Um cliente tem o crédito negado por um algoritmo bancário. Um candidato é descartado por um sistema de triagem de currículos. Um seguro tem o sinistro recusado por uma engrenagem invisível que cruza milhares de variáveis em segundos. Casos como esses, antes raros, tornaram-se rotina nos balcões empresariais e nos escritórios de advocacia. A pergunta que se impõe é desconfortavelmente simples: quando uma decisão automatizada causa dano, quem responde? A primeira camada da resposta está na Lei Geral de Proteção de Dados, a Lei nº 13.709/2018. O artigo 20 garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluindo aquelas destinadas a definir perfil pessoal, profissional, de consumo ou de crédito. O dispositivo também exige que o controlador forneça, mediante solicitação, informações claras sobre os critérios e procedimentos utilizados, observados os segredos comercial e industrial. Trata-se de uma proteção valiosa, embora reconhecidamente incompleta, especialmente porque a redação final retirou a obrigatoriedade de revisão por pessoa natural, ponto criticado por boa parte da doutrina especializada. A segunda camada está no Código Civil. O artigo 186 caracteriza como ato ilícito a conduta de quem, por ação ou omissão voluntária, negligência ou imprudência, causar dano a outrem. O artigo 927 estabelece o dever de indenizar e, em seu parágrafo único, autoriza a responsabilidade objetiva quando a atividade desenvolvida implicar, por sua natureza, risco para os direitos de outrem. Aplicada à inteligência artificial, essa moldura é particularmente relevante. Sistemas que tomam decisões em massa, com potencial de afetar acesso a crédito, oportunidades de trabalho, contratos de seguro e relações de consumo, dificilmente escapam da qualificação como atividade de risco. A terceira camada vem do Código de Defesa do Consumidor, cujo artigo 14 impõe ao fornecedor resp