Uma consumidora austríaca teve um contrato de telefonia de apenas dez euros mensais recusado com base em uma pontuação de crédito gerada por um sistema automatizado. Ao solicitar esclarecimentos sobre os critérios utilizados, recebeu respostas genéricas da empresa responsável pela análise, sob a justificativa de segredo comercial.
O que parecia uma situação trivial acabou se tornando o ponto de partida para uma decisão relevante do Tribunal de Justiça da União Europeia (TJUE) no caso C-203/22, envolvendo inteligência artificial e o direito à explicação em decisões automatizadas.
Conheça o JOTA PRO Poder, plataforma de monitoramento que oferece transparência e previsibilidade para empresas
O caso envolveu a Dun & Bradstreet Austria (D&B), empresa especializada em avaliação de crédito automatizada, responsável pela pontuação atribuída à consumidora. Embora não envolvida diretamente na relação contratual com a operadora de telefonia, a D&B foi responsável por realizar o profiling com base nos dados pessoais da consumidora, influenciando de forma determinante a recusa do contrato.
Inconformada com a falta de transparência, a titular levou o caso à Autoridade Austríaca de Proteção de Dados (DSB), que concluiu que a explicação oferecida era insuficiente e determinou a apresentação de informações substanciais.
A D&B, por sua vez, recorreu ao Tribunal Administrativo Federal austríaco, que confirmou o entendimento da DSB e reconheceu a violação ao artigo 15(1)(h) do Regulamento Geral de Proteção de Dados (GDPR). Após recursos da empresa e entendimentos divergentes entre instâncias administrativas e judiciais na Áustria, o Tribunal Administrativo de Viena optou por submeter o caso ao TJUE, por meio de questões prejudiciais, a fim de esclarecer a interpretação do GDPR.
As perguntas apresentadas à Corte abordaram a extensão do direito à explicação, a possibilidade de verificar a veracidade dos dados utilizados em decisões automatizadas e a compatibilidade do GDPR com normas nacionais que restringem o acesso em nome da proteção a segredos comerciais ou dados de terceiros.
Na decisão de fevereiro de 2025, o TJUE ofereceu uma interpretação ampla do artigo 15(1)(h) do GDPR. Segundo a Corte, o titular dos dados tem o direito de receber uma explicação concreta, compreensível e funcional sobre o procedimento e os princípios aplicados na tomada de decisão automatizada. O objetivo é garantir que o indivíduo compreenda como seus dados pessoais foram utilizados e em que medida influenciaram o resultado.
O Tribunal destacou que não se exige a exposição técnica do algoritmo nem o detalhamento técnico da fórmula utilizada. O foco está na efetividade do direito: garantir que o titular compreenda os fundamentos da decisão e possa, com base nisso, exercer direitos como contestação ou solicitação de intervenção humana, previstos no artigo 22(3) do GDPR. Sem essa compreensão mínima, tais garantias tornam-se meramente formais.
A Corte também enfrentou a tensão entre o direito de acesso do titular e a proteção de segredos comerciais. O TJUE rejeitou a validade de normas nacionais que, de forma automática, excluem esse direito sempre que houver alegações de confidencialidade. Em vez disso, afirmou que, quando a empresa responsável pelo tratamento invocar segredo comercial ou proteção de dados de terceiros para justificar a recusa de acesso, essa alegação não pode ser aceita de forma unilateral.
Nessas situações, cabe à Autoridade de Proteção de Dados ou ao Judiciário avaliar se a divulgação das informações é necessária e proporcional. O controlador, por sua vez, deve fornecer os dados sob alegada proteção para que essa ponderação seja feita pelas autoridades competentes.
A decisão lança luz sobre uma questão controversa para empresas que desenvolvem ou operam sistemas de IA: a explicabilidade em modelos cuja lógica decisória muitas vezes funciona como uma “caixa-preta”. Arquiteturas baseadas em aprendizado profundo operam com milhares – ou até milhões – de variáveis interdependentes, dificultando a reconstrução lógica do caminho até a decisão final, cujas ponderações escapam à racionalidade linear.
Esse cenário evidencia um dos principais pontos de fricção entre o ideal regulatório de transparência e os limites técnicos dos sistemas algorítmicos. Na prática, exigir explicações compreensíveis pode significar priorizar modelos mais simples e interpretáveis, em detrimento de sistemas mais precisos, mas menos transparentes. Trata-se de um trade-off real, com impacto direto sobre as decisões estratégicas de desenvolvimento e posicionamento de mercado.
No Brasil, a Lei Geral de Proteção de Dados (LGPD – Lei 13.709/18) também prevê, no artigo 20, o direito de revisão de decisões automatizadas e o direito de acesso a informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada.
Ao mesmo tempo, a LGPD ressalva expressamente a proteção de segredos comerciais e industriais em diversos artigos 6º, 9º, II e 20, § 1º. Esse conjunto normativo pode abrir espaço para interpretações mais pragmáticas por parte da ANPD, sobretudo diante de limitações técnicas ou riscos menores.
Esse ambiente normativo oferece margem para buscar um equilíbrio entre transparência e proteção de ativos estratégicos. Ainda assim, propostas como a PEC 29/2023 – que busca constitucionalizar o direito à transparência algorítmica – reacendem o debate sobre como estruturar esse equilíbrio de forma tecnicamente viável e juridicamente segura.
Nesse contexto, a decisão europeia serve como sinal de alerta. É possível – e até provável – que ela influencie a interpretação brasileira sobre o dever de explicação em decisões automatizadas, ampliando a expectativa de que as empresas ofereçam, ao menos, um grau mínimo de transparência. Modelos que não fornecem qualquer tipo de justificativa correm o risco de serem percebidos como excessivamente opacos, mesmo quando juridicamente amparados pela proteção da propriedade intelectual.
O desafio, portanto, não está em escolher entre transparência e inovação, mas em conciliar essas duas premissas. Cabe às empresas investir em governança algorítmica e documentação técnica que tornem seus modelos auditáveis e defensáveis. Aos reguladores, por sua vez, cabe calibrar suas exigências de forma proporcional ao impacto e aos riscos concretos de cada aplicação, evitando entraves desnecessários à inovação.
A decisão do TJUE não encerra o debate – ela inaugura uma nova fase. Em um cenário global cada vez mais atento à responsabilidade algorítmica, explicar o que se faz, ainda que de forma simplificada ou contextualizada, passa a ser não apenas uma boa prática, mas uma condição de legitimidade para operar em ambientes regulatórios que valorizam a confiança, a justiça e a transparência.
