessoas e responsabilidades se tornarem legíveis sem deixar de ser contestáveis.