Chatbot errou com o cliente, quem responde? O que o STJ já decidiu sobre falha de sistema automatizado
Nenhum tribunal brasileiro julgou até agora um caso batizado como "erro de chatbot de IA", mas o STJ já tem dois precedentes recentes e diretamente aplicáveis: em outubro de 2025 responsabilizou banco por falha de sistema automatizado, e em julho de 2026 limitou essa responsabilidade a quando existe falha específica comprovada. Juntos, definem o piso legal que vale hoje para qualquer empresa que atenda cliente por automação.
O caso que não existe (ainda) e os dois que existem
Até a data desta reportagem, nenhum tribunal brasileiro, seja de Justiça estadual, federal, o Superior Tribunal de Justiça ou o Supremo, julgou um caso público classificado como responsabilidade civil por erro de um chatbot de inteligência artificial no atendimento a cliente. O próprio STJ tratou como sua primeira decisão envolvendo IA generativa um caso de prova em ação penal, julgado pela Quinta Turma em abril de 2026, tema já coberto nesta reportagem. Não existe, portanto, um precedente batizado especificamente como "erro de chatbot".
Isso não significa vazio legal. O STJ julgou, em outubro de 2025, dois recursos que tratam exatamente do que interessa a quem opera atendimento automatizado: quando a falha de um sistema que toma decisão sozinho, sem revisão humana em tempo real, gera dever de indenizar. Em julho de 2026 a mesma Terceira Turma, com outro relator, aplicou o mesmo arcabouço para um caso concreto e chegou à conclusão oposta, o que tornou o conjunto mais informativo do que se houvesse só uma decisão isolada.
O precedente que abriu a responsabilidade: outubro de 2025
Em 21 de outubro de 2025, a Terceira Turma do STJ julgou os Recursos Especiais 2.222.059 e 2.229.519, sob relatoria do ministro Ricardo Villas Bôas Cueva, e decidiu que bancos e instituições de pagamento devem indenizar clientes vítimas do golpe da falsa central de atendimento quando falha o sistema que deveria identificar transação fora do padrão de consumo. A fundamentação central foi o artigo 14, parágrafo 1º, do Código de Defesa do Consumidor: serviço é defeituoso quando não oferece a segurança que o consumidor dele poderia razoavelmente esperar. A Súmula 479 do próprio STJ, que já atribuía às instituições financeiras responsabilidade objetiva por dano decorrente de fraude de terceiro em operação bancária (fortuito interno), foi reafirmada, com o acréscimo de que a instituição precisa manter mecanismo de detecção de operação atípica em aprimoramento contínuo para se eximir.
Num dos casos julgados, a vítima sofreu 14 transações no mesmo dia, totalizando cerca de R$ 143 mil em pagamentos não autorizados, mais contratação de empréstimo de R$ 13 mil e cobrança de boleto suspeito de R$ 11 mil, um padrão de movimentação inteiramente incompatível com o histórico da conta. Foi exatamente esse descompasso, e a inércia do sistema automatizado diante dele, que fundamentou a condenação.
O limite que veio em julho de 2026
Em 15 de julho de 2026, a mesma Terceira Turma, agora sob relatoria do ministro Humberto Martins, julgou o Recurso Especial 2.209.868 e decidiu que a responsabilidade do banco não é automática. No caso concreto, a cliente recebeu ligação de central falsa, fez dois Pix somando R$ 3.490,99 e uma transferência presencial de R$ 28 mil. O Tribunal de Justiça de São Paulo, mantido pelo STJ, entendeu que essas operações não destoavam do histórico da própria conta, e que a cliente teve oportunidade de checar a ligação com atendente do banco antes de concluir a operação.
O ministro Martins foi direto sobre o critério: a responsabilidade objetiva das instituições financeiras pressupõe que o evento configure fortuito interno, inerente à atividade bancária, e não qualquer fraude de terceiro sofrida pelo cliente.
"A responsabilidade objetiva das instituições financeiras pressupõe que o evento se qualifique como fortuito interno, inerente à atividade bancária." Ministro Humberto Martins, STJ, REsp 2.209.868, 15 de julho de 2026
O que os dois precedentes juntos ensinam sobre falha automatizada
Lidos em conjunto, os dois julgados não tratam de chatbot conversando com cliente, tratam de sistema automatizado de segurança que decide sozinho, sem revisão humana em tempo real, se libera ou barra uma operação. É a peça de infraestrutura mais próxima, hoje, do que a jurisprudência brasileira decidiu sobre falha de automação em serviço financeiro. A lógica que os une:
- A responsabilidade nasce do artigo 14 do CDC, que é objetiva: não depende de provar culpa, só de provar que o serviço não ofereceu a segurança esperada.
- A empresa se exime provando ausência de defeito ou culpa exclusiva do consumidor ou de terceiro (artigo 14, parágrafo 3º, do CDC).
- O critério que decide o caso concreto é comportamental e mensurável: a operação destoava, ou não, do padrão histórico daquele cliente específico.
- Sistema automatizado sem mecanismo de detecção de anomalia em aprimoramento contínuo pesa contra a empresa; cliente que teve chance real de checar a informação e não checou pesa a favor dela.
Para quem opera atendimento, vendas ou triagem de risco com IA, ainda que o produto não seja um banco, o raciocínio do artigo 14 do CDC não é exclusivo do setor financeiro. Ele se aplica a qualquer fornecedor cujo serviço automatizado falhe na segurança que o consumidor podia razoavelmente esperar, o que inclui, em tese, um chatbot de vendas ou de suporte que informa algo incorreto e causa dano ao cliente que confiou na resposta. A diferença é que, para esse cenário específico, ainda não existe um precedente do STJ testando o argumento, só a base legal que doutrina especializada já aponta como aplicável por analogia.
Leitura crítica
A tentação de manchete é dizer que "a Justiça já decidiu que chatbot de IA gera indenização". Isso simplifica dois julgados que tratam de outra coisa, o dever de bancos manterem sistema de detecção de fraude eficiente, e projeta um resultado que ainda não foi testado em juízo para atendimento comercial comum. O dado mais honesto é o oposto: o STJ está, aos poucos, calibrando o quanto de responsabilidade objetiva cabe a sistema automatizado, e a decisão de julho de 2026 mostra que esse calibre pode andar tanto para mais responsabilidade da empresa quanto para menos, dependendo do caso concreto.
O que essas duas decisões deixam mais claro para quem constrói atendimento com IA, incluindo canais de mensageria como o WhatsApp descritos no guia de API oficial versus não oficial do WhatsApp, é que o critério que os tribunais aplicam já hoje ao automatismo bancário, mecanismo de checagem em aprimoramento contínuo e oportunidade real do consumidor de validar a informação antes de agir, tende a ser o mesmo vocabulário usado quando (e se) chegar ao STJ o primeiro caso de chatbot de atendimento ou vendas. Isso não é orientação de como agir, é leitura do padrão decisório que já existe e que qualquer área jurídica interna deveria mapear antes que o primeiro caso do setor apareça.