Ainda, no artigo deste mês, o sócio Alvaro Souza examina o fenômeno do prompt injection. Por fim, examinamos a prisão domiciliar humanitária concedida no Supremo Tribunal Federal e o avanço do Estatuto da Vítima no Congresso.

Boa leitura,

Odel Antun e Alvaro Augusto Orione Souza

/// NOTÍCIAS DO ANTUN ADVOGADOS

O Antun Advogados Associados reforça sua equipe com a chegada de dois novos advogados neste mês: André Misiara e Hannah Maselli.

André Misiara é formado em Direito e pós-graduado em Direito Penal Econômico pela Fundação Getulio Vargas (FGV), com especialização em Direito Penal Econômico e Europeu pelo IBCCRIM, em parceria com a Universidade de Coimbra.

Hannah Maselli é graduada em Direito pela Universidade Federal Fluminense, com LL.M. (mestrado) em Direito, Inovação e Tecnologia pela Fundação Getulio Vargas e pós-graduação em Advocacia Criminal pela Universidade do Estado do Rio de Janeiro.

Sejam muito bem-vindos, André e Hannah. É uma alegria tê-los no time, e desejamos que essa nova etapa seja de grandes realizações.

/// DESTAQUES

STJ reforça a descrição individualizada da conduta em denúncias de crimes societários

Para denunciar alguém por crimes cometidos no âmbito empresarial, o Ministério Público precisa descrever o que o indivíduo concretamente praticou — não basta apontar a posição que ela ocupava na empresa. O Superior Tribunal de Justiça (STJ) reafirmou esse entendimento em dois julgamentos recentes, ambos com o trancamento da ação penal por denúncia inepta, ou seja, uma acusação sem a descrição mínima dos fatos imputados.

No AgRg no HC 1.055.215/RJ, a denúncia atribuía a uma administradora a revenda de combustível com teor de enxofre acima do limite legal — conduta tipificada como crime contra a ordem econômica pela Lei nº 8.176/91 —, mas apontava apenas o cargo que ela ocupava, na empresa, sem indicar sua efetiva conduta, na suposta prática do crime. Em decisão monocrática, o Ministro Messod Azulay Neto reconheceu a inépcia da acusação.

Situação parecida ocorreu no HC 1.108.692/DF, em que um sócio foi denunciado por contratação direta ilegal e peculato, após alugar um imóvel de sua empresa para a nova sede da Secretaria de Administração Penitenciária do Distrito Federal. Em decisão monocrática, o relator, Ministro Carlos Pires Brandão, entendeu que a denúncia tentou extrair a responsabilidade apenas da condição de sócio e do proveito obtido com o contrato, sem apontar participação pessoal no direcionamento da contratação ou no desvio de recursos.

STJ garante, à defesa, perícia oficial em celular apreendido, após sinais de comprometimento da prova

O STJ assegurou o direito da defesa, de que fosse realizada perícia oficial no celular apreendido de seu cliente, diante de sinais de que o aparelho foi acessado depois da apreensão. Em decisão monocrática no RMS 78.868/MG, o relator, Ministro Reynaldo Soares da Fonseca, reconheceu haver direito líquido e certo — aquele comprovado de imediato, sem necessidade de novas provas — à realização do exame técnico.

A defesa apresentou relatório de assistentes técnicos, que identificou modificações nos dados do aparelho, o que gerou dúvida razoável sobre a integridade do vestígio digital. O Tribunal de origem reconheceu os registros de atividade após a apreensão, mas concluiu que não havia prejuízo concreto à acusação — entendimento que, para o ministro, soava contraditório.

O ministro distinguiu a alegação abstrata de manipulação de prova digital da identificação concreta de acesso após a apreensão, hipótese que, no caso, justificava a perícia oficial. Segundo o relator, o exame não representa uma declaração antecipada de que a prova foi adulterada, nem causa prejuízo irreparável à acusação.

Inadimplência reiterada não basta para caracterizar dolo em crime de apropriação indébita tributária, decide STJ

A simples repetição do não recolhimento de tributos não é suficiente, isoladamente, para comprovar o dolo específico de apropriação, exigido no crime de apropriação indébita tributária, previsto no art. 2º, II, da Lei 8.137/1990. Em decisão monocrática no AREsp 3.250.617/SC, o relator, Ministro Reynaldo Soares da Fonseca, reformou a condenação do sócio administrador de uma empresa, mantida pelo Tribunal de origem.

O Tribunal de origem havia condenado o administrador sob o argumento de que o crime exigiria apenas o dolo genérico — a mera intenção de não recolher o ICMS. A defesa, por sua vez, sustentou que o tributo foi declarado, mas não recolhido em razão de dificuldades financeiras da empresa.

O relator aplicou entendimento consolidado do Supremo Tribunal Federal no RHC nº 163.334, caso que julgava a criminalização do inadimplemento do ICMS próprio e em que o sócio Odel Antun atuou na representação do amicus curiae Sinditelebrasil. Assim, o dolo específico precisa ser demonstrado a partir de circunstâncias objetivas e concretas, e não presumido pela simples repetição da conduta.

Para maior aprofundamento, a postura dos Tribunais Superiores a respeito da apropriação indébita tributária foi abordada nos seguintes artigos: Apropriação Indebita Tributária e a Súmula n. 658 do STJ: Problemas Práticos, STF definiu que apropriação indébita tributária é crime de resultado cortado? e É crime o inadimplemento do ICMS próprio?.

Comentário de Odel Antun

Corrupção ativa exige elo entre pagamento e ato funcional, entende TRF-1

Ao julgar a Apelação Criminal 1003538-97.2021.4.01.3903, o Tribunal Regional Federal da 1ª Região (TRF-1) absolveu um empresário condenado por dois crimes de corrupção ativa, por falta de prova do vínculo entre duas transferências bancárias e um ato de ofício praticado por servidoras públicas, em uma licitação.

Para o colegiado, a corrupção exige a demonstração de que houve oferecimento ou promessa de vantagem indevida a funcionário público para levá-lo a praticar, omitir ou retardar um ato de ofício — o que não foi possível aferir com segurança no caso, que nem sequer descreveu qual a conduta praticada pelas servidoras, capaz de frustrar o caráter competitivo da licitação.

Não havia, no processo, prova segura de ajuste ilícito ou de promessa de contrapartida para favorecer as contratações, tanto que a própria sentença reconheceu a inépcia da denúncia em relação ao crime de fraude à licitação, por ausência de descrição da conduta. Para um crime que exige dolo específico, o relator, Desembargador Federal João Batista Moreira, foi enfático ao afastar qualquer condenação apoiada em conjecturas, presunções ou construções indiciárias sobre o contexto supostamente criminoso.

A decisão foi acertada. Exigir o vínculo concreto entre os pagamentos e a conduta supostamente corrupta — vínculo que, no caso, a acusação sequer explicitou — é condição elementar para condenação criminal por corrupção ativa. Quando o Judiciário flexibiliza esse padrão de prova, abre-se espaço para que a simples proximidade entre um pagamento e um agente público baste para configurar corrupção, o que esvazia o tipo penal de seu elemento mais relevante: a compra deliberada de um ato funcional específico.

/// ARTIGO

Prompt injection em petições judiciais: necessidade de criação de um novo tipo penal

No artigo deste mês, o sócio Alvaro Augusto Orione Souza analisa o fenômeno do prompt injection, ou seja, a introdução maliciosa por advogados de comandos invisíveis ao olho nu em petições ou documentos, a fim de tentar influenciar, em seu benefício, os modelos de inteligência artificial do Poder Judiciário.

Analisando possível resposta penal à conduta, Souza interpreta que a tipificação da prática como fraude processual ou estelionato apresenta limites dogmáticos, sustentando a necessidade de um tipo penal específico.

Leia o artigo.

/// STF

STF concede prisão domiciliar humanitária a condenado de 72 anos por fraudes em contratos

O Ministro Alexandre de Moraes, do Supremo Tribunal Federal (STF), concedeu prisão domiciliar humanitária, com monitoração eletrônica, a um ex-gestor público de 72 anos, condenado por fraudes em contratos públicos apuradas pela Operação Pândega. Em decisão monocrática no HC 273.713/SP, o ministro considerou o quadro grave de saúde e a idade avançada do sentenciado.

Segundo a defesa, o condenado convive com doenças graves, entre elas Parkinson avançado, câncer de próstata, depressão e transtorno bipolar, além de outras comorbidades. A unidade prisional, por sua vez, informou não dispor de estrutura adequada para atendimentos de média e alta complexidade.

As instâncias inferiores não haviam reconhecido ilegalidade na manutenção do regime fechado, apoiadas em relatório médico prisional que atestava estabilidade clínica do paciente. Moraes, no entanto, entendeu que a proteção constitucional à dignidade da pessoa humana e aos direitos da pessoa idosa autoriza a prisão domiciliar diante de um quadro de saúde sujeito a agravamento.

/// STJ

STJ invalida todos os reconhecimentos feitos contra acusado após procedimento irregular

O STJ, no HC 1.034.834/MG, invalidou os quatro reconhecimentos pessoais a que um réu foi submetido, por entender que o primeiro deles — feito de forma irregular, com o envio de uma única foto à vítima por WhatsApp — contaminou de modo irreversível a memória da testemunha.

Depois desse reconhecimento inicial pelo aplicativo, a vítima ainda foi exposta a imagens apenas do acusado na delegacia, sem a presença de pessoas com características semelhantes às dele, para comparação. Para a ministra relatora Maria Marluce Caldas, esses métodos sugestivos, anteriores ao ato formal, comprometeram os reconhecimentos feitos meses depois, na unidade prisional e durante a audiência de instrução.

A decisão se apoiou no chamado “efeito do reforço da confiança”, pelo qual a testemunha, após um primeiro reconhecimento equivocado, pode incorporar a imagem do suspeito à própria memória como se fosse a do verdadeiro autor do crime. Sem esses reconhecimentos, as provas restantes foram consideradas frágeis para sustentar a condenação, o que levou à absolvição do réu.

Ministra revoga afastamento de prefeito, mantido por nove meses sem reavaliação

A Ministra Maria Marluce Caldas, do STJ, revogou o afastamento cautelar do prefeito de Fazenda Rio Grande/PR, acusado de organização criminosa, contratação direta ilegal, peculato, corrupção passiva e ativa majoradas e lavagem de dinheiro, no âmbito da Operação Fake Care. Em decisão monocrática no HC 1.091.214/PR, a relatora observou que a medida durava nove meses sem qualquer reavaliação.

Durante todo esse período, o afastamento seguiu em vigor enquanto a ação penal contra o prefeito estava paralisada, sem que a necessidade da medida fosse reexaminada. Para a ministra, embora o afastamento cautelar não tenha prazo fixado em lei, a medida, que deve ser marcada pela cautelaridade, não deve se tornar uma verdadeira cassação do cargo, o que a afastaria de sua finalidade originária.

Sem elementos concretos que apontassem risco atual de obstrução da investigação ou de repetição dos crimes, a ministra relatora determinou o retorno imediato do acusado ao cargo.

/// AGENDA LEGISLATIVA

Estatuto da Vítima avança na Comissão de Segurança Pública e segue ao Plenário do Senado

A Comissão de Segurança Pública (CSP) do Senado aprovou o substitutivo ao PL 3.890/2020, que cria o Estatuto da Vítima, voltado a assegurar uma rede de proteção e direitos a vítimas de crimes, calamidades públicas, desastres e epidemias. O texto segue agora para o Plenário, em regime de urgência.

Entre os direitos previstos estão o acesso à informação, o direito de ser ouvida, a participação na investigação e no processo, a orientação e a assistência jurídica e a participação em práticas restaurativas. Para o autor do projeto original, deputado Rui Falcão (PT-SP), a proposta busca dar centralidade à vítima, superando a posição secundária que ela costuma ocupar no processo penal.

No substitutivo, o senador Wilder Morais (PL-GO) retirou normas de difícil implementação e reuniu em uma única seção os direitos de ser ouvida e de participar do processo. O texto também ajustou o regime da justiça restaurativa, focado na prevenção à revitimização, na participação informada da vítima e na reparação dos danos.

Senado aprova criminalização da divulgação de imagens de vítimas de crimes e acidentes

O Plenário do Senado aprovou o substitutivo ao PL 1.242/2026, que cria um crime específico para punir o registro ou a divulgação, sem justa causa, de imagens de vítimas de crimes e acidentes, assim como de cadáveres. De autoria da deputada Laura Carneiro (PSD-RJ), o projeto teve parecer favorável do senador Marcelo Castro (MDB-PI) e, em razão das alterações feitas no Senado, retorna à Câmara dos Deputados.

Não haverá crime quando houver consentimento da vítima ou de seu representante legal, ou quando a divulgação for necessária à administração da justiça ou atender a relevante interesse público devidamente justificado — hipóteses que buscam equilibrar a proteção à vítima com a liberdade de imprensa e o interesse público na cobertura de casos relevantes.

A nova redação também ajustou as penas do novo crime, que passam a ser de detenção, de seis meses a dois anos, além de multa.

O post Boletim Informativo #61 • Julho 2026 apareceu primeiro em Antun Advogados Associados.

A inteligência artificial é, sem dúvidas, a grande revolução tecnológica do nosso século. Há áreas em que não chega a surpreender que a ela gere tremendos benefícios, como aqueles proporcionados à própria ciência da computação. Na medicina, por exemplo, a I.A. tem propiciado diagnósticos muito mais rápidos e precisos, além de recomendações de tratamento mais eficazes a uma miríade de doenças, enquanto no setor financeiro, a velocidade de processamento de dados, proporcionada pela I.A., tem melhorado tomadas de decisão, e influenciado estratégias de investimento.

Nas ciências humanas e sociais, o direito entre elas, talvez possa haver uma certa crença, algo inocente, de que, não importa quão boa se torne a inteligência artificial, ela nunca poderá substituir as pessoas. No entanto, é inegável o impacto que a I.A. vem tendo até mesmo sobre as artes, talvez o reduto último da máxima expressão do espírito humano, o que tem levado inclusive atores de Hollywood a registrarem marca sobre sua voz, aparência e bordões, ante o receio de que a I.A. acabe por tornar o ator, algo obsoleto e dispensável na produção de um filme.

Seria, portanto, o cúmulo da arrogância, mesmo para os muitas vezes vistos já como “arrogantes” operadores do Direito, imaginar que o seu ofício não seria profundamente impactado pela inteligência artificial. Petições e contratos já podem ser inteiramente redigidos por I.A., com mínima interferência humana, havendo, inclusive, cursos oferecidos no mercado, para capacitar profissionais ao uso da inteligência artificial na advocacia.

E é óbvio que, num país de elevadíssima litigiosidade, como o Brasil, em que o “excesso de processos” parece ser um problema “desde sempre e para sempre”, como se aqueles condenados a operar o Direito, no Brasil, não tivessem chance de um sistema judicial célere e eficiente, não tardaria para que os Tribunais adotassem a inteligência artificial como ferramenta para tentar dar maior celeridade ao processamento das demandas que os abarrotam.

Assim, as Cortes, país afora, vêm implementando assistentes de I.A. que auxiliam na triagem, no resumo de processos e petições, e até na elaboração de minutas, o que já levou o Conselho Nacional de Justiça a editar a Resolução 615/2025, para estabelecer diretrizes para o desenvolvimento, utilização e governança de soluções desenvolvidas com recursos de inteligência artificial no Poder Judiciário.

Contudo, o uso de inteligência artificial pelos Tribunais deu origem ao fenômeno do prompt injection. Prompt é, no jargão computacional, o comando que se dá à ferramenta de I.A.. Advogados maliciosos, cientes do uso de ferramentas de I.A. pelos Tribunais perante os quais atuam, passaram a injetar prompts invisíveis ao olho humano, em suas petições ou documentos juntados aos autos, a fim de tentar manipular, em seu benefício, a assistente de I.A. utilizada pelo Tribunal.

A prática foi primeiro noticiada pelo Tribunal Regional do Trabalho da 8ª Região, mas foi rapidamente detectada, também, no acervo de processos do Superior Tribunal de Justiça, que assim definiu prompt injection:

“O prompt injection é uma técnica que tenta enganar os modelos de IA, em especial os grandes modelos de linguagem (LLMs). O ataque ocorre quando comandos são inseridos em documentos comuns, como petições ou recursos, de forma invisível ao olho humano.

Como a IA processa texto para entender o contexto e responder a comandos (prompts), um usuário pode inserir instruções maliciosas no meio de uma petição, tentando forçar o sistema a ignorar regras de análise fornecidas pelo usuário, de modo a favorecer uma das partes.”

O comando malicioso pode ser inserido, por exemplo, através da redação de ordens, direcionadas às ferramenta de I.A., em letra branca, sobre fundo branco – tornando-as invisíveis ao olho humano – e pode conter comandos para que determinados pontos da petição do advogado não sejam contestados, ou para que um determinado precedente repetitivo, aplicável ao caso, não o seja, dentre outras ordens com a finalidade de induzir a ferramenta de I.A. a direcionar o Juízo a uma decisão diversa da que deveria ser tomada.

Os episódios já identificados de prompt injection têm sido sancionados, processualmente, com a aplicação da litigância de má-fé àqueles que têm tentado tapear os Tribunais. Mas o fenômeno suscita, também, a imputação de ilícito penal a esses advogados ofensores, que inserem prompts maliciosos em suas petições.

E aí surge a questão: qual, então, seria o crime praticado por esses advogados? A matéria é muito nova, mas parece estar se formando um entendimento de que, pelo menos diante da legislação atualmente existente, os casos de prompt injection poderiam ser enquadrados no crime de fraude processual, previsto no artigo 347 do Código Penal:

Art. 347 – Inovar artificiosamente, na pendência de processo civil ou administrativo, o estado de lugar, de coisa ou de pessoa, com o fim de induzir a erro o juiz ou o perito:
Pena – detenção, de três meses a dois anos, e multa.
Parágrafo único – Se a inovação se destina a produzir efeito em processo penal, ainda que não iniciado, as penas aplicam-se em dobro.

A tipificação, em tese, como fraude processual, parece ter sido a solução inicial adotada pelo Superior Tribunal de Justiça e pelos primeiros comentários que surgem sobre a matéria. As primeiras recomendações técnicas dos próprios Tribunais parecem ir pelo mesmo caminho, como a Nota Técnica CIJMG Nº 19/2026, do Centro de Inteligência da Justiça de Minas Gerais, órgão do TJMG, segundo a qual:

“Em sua forma mais grave, a utilização de prompts ocultos pode mesmo configurar, em tese, o crime de fraude processual, tipificado no art. 347 do Código Penal, segundo o qual constitui delito inovar artificiosamente, na pendência de processo civil ou administrativo, o estado de lugar, de coisa ou de pessoa, com o fim de induzir a erro o juiz ou o perito. Ao inserir comandos ocultos, o agente inova artificiosamente o estado de documento juntado ao processo para a consecução de outra finalidade, com o fim específico de induzir a erro o juiz, deturpando a formação de sua convicção sobre a matéria fático-jurídica em causa.”

A nosso ver, no entanto, a tipificação como fraude processual oferece problemas. O crime em questão exige uma inovação artificiosa, no estado de lugar, coisa ou pessoa, na pendência do processo. Então, o documento que é adulterado antes de ser juntado ao processo; ou as instalações da fábrica que são modificadas antes da chegada do perito trabalhista; ou mesmo a alteração da cena do crime, antes da chegada da polícia – esses são exemplos clássicos de fraude processual.

Agora pense-se no prompt injection. Ele, certamente, não seria a inovação artificiosa do estado de um lugar ou de uma pessoa – se o comando oculto é inserido numa peça juntada ao processo, só poderia ser a inovação artificiosa do estado de uma coisa.

Até aí, talvez não houvesse problema no enquadramento ao tipo penal, se o comando invisível fosse inserido num documento juntado pelo advogado, mas não elaborado por ele – um documento que já existia, teria sido adulterado com a inclusão do prompt em letras brancas sobre fundo branco.

Mas e se, como é muito mais provável que ocorra, o prompt injection vier na petição do advogado. A petição é uma criação do próprio advogado, não é uma coisa que existisse antes de ser redigida por ele, e que, portanto, pudesse ter seu estado inovado artificiosamente.

A não ser que se pudesse tomar, como a coisa artificiosamente inovada, a própria ferramenta de I.A. do Tribunal. Mas daí pode surgir uma questão que talvez o operador do direito não tenha o cabedal técnico para responder – este autor, certamente, não o tem – a de saber se o comando malicioso, ao tentar direcionar o resultado do trabalho da I.A., altera o estado da própria ferramenta ou apenas explora uma funcionalidade que a própria ferramenta já tem, a de receber comandos e aplicá-los ao seu trabalho.

No entanto, ainda que essas questões todas pudessem ser deixadas de lado, há outra inconveniência, oferecida pela redação do tipo penal de fraude processual, muito mais difícil de se contornar: exceto em matéria criminal, a inovação artificiosa precisa acontecer na pendência do processo – o que significa que o processo precisa já existir, para que o prompt injection possa ser enquadrado como fraude processual.

Isso pode não ser um problema, quando a prática se dá em petição direcionada a algum Tribunal, de segunda instância ou Superior. Mas e quando o prompt injection vier na petição inicial da reclamação trabalhista, ou da ação de direito do consumidor? Sabe-se que é nessas duas searas, em que normalmente se pratica uma advocacia de massa, que esta mais tem se degenerado em advocacia predatória, sendo, sem dúvida, o campo mais fértil para a proliferação do prompt injection judicial, e aquele com maior potencial de prejudicar grandes empresas, caso os comandos maliciosos efetivamente atinjam o seu objetivo, de distorcer as decisões judiciais em favor de quem os insere.

O Direito Penal não admite “jeitinhos” ou “acochambradas”, quando se trata da tipificação de crimes. Quando a petição inicial é apresentada, não existe processo pendente, pois este só se inicia a partir daquela – o que poderia afastar o tipo penal de fraude processual, das hipóteses de prompt injection praticado na petição inicial.

No entanto, talvez o maior problema da tipificação do prompt injection enquanto fraude processual seja a brandura da pena cominada a esse delito. Excetuados, mais uma vez, os casos criminais, a fraude processual carrega uma pena máxima de dois anos, o que faz dela uma infração de menor potencial ofensivo, nos termos do artigo 61 da Lei 9.099/1995 – um caso para o JECRIM, suscetível de ser resolvido por mera transação penal. Para não falar no alto risco de prescrição em abstrato, durante a condução de uma investigação com potencial de ser demorada, dada a complexidade das imbricações técnicas do prompt injection, e a renitência que se pode esperar da defesa de investigados que são, eles mesmos, advogados.

Alcançada a conclusão de que a fraude processual não seria o tipo penal mais adequado, para a tipificação do prompt injection, talvez o impulso natural, a sugestão na ponta da língua de muitos operadores do Direito, quanto ao crime praticado por quem adota essa prática, seria a de que a conduta deveria ser enquadrada como uma forma de estelionato.

Todo o contexto do prompt injection praticado em petições judiciais parece gravitar, naturalmente, em direção à ideia de um estelionato – o advogado ofensor, afinal, não está tentando “enganar” o Poder Judiciário, para obter uma vantagem?

Mas a eventual tipificação do prompt injection praticado pelo advogado, no processo, como estelionato, implicaria um dilema moral seríssimo, para o Poder Judiciário.

Inicialmente, é preciso ter em mente que tentar levar o Juiz a tomar a decisão errada não é crime. Se partirmos da ideia de que, num processo litigioso, uma das partes terá razão e a outra não, então procurar que o Juiz tome a decisão errada é, literalmente, o que fazem metade de todos os advogados, em todos os litígios apresentados ao Poder Judiciário.

É, na realidade, da essência do modelo democrático, o direito que todo cidadão tem de pleitear, ao Judiciário, o que entende sejam os seus direitos – ainda que não tenha razão. Somando-se a isso o fato de que, por vezes, os Juízes tomarão, mesmo, a decisão errada – porque uma das partes não se desincumbiu do seu ônus da prova, ou porque a outra foi mais convincente nos seus argumentos – e é esse o motivo de o chamado estelionato judicial – o ato de efetivamente levar o juiz a decidir da maneira equivocada – ser pacificamente entendido como atípico.

Guardemos essa ideia.

De outro norte, a redação típica do estelionato exige que o engodo se direcione a enganar uma pessoa, na medida em que o crime ocorre quando se induz ou mantém alguém em erro:

Art. 171 – Obter, para si ou para outrem, vantagem ilícita, em prejuízo alheio, induzindo ou mantendo alguém em erro, mediante artifício, ardil, ou qualquer outro meio fraudulento:
Pena – reclusão, de 1 (um) a 5 (cinco) anos, e multa.

Não que se descarte a possibilidade de, num futuro nem tão distante assim, a sociedade precisar se haver com esse debate filosófico, mas, ao menos por enquanto, parece inquestionável que, não importa quão avançados possam ser, assistentes de inteligência artificial (ainda) não são pessoas. Então, a pessoa que se pretende enganar, no prompt injection, para que possamos falar em estelionato, seria o Juiz?

Aqui se chega ao dilema ético, que a tipificação do prompt injection como estelionato representaria para o Poder Judiciário.

Sem nem ao menos que isso precisasse estar escrito em lugar nenhum, assoma como um imperativo verdadeiramente moral, decorrente da própria garantia constitucional de inafastabilidade da jurisdição, a de que a jurisdição não se afaste da função de julgar os casos que lhe são apresentados. Em outras palavras, no que interessa ao tema, que o Juiz não deixe de ler e de ser o responsável último pela decisão tomada, não importa até que ponto tenha se utilizado de um assistente de I.A. para auxiliá-lo nesse trabalho.

Não por outra razão, a já mencionada Resolução nº 615/2025, do Conselho Nacional de Justiça, estabelece, em seu art. 19, inciso II (destacamos):

II – o uso dessas ferramentas será de caráter auxiliar e complementar, consistindo em mecanismos de apoio à decisão, vedada a utilização como instrumento autônomo de tomada de decisões judiciais sem a devida orientação, interpretação, verificação e revisão por parte do magistrado, que permanecerá integralmente responsável pelas decisões tomadas e pelas informações nelas contidas;

Essa obrigatoriedade vem sendo reproduzida pelas recomendações técnicas dos Tribunais, país afora, do que é exemplo, mais uma vez, a Nota Técnica CIJMG Nº 19/2026, do TJMG (destacamos):

b) Adoção do protocolo Human-in-the-loop (HITL): A tecnologia atua como assistente, não como substituta da cognição judicial. É obrigatória a observância rigorosa do protocolo de conferência final, garantindo que a ‘última palavra’ seja sempre do ser humano. A leitura crítica e a validação integral do texto gerado pela IA pela equipe do gabinete neutralizam os efeitos de eventuais injections que tenham conseguido burlar os filtros técnicos iniciais, garantindo que nenhuma informação enviesada ou comando subversivo integre o provimento jurisdicional.

O que significa que, mesmo com o uso de ferramentas de I.A., ainda é dever do magistrado conferir as minutas das decisões que assina.

Com isso em mente, e retornando ao crime de estelionato, é uma exigência elementar, para a configuração do delito, que a fraude aplicada tenha a aptidão de enganar a pessoa a quem se destina. Não por outra razão, a tipificação do crime deve ser afastada, quando o objeto fraudado necessariamente deva ser submetido a conferência, e o engodo aplicado não se mostre apto a enganar o agente fiscalizador.

Rememore-se o que têm sido os casos de prompt injection já desmascarados pelos Tribunais: um comando malicioso, invisível a olho nu, que pretende induzir a I.A. a não aplicar um precedente repetitivo que seria aplicável ao caso, ou a não contestar os argumentos fracos da petição do advogado.

Pergunta-se, o Juiz de Direito, revisando a minuta rascunhada pela I.A., acaso não detectaria que o precedente vinculante foi aplicado da maneira errada? Ou não perceberia que os argumentos do advogado não são suficientes para embasar a decisão que a inteligência artificial propôs?

O desejo de enganar a I.A., por meio do prompt injection, vem do fato, justamente, de que ela é programada para aplicar, de maneira automática, entendimentos e precedentes que já são pacificados. E se são pacificados, qualquer desvio em relação aos mesmos deveria causar alerta ao magistrado.

Se um prompt injection produzir um resultado que não cause estranheza ao Juiz, no momento da revisão, é porque então a aplicação do precedente vinculante, ao caso, não era tão pacífica assim, ou os argumentos do advogado poderiam tanto convencer, como não convencer o magistrado – o que redundaria, ainda que a decisão tomada fosse a errada, numa hipótese do apelidado estelionato judicial, que não é crime.

Ou seja, a única forma de o prompt injection poder ser tipificado como estelionato, é se o Poder Judiciário admitir que seus Juízes não leem as minutas das decisões produzidas pelos assistentes de I.A..

Mas o fato de que a decisão precisa ser revisada pelo magistrado não significa que a prática do prompt injection não deveria ser crime. Pelos efeitos deletérios que a inserção de comandos maliciosos ocultos pode ter sobre o uso e funcionamento, pelo Poder Judiciário, dessa inovação tão valiosa, que é a inteligência artificial, assim como pelo elevado desvalor da conduta de advogados que tentam trapacear em seus processos, o prompt injection precisa, sim, de uma resposta penal.

Ela apenas, ao que parece, não é ainda satisfatoriamente encontrada, entre os crimes atualmente previstos em nossa legislação, e demanda a edição de um novo tipo penal específico, que descreva a conduta do prompt injection de maneira que o crime não dependa da indução de alguém em erro; e cominando-lhe uma pena à altura da gravidade dessa prática.

O post Prompt injection em petições judiciais: necessidade de criação de um novo tipo penal apareceu primeiro em Antun Advogados Associados.