A inteligência artificial já faz parte da rotina de muitas organizações e começa a mudar também a forma como as investigações internas são conduzidas. Hoje, essas ferramentas ajudam a triar denúncias, revisar documentos, montar cronologias, identificar padrões e resumir entrevistas. Em alguns casos, ajudam até a redigir o relatório final. Os ganhos de agilidade são evidentes, mas a tecnologia não elimina os riscos tradicionais de uma investigação. Pelo contrário, acrescenta novos: como preservar a confidencialidade, garantir a autenticidade das evidências, proteger dados pessoais, assegurar a qualidade das conclusões e definir quem responde por elas. Para o investigador, portanto, a questão central não é decidir se a IA deve ou não ser usada, e sim definir em quais situações ela pode ser empregada, com quais controles e sob qual nível de supervisão humana.
Esse debate deixou de ser apenas técnico e passou a fazer parte da agenda regulatória. Em setembro de 2024, o Departamento de Justiça dos Estados Unidos atualizou o documento Evaluation of Corporate Compliance Programs (ECCP) e incluiu perguntas específicas sobre o uso de novas tecnologias, entre elas a inteligência artificial. Os procuradores passaram a ser orientados a verificar uma série de pontos: se a empresa avaliou os riscos associados à IA e os integrou à gestão corporativa de riscos; quais controles existem para evitar o uso indevido, imprudente ou deliberado da tecnologia; se os sistemas são monitorados e testados; como a organização verifica a confiabilidade dos resultados; qual o papel reservado à decisão humana; como a responsabilidade pelo uso da ferramenta é atribuída, acompanhada e fiscalizada; e se os empregados receberam treinamento adequado.
A orientação também reforça que a área de Compliance deve ter acesso tempestivo aos dados e aos recursos analíticos necessários para monitorar riscos e conduzir investigações. Uma estrutura investigativa sem esse acesso pode ser vista como subdimensionada ou incapaz de atuar de forma efetiva. Isso cria uma dupla exposição: a organização pode ser questionada tanto por não usar os recursos tecnológicos disponíveis quanto por usá-los sem governança, validação e controles suficientes.
O primeiro risco que o investigador precisa ter em mente é o de resultados incorretos apresentados como fatos. Ferramentas de IA podem gerar respostas convincentes, mas erradas. Em uma investigação, isso pode significar atribuir a alguém uma declaração que nunca foi feita, omitir uma informação favorável ao investigado ou tratar uma inferência como se fosse evidência. Um resumo automatizado de entrevista pode alterar o sentido de uma resposta ou suprimir uma ressalva importante. Se esse conteúdo embasar uma medida disciplinar, uma rescisão contratual ou uma comunicação às autoridades, a organização se expõe a riscos de credibilidade e de responsabilização. A regra prática é clara: nenhum resumo, classificação ou conclusão produzidos por IA deve entrar no arquivo da investigação sem conferência humana com o material original. E essa revisão precisa ser documentada, registrando quem fez a verificação, onde está a fonte consultada, quais correções foram feitas, quais limitações foram identificadas e quando a revisão aconteceu.
O risco inverso também existe: documentos relevantes que passam despercebidos. A IA pode ter dificuldade para reconhecer jargões, linguagem cifrada, ironia, eufemismos ou informações cujo significado depende do contexto. Um documento aparentemente irrelevante, analisado em conjunto com outros elementos, pode ser decisivo para o caso. Por isso, o resultado de uma ferramenta não deve ser tratado como um retrato completo do universo probatório, e a ausência de um alerta automatizado não significa que o documento não importe. Antes de adotar uma solução, é recomendável homologá-la com testes prévios de precisão e abrangência, amostragem dos documentos classificados e análise de falsos positivos e falsos negativos. Durante o uso, casos ambíguos ou de difícil classificação devem passar por revisão humana, e a ferramenta deve ser validada especificamente para os temas, idiomas e padrões de comunicação relevantes ao caso.
A confidencialidade é outra frente sensível. Carregar documentos investigativos em uma ferramenta de terceiros pode levar à divulgação indevida de memorandos de entrevistas, estratégias jurídicas, dados pessoais, informações de clientes, segredos comerciais e documentos protegidos por sigilo profissional. O problema vai além do vazamento em si: sem as salvaguardas adequadas, o compartilhamento de informações confidenciais com um fornecedor externo pode ser interpretado como renúncia ao privilégio entre advogado e cliente. A proteção, portanto, precisa ser avaliada antes do primeiro carregamento, e não depois que os dados já foram compartilhados. A equipe deve saber, por exemplo, se o fornecedor retém os dados inseridos, quem pode acessar esse conteúdo (inclusive para manutenção, suporte técnico ou controle de qualidade), onde as informações ficam armazenadas e quais obrigações de confidencialidade e segurança constam do contrato.
Os próprios comandos dados à ferramenta, os chamados prompts, também merecem atenção. Eles podem revelar hipóteses investigativas, linhas de raciocínio e conclusões preliminares. Uma instrução como “identifique evidências de que determinado empregado sabia da irregularidade” sugere uma investigação voltada a confirmar uma hipótese, e não a examinar de forma objetiva diferentes possibilidades. Além disso, prompts, resultados, registros de acesso e versões de documentos podem se tornar relevantes em processos judiciais, auditorias ou investigações de autoridades. Cabe aos investigadores usar uma linguagem equilibrada e estabelecer regras claras para a elaboração dos prompts, o armazenamento das interações relevantes, a preservação dos resultados, o controle de acesso, a retenção e o descarte, além da separação entre informações pessoais, privilegiadas e investigativas.
Há ainda um risco menos visível, mas igualmente sério: o enfraquecimento do julgamento profissional. O ganho de velocidade pode estimular uma dependência excessiva da tecnologia, e o profissional que antes lia os documentos críticos e avaliava diretamente as evidências pode passar a confiar apenas em resumos automatizados. A IA deve apoiar o trabalho investigativo, não o substituir. Continua sendo papel do investigador analisar contexto e credibilidade, definir o escopo da investigação, formular hipóteses de forma independente, identificar dados, documentos ou declarações que possam afastar, reduzir ou pôr em dúvida a responsabilidade do investigado e, por fim, concluir o caso. Para isso, treinamento e supervisão são indispensáveis: a equipe precisa conhecer as capacidades, as limitações e os erros mais comuns da ferramenta que utiliza.
A inteligência artificial não é apenas um instrumento da investigação. Cada vez mais, ela também está no centro da conduta investigada. Inserir dados de clientes ou segredos comerciais em ferramentas não autorizadas, criar comprovantes, aprovações ou documentos falsos, apresentar material gerado por IA como se tivesse sido validado, usar ferramentas não aprovadas em processos corporativos, fazer alegações comerciais ou regulatórias sem comprovação e ocultar falhas, vieses ou limitações conhecidas de um sistema são exemplos de ocorrências que já precisam estar previstas nas categorias do canal de denúncias, nas políticas internas e nos procedimentos de investigação. Nesses casos, a preservação de evidências deve incluir os prompts, os resultados gerados, os registros de acesso e os logs dos sistemas envolvidos.
A disseminação de conteúdos sintéticos, como áudios, vídeos, imagens, mensagens e e-mails produzidos artificialmente, exige também uma mudança de postura em relação às evidências digitais. A aparência de um arquivo já não basta para comprovar sua autenticidade. Diante de uma prova potencialmente manipulada, o investigador deve preservar o arquivo original, identificar sua origem e seu contexto, analisar metadados, documentar a cadeia de custódia, comparar o material com registros independentes, coletar as versões existentes nos sistemas corporativos e, quando necessário, recorrer a especialistas em forense digital. A autenticação deixou de ser uma etapa excepcional e, em determinados casos, deve fazer parte do planejamento regular da investigação.
Uma função investigativa preparada para esse cenário precisa estruturar, no mínimo, seis frentes. A primeira é avaliar os riscos associados ao uso da IA, tanto no negócio quanto na própria investigação. A segunda é estabelecer governança, com usos permitidos, ferramentas aprovadas, níveis de autorização e critérios de escalonamento. A terceira é proteger dados pessoais, informações confidenciais, privilégios e segredos comerciais. A quarta é registrar os prompts relevantes, os resultados, as revisões humanas, as fontes e as limitações. A quinta é incorporar o uso indevido de IA, os deepfakes e os vazamentos de dados aos mecanismos de monitoramento e denúncia. A sexta é capacitar investigadores, gestores e demais profissionais para o uso responsável da tecnologia. Antes de inserir qualquer documento em uma ferramenta, o investigador deveria responder a uma pergunta básica: a organização conseguirá explicar e comprovar, mais tarde, como a IA foi utilizada, e de que forma o resultado foi validado?
A inteligência artificial pode ampliar muito a capacidade de investigação, especialmente diante de grandes volumes de dados e comunicações. Velocidade e escala, porém, não substituem confiabilidade, independência e julgamento profissional. O uso responsável da tecnologia se apoia em três princípios: finalidade definida, supervisão humana e documentação suficiente. A empresa deve ser capaz de demonstrar quais dados foram usados, qual ferramenta foi empregada, quem revisou os resultados e como as conclusões foram confirmadas, porque o registro produzido hoje poderá ser examinado amanhã por autoridades, tribunais, auditores ou reguladores. A pergunta decisiva, no fim, não é apenas se a IA ajudou na investigação, mas se a organização consegue provar que seu uso foi proporcional, seguro, verificável e compatível com os padrões de integridade que se esperam dela.
Daniela Aggio é Diretora Executiva de Forensics & Integrity da Protiviti, Professora da FIA Business School
Jefferson Kiyohara é Diretor de Forensics & Integrity| Compliance & ESG Sr. Advisor da Protiviti, CCEP-I, Professor da FIA Business School
