CNJ alerta que agentes de IA podem vazar dados de processos judiciais

O alerta partiu de dentro do próprio CNJ

Em reportagem publicada pelo g1 em 14 de novembro de 2026, o juiz federal George Marmelstein, integrante do Comitê Nacional de Inteligência Artificial do Judiciário, afirmou que o Conselho Nacional de Justiça (CNJ) já percebe sinais de vulnerabilidade em sistemas de IA usados pelos tribunais. O alvo da preocupação são os chamados agentes de IA: programas capazes de executar tarefas sozinhos, sem que uma pessoa aprove cada passo.

Marmelstein diz não conhecer, até agora, nenhum caso comprovado de vazamento por esse tipo de ataque na Justiça brasileira. Mas o aviso vale também para quem está fora dos tribunais: a secretária jurídica que resume petição e organiza processo todo dia já usa, ou vai usar, o mesmo tipo de ferramenta que preocupa o CNJ.

A diferença entre pedir uma resposta e deixar a IA agir sozinha

Quando a secretária cola um trecho de petição num chat e pede um resumo, ela está no modelo mais simples: a IA responde, e é ela quem decide o que fazer com aquele resumo. Se alguém escondeu uma instrução maliciosa dentro do texto colado, ainda cabe a ela perceber o problema antes de usar a resposta.

Um agente de IA vai além. Ele recebe permissão para agir sozinho: abrir arquivo, preencher formulário, mandar e-mail, atualizar um sistema, sem que ninguém confirme cada etapa. Se esse agente for manipulado, a ação já pode ter acontecido quando alguém perceber, e é esse tipo de ferramenta, cada vez mais comum em sistemas de gestão de processo, que preocupa o CNJ.

Os agentes apertam botões, executam códigos, criam documentos. Eles têm essa questão do fazer. E, ao fazer, pode haver uma influência para que ele rode um código [de um programa] e esse código seja malicioso, no sentido, por exemplo, de pegar suas credenciais, pegar seus dados. E isso é um risco maior.

George Marmelstein, juiz federal e integrante do Comitê Nacional de Inteligência Artificial do Judiciário (CNJ)

O comando escondido que já rendeu multa em tribunal

O risco não é teórico. Uma reportagem do Fantástico exibida em 1º de novembro de 2026 mostrou advogados escondendo instruções dentro de petições para tentar influenciar a IA usada por juízes. A técnica, chamada de prompt injection (injeção de comando), esconde um texto invisível ao olho humano, como letra branca em fundo branco, fonte minúscula ou código embutido no arquivo, que a IA lê como se fosse uma ordem legítima.

Foram identificados 83 episódios desse tipo, e a prática já resultou em multas no STJ e no STF, de R$ 5 mil, R$ 20 mil e até 10% do valor da causa. O presidente do STJ, Luis Felipe Salomão, detalhou em evento no dia 11 de novembro de 2026 que a corte varreu quase 6 milhões de peças processuais, achou 116 casos suspeitos e confirmou 40 deles após análise humana: um caso a cada 150 mil peças.

Para quem organiza processo no escritório, o paralelo é direto: um PDF recebido da parte contrária, de um cliente ou até de um tribunal pode trazer, sem que ninguém perceba ao abrir o arquivo, uma instrução escondida pensada para confundir a próxima IA que ler aquele documento.

O que muda em três tarefas da rotina

As tarefas mais comuns de quem organiza processo e resume petição pedem atenção em graus diferentes:

• Colar trecho de processo num chat para pedir resumo ou explicação: risco baixo se o texto for só colado e lido por uma pessoa depois, mas o cuidado começa antes, na hora de decidir o que pode ser colado (veja a seção sobre dados de cliente).
• Pedir que a IA organize ou classifique várias peças de um processo: o risco sobe se a ferramenta tiver permissão para mover arquivo, renomear pasta ou atualizar um sistema sozinha, sem revisão antes.
• Transcrever e resumir audiência com uma ferramenta que já integra agenda, e-mail ou sistema do escritório: é o cenário de maior atenção, porque combina documento externo, que pode trazer instrução escondida num anexo, com permissão de ação automática.

O cuidado com dado de cliente não é opcional

Nenhum trecho de processo sob segredo de justiça, dado de cliente ou informação sigilosa deve ir para uma ferramenta de IA sem que o escritório tenha checado o contrato dela antes. Isso significa verificar, antes de qualquer colagem de texto, se o fornecedor assina um contrato de confidencialidade ou de processamento de dados, e se garante que o conteúdo não é usado para treinar o modelo.

Esse ponto está no centro do debate regulatório. A professora Ana Frazão, da Universidade de Brasília (UnB), questiona o uso de plataformas comerciais como ChatGPT, Claude, Copilot e Gemini em casos sensíveis, pela dificuldade de fiscalizar o que acontece com o dado depois de enviado. Para ela, o CNJ deveria restringir esse uso, e não apenas permitir com ressalvas.

Como ajustar o fluxo sem travar o trabalho

O especialista em cibersegurança Matheus Vasconcelos defende um princípio simples para qualquer ferramenta automatizada: dar acesso só ao que a tarefa exige.

Um agente encarregado de resumir um processo deveria receber apenas os documentos necessários para aquela tarefa. Não há motivo para ele ter, por padrão, acesso a outros processos ou autorização para enviar mensagens e alterar registros.

Matheus Vasconcelos, especialista em cibersegurança

Na prática, isso vira uma checagem simples antes de habilitar qualquer ferramenta nova no escritório:

1. A ferramenta só precisa ler o documento, ou também precisa de permissão para enviar e-mail, mover arquivo ou acessar outros processos? Se a resposta for a segunda, restrinja o acesso ao mínimo necessário.
2. Documentos recebidos de fora, como petição da parte contrária ou anexo de e-mail, passam por uma checagem visual rápida antes de ir para a IA? Formatação estranha, cor de fonte igual ao fundo ou blocos muito pequenos merecem atenção redobrada.
3. O que a IA rascunha, uma pessoa revisa: todo resumo, transcrição ou organização que ela produz é conferido por alguém antes de virar peça oficial, e-mail enviado ou atualização no sistema do processo. Essa revisão é o que separa o uso útil da ferramenta do risco apontado pelo CNJ.
4. O fornecedor da ferramenta tem contrato de confidencialidade com o escritório? Sem isso, dado de cliente não entra ali, mesmo que a tarefa pareça inofensiva.

O que ainda está em aberto

O CNJ aprovou, em maio de 2026, o Programa de Segurança Adversarial para Sistemas de Inteligência Artificial do Poder Judiciário (PROSEG-IA), voltado a esse tipo de ataque, e editou em junho de 2026 orientações específicas sobre comandos ocultos. Um relatório da FGV Direito SP, publicado em 2026, aponta que ainda faltam padrões mínimos de auditoria e mecanismos de fiscalização entre os diferentes atores do sistema de justiça e do mercado jurídico.

Para quem trabalha no dia a dia com processo, isso quer dizer que a responsabilidade de checar documento suspeito e revisar o que a IA entrega continua sendo, por enquanto, humana. A regra vale tanto para o juiz que assina a decisão quanto para a secretária que organiza a petição antes dela chegar à mesa dele.

Fonte: g1.globo.com