Prompt e cadeia de custódia do raciocínio: organização da prova e terceirização da conclusão por IA

Por Daniel Gerber* — O artigo 158-A do Código de Processo Penal define a cadeia de custódia como o conjunto de procedimentos destinados a manter e documentar a história cronológica do vestígio, desde seu reconhecimento até o descarte. A imagem que normalmente acompanha o instituto é simples: um objeto recolhido, acondicionado, lacrado e transportado de forma que qualquer intervenção possa ser reconstruída.1

Ocorre que o processo penal já não trabalha apenas com objetos. Trabalha com informações, correlações e inferências; e começa a trabalhar, também, com relatórios, resumos, classificações e respostas produzidas por ferramentas de inteligência artificial generativa.

O documento final pode chegar aos autos sem lacre rompido, embalagem aberta ou registro de transporte. Ainda assim, sua formação pode ter sofrido intervenções que não aparecem no resultado apresentado. A pergunta, então, deixa de ser apenas quem preservou o arquivo e passa a ser outra: como a conclusão foi formada e quem, efetivamente, a produziu?

Em artigo anterior, escrito com Fábio Silveira, sustentamos que a rastreabilidade exigida para o vestígio material deve alcançar o raciocínio investigativo quando este é produzido ou auxiliado por inteligência artificial, eis que uma conclusão cuja formação não pode ser reconstruída apresenta problema semelhante ao de um vestígio manipulado sem registro: não há contraditório efetivo sobre aquilo que permanece oculto.2

É preciso, agora, avançar um passo. Não basta exigir a conservação do prompt. É necessário distinguir o uso da inteligência artificial para organizar o material daquele que transfere à ferramenta a interpretação dos fatos, a valoração da prova e a própria conclusão humana.

Do comando à resposta

Quando uma ferramenta generativa é utilizada para examinar documentos, comunicações, imagens ou qualquer outro material, não basta conservar a resposta oferecida pelo sistema. É indispensável preservar o comando que a produziu, os arquivos efetivamente submetidos, a ferramenta e sua versão, a data da consulta, as configurações relevantes e a sequência de interações que conduziu ao resultado.
A razão não é apenas tecnológica. É também hermenêutica.

Gadamer demonstrou que a compreensão não parte de um ponto neutro. O intérprete se aproxima do objeto com uma pré-compreensão formada por sua história, por sua linguagem e pelas perguntas que considera pertinentes. A compreensão pode colocar tais pressupostos em dúvida e produzir um novo horizonte; não se reduz, portanto, à confirmação automática de uma expectativa. Mas a expectativa existe e precisa aparecer.3

No uso investigativo da inteligência artificial, uma parte importante dessa pré-compreensão está escrita no próprio comando. Comparemos duas perguntas:

“Identifique elementos que confirmem a existência de organização criminosa nestas mensagens.”

“Examine estas mensagens, apresente hipóteses alternativas para seu conteúdo e indique elementos favoráveis, contrários ou insuficientes em relação a cada uma delas, sempre vinculando a afirmação ao trecho de origem.”

O material submetido pode ser exatamente o mesmo, mas a tarefa dada ao sistema não é. Enquanto a primeira consulta pede confirmação, a segunda exige confronto; se apenas a resposta for juntada aos autos, desaparece o dado que permite compreender por que determinado percurso foi adotado e outros foram abandonados.

Temos, assim, uma diferença elementar entre resposta e processo de produção da resposta. A primeira pode ser fluente, organizada e aparentemente técnica. O segundo revela a hipótese inicial, os recortes efetuados e os limites impostos pelo usuário. É esse percurso que permite avaliar se a ferramenta foi usada para testar uma suspeita ou apenas para redigi-la melhor.

A resposta provável e o fato provado

Há uma característica técnica que amplia o problema. Modelos generativos não consultam uma verdade interna para depois redigi-la: produzem sequências de linguagem a partir de relações probabilísticas aprendidas nos dados e condicionadas pelo comando e pelo contexto fornecido. Tal mecanismo pode gerar resposta correta e vinculada ao material, mas também pode completar uma lacuna com a continuação estatisticamente plausível, apresentar como fato aquilo que seria comum naquele tipo de caso ou construir justificativa coerente para conclusão não sustentada pelas fontes.4 5

Dizer que a ferramenta utiliza um raciocínio preditivo é, portanto, uma aproximação útil, desde que se compreenda onde está a predição. Em um modelo de linguagem, ela recai primariamente sobre a sequência provável de palavras ou tokens, não sobre a verdade do acontecimento investigado. O perigo está justamente em que a sequência mais provável pode parecer uma explicação do fato, embora seja apenas uma explicação linguisticamente compatível com padrões anteriores.

Essa distinção possui consequência probatória evidente. A ferramenta pode indicar que determinado acontecimento é provável porque narrativas semelhantes costumam seguir aquela direção; o processo penal, ao contrário, precisa demonstrar que o acontecimento está apoiado no material daquele caso. Probabilidade linguística e prova do fato não são expressões equivalentes.

Categorizar não é concluir

Isso não significa que a inteligência artificial seja inútil à investigação. Pelo contrário: pode auxiliar na criação de índices, separação de documentos por assunto, extração de nomes e datas, organização de uma linha do tempo, localização de ocorrências, comparação de versões, indicação da origem de determinada informação e levantamento inicial de doutrina ou jurisprudência. Em conjuntos documentais extensos, tais funções podem reduzir trabalho mecânico e permitir que o investigador concentre sua atenção naquilo que exige juízo.

Ocorre que nem mesmo a categorização é absolutamente neutra. Escolher categorias, decidir que uma mensagem pertence a uma delas e resumir o sentido de um diálogo já pode importar recorte interpretativo. Pesquisas sobre resumo automático mostram que o modelo pode acrescentar conteúdo ausente da fonte e, diante de um tema conhecido, recorrer a termos prováveis naquele domínio, porém incompatíveis com o documento específico.6 A categoria “tratativa ilícita”, por exemplo, já contém conclusão que não está presente nas classes “data”, “pessoa”, “pagamento”, “documento mencionado” ou “evento não determinado”.

Temos, assim, uma linha que não passa pelo nome atribuído à tarefa, mas pelo grau de liberdade conferido à ferramenta. “Categorizar” pode esconder a formulação da hipótese acusatória; “interpretar” pode limitar-se a expor leituras alternativas e a indicar o que falta para confirmá-las. O uso será tanto mais controlável quanto mais as categorias tenham sido previamente definidas pelo agente humano, admitam a resposta “não determinado” e obriguem a ferramenta a reproduzir o trecho exato que sustenta cada classificação.

É legítimo solicitar que o sistema ordene cronologicamente fatos expressamente narrados nos documentos; não é legítimo permitir que preencha os intervalos entre eles com aquilo que normalmente aconteceria.

Pode-se pedir que agrupe mensagens por interlocutor ou assunto; não se pode aceitar que transforme proximidade temporal em vínculo causal. Pode-se solicitar a indicação de divergências entre depoimentos; não se deve transferir ao sistema a escolha de quem disse a verdade. Pode, enfim, organizar o material sobre o qual recairá a decisão, mas não decidir no lugar daquele que responde pelo ato.

O prompt que limita e o prompt que conduz

A preservação do prompt permite verificar duas espécies de fronteira. A primeira é negativa e indica aquilo que a inteligência artificial estava proibida de fazer; a segunda é positiva e revela o caminho pelo qual o usuário orientou a resposta.

Os limites negativos precisam afastar expressamente a invenção de fatos, o preenchimento de lacunas por probabilidade, a atribuição de intenção, autoria, dolo, credibilidade ou tipicidade, a conversão de correlação em causalidade e o uso de conhecimento externo não identificado. Precisam, ainda, determinar que a ferramenta responda “não localizado” sempre que não encontrar suporte no material, em vez de oferecer a continuação que pareça mais provável.

Os limites positivos, por sua vez, devem delimitar o corpus, o período, as pessoas, as categorias e o formato da resposta; exigir que transcrição, resumo e inferência apareçam separados; ordenar a indicação das informações contraditórias e das hipóteses alternativas; e vincular cada afirmação relevante ao documento, à página, ao horário ou ao trecho que permita sua conferência. A simples referência ao nome de um arquivo é pouco útil quando o leitor precisa procurar, em milhares de páginas, aquilo que supostamente sustenta a conclusão. A atribuição fina à passagem de origem aumenta a verificabilidade da resposta.7

Um comando minimamente controlável, portanto, não pediria que a máquina “descobrisse o crime existente nos documentos”. Poderia assumir estrutura semelhante a esta:

“Utilize exclusivamente os arquivos identificados nesta consulta. Organize os eventos expressamente descritos em ordem cronológica e, para cada item, informe documento, página ou marcador temporal e reproduza o trecho de suporte. Não complete lacunas, não atribua intenção, autoria, credibilidade, dolo ou tipicidade e não utilize conhecimento externo sem autorização e citação. Separe fato transcrito, resumo e possível inferência. Havendo versões conflitantes, apresente todas. Se a informação não estiver no material, responda ‘não localizado’. A conclusão jurídica e probatória será realizada pela autoridade humana.”

Esse registro permitiria saber o que foi procurado e, tão importante quanto, o que não poderia ser criado. Revelaria, ainda, se a consulta foi desenhada para organizar o acervo ou para obter da ferramenta uma conclusão já desejada.

A distinção possui consequência direta sobre a integridade da prova. Se o prompt ordena que a inteligência artificial confirme determinada hipótese, a saída não pode aparecer nos autos como se fosse descoberta autônoma do sistema; carrega a orientação daquele que a formulou. Se o comando proíbe inferências, exige fontes e determina a exposição de contradições, o risco diminui, mas não desaparece, eis que modelos podem afastar-se da instrução ou produzir citações e justificativas igualmente incorretas.4

O que o prompt não prova

O prompt é necessário, mas não suficiente. Comandos idênticos podem produzir resultados diferentes, motivo pelo qual a guarda da pergunta, desacompanhada da resposta efetivamente gerada, não reconstitui o procedimento.8 Do mesmo modo, uma instrução tecnicamente cuidadosa não demonstra que o sistema a observou e muito menos que o usuário conferiu o resultado.

A cadeia de custódia do raciocínio deve alcançar, ao menos, a identificação da ferramenta, do modelo e de sua versão; as configurações que possam alterar a geração; a relação precisa dos arquivos submetidos; a sequência completa dos comandos e respostas; as buscas externas ou bases de recuperação utilizadas; a saída integral, inclusive trechos posteriormente excluídos; e o registro da conferência humana, com as correções, rejeições e razões que conduziram à conclusão final. O NIST recomenda, para usos generativos, inventário de versões e responsabilidades humanas, documentação de fontes e metadados, checagem factual e verificação das citações produzidas.4

Tal exigência não se confunde com a pretensão de revelar um suposto pensamento secreto da máquina. A explicação passo a passo produzida por um modelo é também texto gerado e pode conter lógica confabulada; não corresponde necessariamente a uma janela fiel para seu funcionamento interno.4 O que precisa ser preservado é a trilha externa e verificável da operação: o que entrou, o que foi pedido, o que foi proibido, o que saiu, onde cada afirmação encontra suporte e o que o ser humano fez com ela.

A autoridade humana não conclui porque concorda com a máquina; conclui porque identifica os fatos, indica as fontes e apresenta razões que subsistiriam mesmo que a resposta da ferramenta fosse retirada dos autos. Fora disso, a chamada supervisão humana corre o risco de se resumir a uma assinatura colocada ao final de raciocínio terceirizado.

O prompt, portanto, integra a fonte da informação e não pode ser reduzido a detalhe operacional. Mas é somente um dos elos da cadeia.

O precedente do STJ e aquilo que ele não decidiu

Em abril de 2026, a Quinta Turma do STJ enfrentou a utilização de um relatório policial produzido com auxílio de inteligência artificial generativa. O caso envolvia suposta injúria racial ocorrida após uma partida de futebol. A perícia oficial e os pareceres técnicos não confirmaram, no áudio, traços articulatórios compatíveis com a palavra indicada na acusação. Ainda assim, o material foi submetido às ferramentas Gemini e Perplexity, que chegaram à conclusão oposta; tal relatório serviu de fundamento para o oferecimento da denúncia.9

No HC 1.059.475/SP, o colegiado determinou, por unanimidade, a retirada do documento. O fundamento foi preciso: o relatório não possuía confiabilidade epistêmica mínima. Segundo o Informativo 884, as ferramentas utilizadas processavam texto, não ondas sonoras, e não eram adequadas à análise fonética realizada no caso. Além disso, a divergência em relação à perícia oficial não estava apoiada em motivação técnico-científica idônea.9
A decisão é importante também pelo que não afirmou: o STJ registrou que não havia violação da cadeia de custódia dos vídeos, não examinou uma cadeia de custódia do comando e excluiu o documento em razão de sua inaptidão racional para servir como prova.

Nada mais equivocado, portanto, do que apresentar o julgamento como se a tese aqui defendida já tivesse sido acolhida pelo tribunal. Não foi. O precedente demonstra outra coisa: uma resposta sintaticamente convincente pode ser metodologicamente imprestável, e a racionalidade humana não pode ser substituída pela aparência de segurança do texto produzido.

A pergunta seguinte permanece em aberto. Como controlar a utilização de IA quando a falha não é tão evidente quanto a tentativa de realizar análise fonética por meio de ferramentas inadequadas? Sem o comando e sem o registro das interações, talvez não seja possível sequer identificar o desvio.

O parâmetro oferecido pelo CNJ

A Resolução CNJ nº 615/2025, em seu texto compilado após a alteração promovida pela Resolução nº 674/2026, estabelece regras de transparência, auditabilidade, confiabilidade e supervisão humana para soluções de inteligência artificial utilizadas no Poder Judiciário. Seu anexo considera de alto risco, entre outras atividades, a valoração de meios de prova, a interpretação de fatos como crimes e a formulação de juízos conclusivos sobre a aplicação da norma a situações concretas.10

A norma vai além da invocação genérica de supervisão humana. Exige fontes seguras, rastreáveis e auditáveis; veda soluções que impeçam revisão humana ou criem dependência absoluta em relação ao resultado; determina, para sistemas de alto risco, registro das fontes automatizadas e do grau de supervisão, documentação do funcionamento e, sempre que possível, logs de operação. Estabelece, enfim, que o sistema não pode restringir ou substituir a autoridade final do usuário e que o produto gerado possui caráter consultivo e não vinculante.10

A resolução disciplina o Poder Judiciário e não incide automaticamente sobre a investigação conduzida pela Polícia ou pelo Ministério Público; oferece, entretanto, um parâmetro que não pode ser ignorado. Se a valoração da prova e a tipificação de fatos são atividades de alto risco quando praticadas com auxílio de IA no Judiciário, por qual razão deixariam de sê-lo na fase em que a hipótese acusatória é formada?

A regulamentação europeia segue direção semelhante ao classificar como alto risco a utilização de IA na avaliação da confiabilidade de provas e exigir supervisores capazes de compreender as limitações do sistema, detectar desempenho inesperado, resistir ao viés de automação e ignorar ou reverter a saída.11 Não se pretende transportar tal regime para o direito brasileiro, mas registrar uma convergência: supervisionar significa conservar a capacidade real de discordar.

Pelo contrário: é na investigação que o risco pode se tornar mais difícil de perceber. A conclusão produzida passa ao relatório policial, deste à manifestação do Ministério Público e, enfim, à decisão judicial. A cada repetição, perde-se um pouco mais a memória de como tudo começou.

Schünemann, ao estudar a influência exercida pelos autos da investigação sobre o julgador, descreveu os efeitos de perseverança e de correspondência comportamental. Não há base empírica para afirmar que a leitura de um relatório de IA produza exatamente o mesmo fenômeno. A aproximação, contudo, é útil: uma hipótese apresentada desde o início, sobretudo quando revestida de linguagem técnica, pode orientar a seleção e a interpretação das informações posteriores.12

Eis o motivo pelo qual a fluência não pode ocupar o lugar da demonstração, nem a assinatura humana pode transformar em humano um raciocínio que ninguém foi capaz de reconstruir.

O que deve ser preservado

A cadeia de custódia do raciocínio exige o registro dos dados submetidos, dos comandos e respostas, dos limites positivos e negativos, das fontes apontadas, da versão da ferramenta e da conferência humana que transformou — ou recusou transformar — a saída em fundamento de um ato.

Essa cadeia não decorre, de forma literal, dos artigos 158-A a 158-F do CPP, eis que a disciplina legal continua vinculada ao vestígio definido pelo Código. O que se sustenta é a utilização da mesma razão de garantia diante de uma forma contemporânea de produção informacional:

Se o Estado pretende usar uma conclusão contra alguém, deve conservar o caminho que permite contestá-la.

Ausente o prompt, a resposta aparece como se não tivesse sido provocada por uma hipótese humana; ausentes as entradas, as saídas integrais e a validação, a simples existência do prompt oferece apenas aparência de controle; ausente uma fundamentação humana independente, a revisão se reduz à concordância com o texto produzido.

Em verdade, a resposta da inteligência artificial não é, apenas por isso, conhecimento, e sua fluência não lhe atribui valor probatório. O processo penal pode até ignorar o caminho. Mas não deveria chamar de prova aquilo cuja origem decidiu não preservar.

*Daniel Gerber, mestre em Direito Processual Penal e advogado da área Penal Empresarial. Sócio fundador da Daniel Gerber Advocacia Criminal e Corporativa.