A Vanguarda das Normas Internas de IA que as Empresas Globais Devem Estabelecer: Governança e Estratégia de Expansão em Filiais no Estrangeiro

Em Reiwa 7 (2025), a implementação social da IA generativa está a progredir de forma acelerada, e a elaboração de “regulamentos internos de IA” para as empresas no Japão evoluiu de uma simples medida de mitigação de riscos para uma base de gestão crucial que influencia a competitividade global.

Para organizações que expandem os seus negócios no exterior, não basta apenas seguir as leis e diretrizes dentro do Japão. É essencial compreender e adaptar-se precisamente à complexa rede de requisitos legais transfronteiriços, como a Lei de IA da UE (EU AI Act) na Europa, as Medidas Provisórias de Gestão de IA Generativa da China, e as diversas legislações de proteção de dados em vigor nos diferentes estados dos EUA.

Este artigo organiza os desafios específicos enfrentados por empresas japonesas com filiais no exterior, detalhando métodos estratégicos de agrupamento de filiais com base nas semelhanças entre as legislações de proteção de dados de cada país. Além disso, aborda diretrizes para a conceção de “regulamentos internos de IA” que conciliem de forma eficaz a velocidade de expansão com a conformidade, baseando-se nas mais recentes diretrizes públicas e conhecimentos práticos.

A Necessidade e o Significado Estratégico das Normas Internas de IA na Expansão Global sob a Perspectiva Japonesa

No ambiente de negócios moderno, a IA generativa tornou-se uma infraestrutura indispensável para a eficiência operacional, redução de custos e aprimoramento da tomada de decisões. De acordo com o Relatório de Comunicações e Informações do Ano Reiwa 6 (2024), mais de 90% das empresas em países como os Estados Unidos, Alemanha e China utilizam IA generativa em alguma forma de operação. Em contraste, a taxa de utilização entre as empresas japonesas é de cerca de 70%, indicando uma diferença significativa no nível de adoção internacional. Para superar essa disparidade e garantir uma vantagem no mercado global, é urgente que as organizações, incluindo suas filiais no exterior, estabeleçam “normas internas de IA”.

https://monolith.law/corporate/establishment-of-ai-internal-regulations

Um dos maiores riscos enfrentados por empresas com filiais no exterior é o problema do “shadow AI”, onde os funcionários utilizam IA sem a autorização da empresa. Especialmente no exterior, onde a utilização de IA está frequentemente mais avançada do que no Japão, a ausência de normas internas robustas pode levar a vazamentos inesperados de informações para fora do país ou a pesadas multas por violação das rigorosas leis locais de proteção de dados. Por exemplo, nas operações dentro da UE, a utilização de IA considerada de “risco inaceitável” pelo Regulamento de IA da UE será proibida a partir de fevereiro do Ano Reiwa 7 (2025), e a violação pode resultar em multas de dezenas de milhões de euros.

Portanto, as “normas internas de IA” em empresas globais devem funcionar não apenas como uma tradução de regras domésticas, mas como um “mecanismo de governança” que simboliza um sistema de governança internacional. A estratégia de implementação de uma estrutura de dois níveis, composta por uma “Política Global Central” e um “Adendo Local (regulamentos adicionais por região)”, que mantém a governança da sede no Japão enquanto se adapta de forma flexível às regulamentações locais de cada país, está se tornando o padrão na prática jurídica global atual.

Conceito de Design das Normas Internas de IA para Controlar Riscos Legais em Filiais no Exterior no Japão

Ao projetar “Normas Internas de IA” com foco na expansão global, é essencial compreender que os riscos associados ao uso de IA generativa são interpretados legalmente de maneira diferente em cada região. Os três principais riscos—vazamento de informações, violação de direitos e alucinações—devem ser redefinidos no contexto internacional.

Em relação ao risco de vazamento de informações, há sempre o perigo de que informações confidenciais ou pessoais inseridas em prompts sejam reutilizadas como dados de aprendizado de IA e, inadvertidamente, vazem para terceiros. O caso em que engenheiros da Samsung Electronics na Coreia do Sul inseriram código-fonte confidencial em uma IA, resultando em vazamento, chocou organizações em todo o mundo. Situações como essa não apenas fazem com que a proteção como “segredo comercial” sob a Lei de Prevenção de Concorrência Desleal do Japão seja perdida, mas também constituem uma violação grave de acordos de confidencialidade (NDA) firmados com outras empresas. Além disso, sob legislações estrangeiras como o GDPR (Regulamento Geral sobre a Proteção de Dados), o uso de informações pessoais para “aprendizado” pode ser considerado uso indevido, sujeito a penalidades severas.

No que diz respeito à violação de direitos, especialmente os riscos de direitos autorais, as questões centrais são a responsabilidade por infração quando produtos gerados por IA se assemelham a obras de terceiros e a atribuição de direitos autorais aos próprios produtos gerados por IA. O artigo 30-4 da Lei de Direitos Autorais do Japão reconhece amplamente o aprendizado para fins de análise de informações, mas se, na fase de geração, houver dependência de uma obra específica e for reconhecida semelhança, constitui infração. Em contraste, nos Estados Unidos, disputas judiciais continuam sob a perspectiva do uso justo, enquanto na China, decisões judiciais têm reconhecido certos direitos autorais para produtos gerados por IA, mostrando que as decisões judiciais internacionais são voláteis. Nas “Normas Internas de IA” globais, é recomendável incorporar um fluxo operacional que considere essas diferenças regionais e adote os padrões mais rigorosos.

Quanto ao risco de alucinação, ou seja, o fenômeno em que a IA cria mentiras plausíveis, há preocupações sobre difamação em comunicações externas e responsabilidade por danos decorrentes de decisões baseadas em dados incorretos. Conforme enfatizado nas “Diretrizes para Operadores de IA” do Ministério de Assuntos Internos e Comunicações e do Ministério da Economia, Comércio e Indústria do Japão, a incorporação do princípio “Human-in-the-loop”, onde a decisão final envolve intervenção humana, nas “Normas Internas de IA” é uma condição mínima para garantir a segurança global.

Agrupamento Estratégico das Leis de Proteção de Dados de Cada País e Regulamentos Internos de IA no Japão

Para acelerar a expansão internacional, é eficiente agrupar os países de destino de acordo com a natureza das suas regulamentações legais e estabelecer prioridades de resposta. Considerando o cenário internacional atual em Reiwa 7 (2025), é possível organizar esses países em quatro grupos principais.

Grupo de Regulamentação Estrita em Conformidade com o GDPR (UE, Reino Unido, Tailândia, etc.)

Este grupo caracteriza-se por uma proteção de privacidade extremamente rigorosa, modelada pelo GDPR da União Europeia (UE), e por uma regulamentação abrangente e pioneira em relação à IA, conhecida como Lei de IA da UE. Aqui, é fortemente exigido o consentimento explícito do titular dos dados e a Avaliação de Impacto sobre a Proteção de Dados (DPIA) desde a coleta até o processamento e transferência internacional de dados.

Além disso, a Lei de IA da UE adota uma abordagem baseada em riscos, classificando os sistemas de IA de acordo com o seu risco, impondo obrigações de transparência extremamente rigorosas e avaliações de conformidade para aqueles considerados de alto risco. Devido aos elevados custos de conformidade associados ao uso de IA nas localizações pertencentes a este grupo, é prioritário realizar a localização detalhada das “Normas Internas de IA”.

Grupo de Reforço Único e Foco na Segurança Nacional (China, Vietnã, etc.)

Este grupo implementa regulamentações únicas que enfatizam a “segurança nacional” e o “interesse público”, além da proteção da privacidade individual, como exemplificado pela Lei de Proteção de Informações Pessoais da China (PIPL) e pelas Medidas Provisórias para a Administração de Serviços de IA Generativa. Caracteriza-se pela obrigação de registro de algoritmos de IA, rigorosa supervisão sobre o conteúdo gerado e a obrigação de armazenamento de dados no país (localização de dados).

Nos escritórios deste grupo, não é suficiente aplicar apenas o “Regulamento Interno de IA” da sede no Japão. É necessário desenvolver um fluxo operacional específico que esteja alinhado com os riscos políticos locais e as diretrizes mais recentes das autoridades, além de estabelecer um sistema de auditoria regular.

Opt-out e Grupos de Defesa dos Direitos dos Consumidores (Estados dos EUA e outros)

Este grupo dá ênfase aos direitos dos consumidores, como a eliminação de dados ou a solicitação de cessação de vendas, representado por leis como a Lei de Privacidade do Consumidor da Califórnia (CCPA/CPRA). Nos Estados Unidos, não existe uma lei de privacidade unificada a nível federal, resultando em regulamentações estaduais que formam um mosaico. Além disso, no que diz respeito à regulamentação da IA, há uma situação complexa de confronto entre a postura de flexibilização do governo federal e a tendência de reforço das regulamentações pelos governos estaduais.

Neste contexto, é necessário projetar “regulamentos internos de IA” flexíveis que estejam alinhados com os padrões mais rigorosos, como os do estado da Califórnia, assumindo que a estabilidade jurídica é baixa.

Grupo de Regulamentação Flexível e Emergente (Japão, algumas partes da ASEAN, América do Sul, etc.)

Assim como no Japão, esta é uma região que promove a “governança ágil” através de diretrizes e autorregulação (soft law), em vez de imposições legais rígidas (hard law). As barreiras legais para o uso de IA são relativamente baixas, facilitando a realização de experimentos e a implementação inicial.

Esses locais são priorizados como “casos piloto de uso de IA” na expansão global, e a estratégia eficaz é disseminar gradualmente o know-how acumulado e o conhecimento sobre medidas de segurança para outros grupos com regulamentações mais rigorosas.

Regras Básicas para Regulamentos Internos de IA que Equilibram Velocidade de Implementação e Conformidade no Japão

Para que empresas globais possam implementar IA rapidamente em várias partes do mundo, é essencial projetar regras básicas que considerem uma “liberação gradual”, em vez de impor regras perfeitas desde o início em todas as localidades.

Na fase inicial de implementação, é importante estabelecer uma regra extremamente simples e rigorosa como princípio comum em todas as localidades: “proibição total de entrada de informações pessoais e informações confidenciais significativas”. Isso permite que, mesmo antes de concluir análises legais complexas em cada país, se evitem vazamentos de informações críticas e violações legais, enquanto se inicia o uso básico da IA (como criação de documentos gerais, tradução e agregação de informações públicas).

Na fase seguinte, avança-se para a “personalização (lista branca)” de acordo com a alta demanda de negócios e o baixo risco. Por exemplo, no departamento de marketing, permite-se a entrada de dados de atributos específicos de clientes apenas quando há garantias técnicas de que os dados de entrada não serão usados para o aprendizado da IA, como em planos pagos para empresas ou uso via API com configuração de exclusão (opt-out). Nesse processo, é crucial incorporar nos “regulamentos internos de IA” um “fluxo de trabalho de solicitação e aprovação”, onde os responsáveis de TI e jurídicos de cada localidade verificam a situação local e obtêm aprovação da sede, mantendo assim a governança sem comprometer a velocidade de implementação.

Além disso, na expansão global, é importante esclarecer a “responsabilidade”. Nos “regulamentos internos de IA”, deve-se especificar que os resultados das operações baseadas nos resultados gerados pela IA são de total responsabilidade dos funcionários locais e do departamento ao qual pertencem, posicionando a IA como uma “ferramenta auxiliar”. Isso aumenta a resiliência organizacional em caso de problemas inesperados.

Estratégias Concretas para Regulamentos Internos de IA em Resposta às Novas Normas da Lei de IA da UE

Para as empresas japonesas que expandem seus negócios no exterior, a aplicação extraterritorial da Lei de IA da UE é a questão mais urgente a ser abordada no ano de Reiwa 7 (2025). Esta legislação aplica-se não apenas às empresas com sede na UE, mas também aos sistemas de IA oferecidos dentro da UE e aos resultados desses sistemas utilizados no território da UE.

Ao incorporar a conformidade com a Lei de IA da UE nos “Regulamentos Internos de IA”, é crucial o processo de “inventário e classificação de ativos de IA”. As empresas são obrigadas a identificar a qual dos quatro níveis de risco definidos pela lei (inaceitável, alto risco, limitado, mínimo) seus sistemas de IA pertencem. Especialmente para aqueles classificados como “IA de alto risco”, utilizados em decisões de emprego, educação, serviços financeiros e gestão de infraestrutura, é estritamente obrigatório realizar avaliações de conformidade, estabelecer sistemas de controle de qualidade, manter registros e garantir a supervisão humana.

Além disso, nas operações na China, é importante observar que, desde Reiwa 5 (2023), ao fornecer serviços de IA de natureza pública, é necessário registrar algoritmos e realizar avaliações de segurança, conforme estipulado pelo “Regulamento Provisório de Gestão de Serviços de IA Gerativa”. Nos “Regulamentos Internos de IA” na China, é vital estabelecer fluxos de registro junto às autoridades e incluir cláusulas que restrinjam rigorosamente a entrada de informações classificadas como “dados centrais” ou “dados importantes” da China, para garantir a continuidade dos negócios.

Aprimoramento e Prática de Regulamentos Internos de IA Através de Colaboração com Escritórios de Advocacia no Exterior

Para garantir que os “Regulamentos Internos de IA” globais não se tornem meramente formais, mas sim eficazes, é essencial que o departamento jurídico da sede no Japão não os elabore de forma isolada. Em vez disso, deve-se estabelecer um “sistema de co-elaboração e operação” em estreita colaboração com escritórios de advocacia locais.

O primeiro passo prático é, com base nos “Regulamentos Internos de IA” e diretrizes elaborados no Japão, identificar os “pontos críticos” que precisam de ajustes à luz dos sistemas legais de cada país. Por exemplo, é necessário destacar partes onde a perspectiva única do Japão é forte, como critérios de julgamento para o uso de IA, definição de informações confidenciais e a relação com regulamentos de trabalho sobre medidas disciplinares. Deve-se então formular perguntas específicas para advogados locais, como “Esta operação viola as leis trabalhistas ou de privacidade locais?”

Em seguida, solicita-se uma estimativa e suporte de colaboração ao escritório de advocacia local (ou parceiro existente). Neste momento, é importante não apenas delegar a tarefa com um simples “Por favor, verifique as leis”, mas comunicar com precisão o modelo de negócios da empresa e os cenários de uso da IA (por exemplo, análise de dados de clientes europeus com IA no Japão) para obter uma avaliação de risco concreta. Além disso, na expansão multilíngue, vale a pena considerar não apenas instruções para tradução para o inglês ou idiomas locais, mas também o método de “retrotradução” para garantir que as nuances legais sejam transmitidas com precisão.

Escritórios como o Monolith, especializados em TI e direito global, atuam como um hub entre esses escritórios de advocacia no exterior, ajudando a clarificar instruções, otimizar custos e fornecer feedback das regras locais extraídas para os regulamentos da sede no Japão, apoiando assim a construção de “Regulamentos Internos de IA” que funcionem verdadeiramente de forma global.

5 Passos para Implementar Regulamentos Internos de IA nas Organizações e Revisões Regulares

Após a elaboração de um “regulamento interno de IA” global, o próximo desafio é garantir que ele seja efetivamente implementado por todos os colaboradores em cada local e evitar que se torne obsoleto. Recomenda-se o seguinte processo de implementação em 5 passos.

O Passo 1 é “Compartilhar o Objetivo da Implementação Global”. A administração deve comunicar não apenas a gestão de riscos, mas também como o uso de IA pode beneficiar cada local, reduzindo assim as barreiras psicológicas dos colaboradores.

No Passo 2, realiza-se a “Identificação de Serviços Disponíveis” adaptados às características de trabalho de cada local. Distribuem-se IDs para planos corporativos com segurança garantida, restringindo física e normativamente o uso de contas gratuitas pessoais.

O Passo 3 envolve a realização de “Treinamento de Colaboradores Multilíngue e Multicultural”. Não se trata apenas de transmitir as regras, mas de educar sobre por que certas entradas são perigosas, usando exemplos concretos (como casos de sanções locais).

No Passo 4, monitora-se a utilização em cada local e constrói-se um ciclo de feedback para captar inconveniências nas regras ou novas necessidades.

Finalmente, no Passo 5, realiza-se uma “Revisão Regular dos Regulamentos Internos de IA” pelo menos a cada seis meses, alinhando-se com a evolução tecnológica e as alterações legais em cada país.

Especialmente a partir de Reiwa 7 (2025), espera-se a disseminação de tecnologias mais autônomas, como agentes de IA e IA física. Com isso, a definição de “mecanismos que envolvem julgamento humano” deverá evoluir de simples verificações para discussões mais complexas sobre auditoria e divisão de responsabilidades. No mundo dinâmico da IA, regulamentos que são “criados uma vez e esquecidos” representam um risco. A “governança dinâmica”, que reflete constantemente o cenário internacional e é atualizada de forma flexível, deve ser o objetivo das empresas globais.

Resumo: Transformar Riscos em Oportunidades com a Implementação de Regulamentos Internos de IA Globais no Japão

No ano de Reiwa 7 (2025), quando a utilização de IA generativa será crucial para o destino das empresas, a implementação de “Regulamentos Internos de IA” que incluam filiais no exterior é uma prioridade máxima para a conformidade global. Não se limitando às diretrizes dentro do Japão, é essencial compreender com precisão regulamentações abrangentes e rigorosas como a Lei de IA da UE, bem como as mudanças dinâmicas nas legislações dos EUA e da China, para desenvolver uma estratégia baseada no agrupamento de filiais.

Começar com uma regra básica clara, como a “proibição geral de entrada de dados pessoais” na fase inicial, e adaptar-se progressivamente a partir de operações cuja segurança foi confirmada, é uma abordagem prática e poderosa que equilibra velocidade de implementação e gestão de riscos. Além disso, ao colaborar com escritórios de advocacia locais, é possível realizar uma “implementação hierárquica de regulamentos” que mantém a governança da sede no Japão enquanto se adapta às leis locais, completando assim uma governança global verdadeiramente eficaz. A evolução da tecnologia de IA não para, e o ambiente legal que a cerca continua a mudar constantemente.

Para que as organizações transformem essa mudança de “risco” em “oportunidade”, é essencial um esforço contínuo para construir um sistema de governança flexível e robusto, tendo como bússola regulamentos internos de IA baseados em conhecimento especializado. Para empresas que aceleram sua expansão global, alinhar as complexas regulamentações de IA de cada país com as necessidades de negócios da empresa é um desafio que requer um nível extremamente alto de especialização. O escritório de advocacia Monolith, com uma equipe especializada que combina advogados de TI e engenheiros, oferece aconselhamento jurídico baseado na compreensão das tecnologias mais avançadas.

Nosso escritório apoia integralmente a implementação global de “Regulamentos Internos de IA” com base nos três pilares a seguir:

1. Construímos governança em estreita colaboração com escritórios de advocacia locais em todo o mundo e escritórios parceiros existentes, visando conformidade total com o GDPR, a Lei de IA da UE, a PIPL da China, as leis estaduais dos EUA, entre outras.
2. Oferecemos suporte integrado desde a solicitação de orçamentos a escritórios de advocacia locais até a direção de todo o projeto e a coordenação de questões legais, reduzindo drasticamente os custos de ajuste para nossos clientes.
3. A partir do know-how dos “Regulamentos Internos de IA” desenvolvido no Japão, selecionamos com precisão itens importantes, como “critérios de decisão para o uso de IA” a serem fornecidos a escritórios no exterior, e damos instruções precisas para a tradução de diretrizes em inglês, estabelecendo padrões de segurança unificados globalmente.

Para que a tecnologia inovadora de IA sirva como combustível para o crescimento além-fronteiras, é necessário eliminar a incerteza legal e construir um sistema que permita avançar com confiança.

Orientações Sobre as Medidas do Nosso Escritório

O Escritório de Advocacia Monolith é uma firma com vasta experiência tanto em TI quanto em direito, especialmente no que diz respeito à Internet. No Japão, os negócios de IA apresentam muitos riscos legais, tornando essencial o suporte de advogados familiarizados com questões jurídicas relacionadas à IA. Nosso escritório oferece suporte jurídico avançado para negócios de IA que utilizam ferramentas como o ChatGPT, através de uma equipe composta por advogados e engenheiros especializados em IA. Oferecemos serviços como elaboração de contratos, análise da conformidade dos modelos de negócios, proteção de direitos de propriedade intelectual, adequação à privacidade e desenvolvimento de regulamentos internos de IA. Detalhes adicionais estão disponíveis no artigo abaixo.