Sarah Webb, COO e cofundadora da LawVu – Série de entrevistas

Sarah Webb é COO e cofundadora da LawVu. Tem experiência em engenharia e liderança de equipes de software, com passagens pela LOVEFiLM e pela Amazon. Entrou na LawVu como CTO em 2015 e tornou-se COO em 2020, reunindo experiência em tecnologia, operações, segurança e governança. Seu trabalho se concentra em ajudar equipes jurídicas a conectar seus dados e fluxos de trabalho, equilibrando a inovação em IA com os riscos empresariais.

LawVu oferece um sistema operacional jurídico para equipes jurídicas internas, reunindo recebimento de demandas, casos, contratos, gastos e conhecimento em uma plataforma integrada. Seus recursos de IA e integrações ajudam as equipes a trabalhar com as ferramentas que já utilizam, mantendo as permissões e a supervisão. Nesta entrevista, Webb aborda a IA paralela, os fluxos de trabalho com agentes, o conhecimento institucional e os fundamentos de que as empresas precisam para adotar a IA com governança.

Você cofundou a LawVu depois de passar boa parte da carreira desenvolvendo e liderando equipes de software, inclusive na LOVEFiLM e na Amazon. O que levou você a identificar as operações jurídicas corporativas como um problema que valia a pena resolver? E como sua visão original para a LawVu evoluiu à medida que a IA transformou o panorama tecnológico?

Passei a maior parte do início da minha carreira em funções de engenharia e tecnologia, inclusive na LOVEFiLM e na Amazon. A entrada no setor de tecnologia jurídica não foi algo que eu planejei; aconteceu mais por circunstância. Estou na LawVu há quase 11 anos, inicialmente como CTO, mas passei a COO relativamente rápido, e só essa mudança alterou bastante a forma como penso sobre a empresa.

No início, o primeiro problema que buscávamos resolver era a falta de visibilidade. A maioria dos clientes vinha do Outlook e de planilhas do Excel, e simplesmente reunir tudo em um só lugar já parecia uma grande conquista. Depois, as equipes passaram a trabalhar remotamente e, sem uma plataforma centralizada, a colaboração ficou ainda mais difícil. Isso reforçou algo que já observávamos: muito trabalho jurídico repetitivo não era valorizado nem sequer percebido pelo restante da empresa, porque não havia um lugar onde pudesse ficar visível. Esse período nos levou a fazer um trabalho educativo de fato com os clientes, ensinando-os a estruturar seus dados e a conduzir a mudança internamente, em vez de simplesmente lhes entregar uma ferramenta.

Também desenvolvemos integrações com o pacote Microsoft desde cedo, porque o objetivo sempre foi atender às necessidades da empresa nos ambientes em que ela já trabalhava no dia a dia, em vez de pedir às equipes que abandonassem aquilo que conheciam. O que mudou desde então foi a escala do que essa mesma ideia exige hoje. Reduzir as barreiras para obter um conjunto de dados utilizável era, antes, uma questão de conveniência. Agora, é a diferença entre uma IA capaz de atuar de fato no trabalho jurídico e uma IA que apenas reflete de volta a mesma fragmentação.

Você argumentou que a “IA paralela” costuma ser um problema de fluxo de trabalho, e não dos funcionários. O que isso significa na prática, e o que as organizações podem aprender quando os funcionários deixam de lado as ferramentas ou os sistemas de IA aprovados para usar soluções próprias?

Se você não disponibilizar internamente as ferramentas adequadas, as pessoas procurarão outras por conta própria para ganhar eficiência. Essa é a raiz do problema. Quando alguém contorna um sistema aprovado, a reação instintiva é tratar isso como uma falha de conformidade, algo que deve ser bloqueado ou impedido por meio de uma política. Na prática, isso geralmente revela algo sobre o próprio fluxo de trabalho: o caminho aprovado era mais lento ou mais difícil do que a alternativa, então as pessoas encontraram uma maneira de contorná-lo.

É exatamente por isso que a IA paralela representa um risco muito maior do que a TI paralela jamais representou. Incidentes envolvendo IA paralela respondem hoje por 20 por cento das violações de dados, com um custo médio de 10,2 milhões de dólares, porque as pessoas não estão apenas adotando uma ferramenta não aprovada: estão inserindo diretamente nela materiais confidenciais, como textos de contratos, termos de acordos e raciocínios internos.

O que as organizações deveriam aprender com isso é onde está a lacuna. A falta de uma alternativa segura e fundamentada não impede as pessoas de recorrerem à IA; apenas as leva a usá-la em um lugar que você não consegue ver. E há um risco mais profundo por trás disso, que vai além da segurança. Quando o trabalho fica espalhado por ferramentas pessoais de IA, em vez de estar em um sistema compartilhado e estruturado, a empresa acaba tomando decisões com base em um quadro incompleto, sem sequer perceber que falta uma parte dele. Se uma ferramenta de IA só consegue acessar 60 por cento dos dados relevantes porque o restante está na conta pessoal de alguém, sua precisão diminui e o risco de uma decisão equivocada aumenta. Proibir esse contorno não resolve nada disso. Oferecer às pessoas algo melhor do que essa alternativa, sim.

Com base no trabalho da LawVu com centenas de equipes jurídicas empresariais, quais são os erros mais comuns que você vê as organizações cometerem ao estabelecer a governança da IA, especialmente à medida que os funcionários passam a ter acesso a ferramentas de IA de uso geral cada vez mais poderosas?

O erro mais comum é confundir uma política por escrito com um controle efetivo. Muitas organizações já têm um documento que explica como a IA deve ou não deve ser usada. Poucas criaram algo operacional para colocá-lo em prática: algo que realmente controle a que uma ferramenta pode ter acesso, registre o que ela fez e permita reconstruir esses acontecimentos posteriormente, caso seja necessário.

O segundo erro é não levar em conta quanto risco se acumula a cada ferramenta adicionada. Toda solução pontual adotada por uma equipe, seja para contratos, gastos ou recebimento de solicitações, exige uma integração própria, mantém seu próprio protocolo de autenticação e armazena sua própria cópia de dados confidenciais. Individualmente, cada uma parece administrável. Juntas, elas transformam a infraestrutura tecnológica jurídica em uma rede fragmentada de riscos, e mais de um terço das violações de segurança tem origem exatamente nesse tipo de acesso de terceiros. A maioria das equipes não percebe o quanto isso representa até ser investigada depois que algo dá errado.

O terceiro erro é tratar ferramentas de IA de uso geral de maneira diferente de qualquer outro software que acessa dados confidenciais. Desde o primeiro dia, todos os clientes com quem trabalhamos, inclusive clientes do governo, passaram por uma avaliação de segurança completa conosco, porque o que acaba em um sistema como o nosso está entre as informações mais confidenciais que uma empresa possui: segredos comerciais, dados de fusões e aquisições (M&A) e informações de identificação pessoal (PII). Todos os dias, funcionários fornecem esse mesmo tipo de informação a ferramentas públicas de IA sem nem de longe o mesmo nível de rigor, porque isso não parece a adoção de um novo fornecedor: parece apenas o uso de uma ferramenta. É nessa lacuna entre o que passa por auditoria e aquilo que realmente envolve riscos que a maioria dos programas de governança falha.

A LawVu vem incorporando agentes de IA e fluxos de trabalho agênticos às operações jurídicas. Como vocês determinam quais processos jurídicos são adequados para execução autônoma por IA e quais devem sempre exigir análise ou aprovação humana?

Analisamos o impacto e a reversibilidade, mais do que a complexidade que um processo aparenta ter no papel. Se é fácil detectar um erro e simples corrigi-lo, esse processo costuma ser um bom candidato à autonomia. Por isso, tarefas de alto volume e bem definidas, como o recebimento e a triagem de solicitações, tendem a ser adequadas.

Tudo o que envolva um compromisso externo, exposição jurídica ou uma decisão difícil de reverter exige a participação de uma pessoa, por mais precisa que a atuação do agente pareça nos testes. Essa é a mesma lógica que orienta nossa forma mais ampla de pensar a tolerância ao risco na LawVu. Identificamos o que uma equipe consegue aceitar, estabelecemos os controles adequados e só então ampliamos o uso. O verdadeiro teste não é a precisão, mas se conseguimos dizer a que o agente teve acesso, por que tomou determinada ação, se estava autorizado a fazê-lo e se podemos comprovar isso posteriormente. Se não conseguirmos responder a essas perguntas, o processo ainda não está pronto para funcionar de forma autônoma.

Essas decisões não são definitivas: um processo que hoje é seguro para automatizar pode deixar de sê-lo à medida que o uso se expande ou que o fluxo de trabalho passa a envolver materiais mais confidenciais do que no início. Por isso, é preciso reavaliar esse limite, não defini-lo uma única vez.

O servidor MCP da LawVu permite que as organizações conectem ferramentas como ChatGPT, Claude e Microsoft Copilot diretamente ao ambiente operacional jurídico. Como as empresas podem dar a sistemas externos de IA acesso útil aos dados corporativos e, ao mesmo tempo, manter as permissões, a capacidade de auditoria, a privacidade e o controle?

A tendência é pensar que estar conectado e ser seguro são coisas incompatíveis, mas não precisam ser. A plataforma precisa continuar sendo a fonte de verdade das permissões, e não a ferramenta de IA que opera sobre ela. Quer alguém inicie uma conversa no ChatGPT, no Claude ou no Copilot, aquilo que essa pessoa pode ver e fazer não deve mudar de acordo com a interface que por acaso abriu naquele dia.

Isso só funciona se o ambiente do outro lado já tiver os controles adequados antes de qualquer conexão — justamente a preparação que a maioria das empresas deixa de lado. Todos tratam o MCP como uma garantia automática de segurança porque há menos dados em circulação, e isso é verdade, mas somente se o sistema receptor puder informar o que foi acessado, por quê, por qual agente e em nome de quem, além de comprovar tudo isso posteriormente.

Há também um argumento comercial. Se a ferramenta central de IA conseguir reconhecer quando uma solicitação envolve questões jurídicas e encaminhá-la automaticamente à LawVu, isso elimina o vai e vem de o funcionário ter de saber primeiro a qual sistema recorrer. Também significa que ele não precisará recorrer a uma ferramenta pessoal de IA sem acesso algum a um conjunto de dados confiável e seguro. Oferecer às pessoas um único ponto de partida, bem governado, acaba contribuindo mais para a adoção do que restringir tudo faria.

Os modelos de IA de uso geral podem ser poderosos, mas muitas vezes não têm a memória institucional, o histórico de decisões e o perfil de risco específicos de uma organização. Que informações e infraestrutura precisam estar disponíveis em torno de um modelo de IA para que ele se torne realmente útil em atividades corporativas de alto impacto?

Penso na IA horizontal como uma pessoa brilhante e desconhecida, que leu uma quantidade extraordinária de coisas, escreve muito bem e consegue conversar sobre quase qualquer assunto. Mas nunca conheceu seu cliente. Nunca participou de suas negociações. Não sabe como sua organização equilibra os riscos. Nunca viu as conversas que levaram às exceções acordadas pela sua equipe seis meses atrás.

É por isso que uma das primeiras coisas que muitas equipes jurídicas fazem é conectar a IA a um manual de diretrizes — e, para deixar claro, isso é extremamente valioso. Dê a um modelo de IA acesso às cláusulas preferenciais, às posições alternativas, aos limites de aprovação e às orientações para negociações, e os ganhos de eficiência aparecem quase imediatamente. O desafio é que as decisões jurídicas mais importantes costumam surgir quando a posição padrão já não se aplica: um cliente estratégico precisa de uma exceção, uma oportunidade de alto crescimento justifica um risco adicional ou uma negociação chega a um ponto em que as prioridades comerciais se sobrepõem à cláusula preferencial.

É aí que o discernimento jurídico começa a ficar evidente. Parte dos conhecimentos mais valiosos está nas exceções, não no manual de diretrizes. Por que abrimos uma exceção para esse cliente? O que aconteceu na última vez que negociamos essa posição com a mesma contraparte? A empresa aceitou esse risco em outra situação? Essa questão já foi encaminhada a instâncias superiores? O que acabou sendo decidido?

As respostas raramente estão em um único documento; elas ficam dispersas entre contratos, aprovações, e-mails, registros de casos, atas de reuniões e a experiência acumulada das pessoas envolvidas na época. O documento apenas registra o resultado, enquanto a organização preserva o raciocínio em outros lugares.

Um estranho brilhante pode aprender as regras com uma rapidez impressionante, mas entender por que elas foram flexibilizadas em primeiro lugar é um desafio totalmente diferente. O que costuma distinguir uma IA útil de uma IA transformadora é o quanto a organização preservou da própria experiência para que a IA possa aprender com ela.

Muitas empresas acumularam sistemas de contratos desconectados, ferramentas de gestão de casos, planilhas, arquivos de e-mail e outras fontes de conhecimento corporativo. Qual é a importância de contar com uma base de dados unificada antes de implantar agentes de IA, e o que uma organização precisa fazer para que seus dados estejam realmente prontos para a IA?

O setor jurídico é um exemplo perfeito de por que isso importa: os contratos são revisados com alterações no Word, as aprovações chegam por e-mail, as decisões são tomadas no Slack e, em seguida, a IA é adicionada ao repositório de documentos, em vez de conectar de fato o trabalho. Adicionar IA a um sistema fragmentado significa apenas ter acesso mais rápido ao caos.

As empresas que passaram anos construindo uma infraestrutura de dados sólida e organizando seus sistemas antes da chegada da IA são aquelas que já estão obtendo resultados com ela. Essa é, essencialmente, a questão. Não é possível expandir o uso de agentes sobre sistemas de contratos desconectados, ferramentas de gestão de casos, planilhas e arquivos de e-mail e esperar resultados confiáveis. Primeiro, é preciso estabelecer os fundamentos: sistemas conectados, controles de acesso claros e limites de tolerância a riscos definidos. Só então faz sentido pensar em ampliar o uso da IA.

Ao avaliar se devem desenvolver suas próprias aplicações de IA, comprar plataformas especializadas de IA ou conectar modelos de uso geral aos sistemas existentes, como os líderes de tecnologia devem abordar a decisão entre desenvolver, comprar ou integrar?

Desenvolver ou comprar parece uma decisão tecnológica. Na minha experiência, trata-se, na verdade, de uma questão de maturidade das operações jurídicas. O que está em jogo é o quanto uma equipe jurídica se considera seriamente uma função, com seus próprios fluxos de trabalho, dados e modelo operacional. Quando essa maturidade está bem estabelecida, a estratégia certa de IA jurídica tende a surgir naturalmente.

Sobre desenvolver: para o pequeno número de equipes com recursos para operar como uma empresa de software, essa opção pode fazer sentido. Os modelos evoluem, a infraestrutura muda e o trabalho nunca chega realmente ao fim. Para a maioria das equipes, o desafio não é desenvolver uma vez, mas manter para sempre.

Sobre comprar: a maioria das equipes acaba escolhendo essa opção, mas “comprar” não significa uma única coisa. Há pelo menos três opções distintas que as pessoas costumam agrupar. A IA de uso geral, como ChatGPT, Copilot e Claude, é poderosa, mas não entende por si só as estruturas dos casos, os processos de entrada de solicitações ou os fluxos de aprovação. Conectar a IA a uma única solução pontual, por meio de algo como MCP, representa um avanço significativo, mas sua visão continua limitada ao que existe naquele sistema.

A oportunidade maior está em uma IA que entenda como o trabalho jurídico se conecta em toda a função, e não apenas o que acontece em uma ferramenta específica. Quando a entrada de solicitações, os casos, os contratos, os gastos e o conhecimento estão reunidos, a IA pode analisar o panorama completo, em vez de apenas uma parte dele.

Você ocupou os cargos de CTO e COO na LawVu, com responsabilidades por tecnologia, operações, segurança e execução de produtos. Como essa combinação moldou sua abordagem para equilibrar a rápida inovação em IA com segurança, conformidade, confiabilidade e riscos corporativos?

Entrei na LawVu como CTO em 2015 e assumi o cargo de COO em 2020. Portanto, passei mais de uma década trabalhando tanto com tecnologia quanto com operações.

Essa combinação muda a forma como você pensa sobre inovação em IA em relação à segurança e à conformidade, porque não são temas que você vivencia como conversas separadas. Assumir internamente a governança, os riscos e a conformidade, ao mesmo tempo que se desenvolve uma plataforma que ajuda os clientes a gerenciar essas mesmas funções, significa que não posso tratar inovação e segurança como etapas sequenciais: uma não vem depois da outra; elas acontecem ao mesmo tempo ou não acontecem. Desde o primeiro dia, todos os nossos clientes passaram por uma avaliação completa de segurança, e cada vez que você adiciona uma nova ferramenta ao seu ecossistema, aumenta o panorama de riscos relacionado a esses dados. Isso vale tanto para nós internamente quanto para nossos clientes; por isso, desenvolver a plataforma e ser responsável pela forma como ela é governada obriga você a considerar as duas coisas ao mesmo tempo.

Olhando para o futuro, como você espera que a IA agêntica transforme o papel das equipes jurídicas corporativas? Você acredita que os departamentos jurídicos usarão a IA principalmente como uma camada de produtividade ou que, eventualmente, poderão supervisionar fluxos de trabalho amplamente autônomos que operem em toda a empresa?

A IA generativa deslocou a conversa da busca por ganhos incrementais de eficiência para uma reavaliação fundamental da forma como o trabalho jurídico é realizado e do modelo operacional necessário em um mundo que avança rapidamente rumo à capacidade agêntica. Não vejo a IA agêntica como mera propaganda, mas como uma camada de execução que pode ajudar a área jurídica a deixar de apenas gerenciar o trabalho e passar a executá-lo ativamente, com os controles e as salvaguardas adequados.

Neste momento, está ocorrendo uma mudança de “porta de entrada” nas organizações: cada vez mais, os usuários das áreas de negócios começam por ferramentas como Microsoft Copilot ou Claude, e a questão passa a ser como a área jurídica pode garantir que essas interações estejam conectadas aos sistemas, aos dados e aos fluxos de trabalho certos.

Portanto, não vejo isso como uma escolha entre uma camada de produtividade e uma função de supervisão; vejo como uma progressão. A área jurídica começa usando a IA para realizar tarefas individuais com mais rapidez, mas, à medida que a capacidade agêntica amadurece, a verdadeira oportunidade está em a própria área jurídica assumir a camada de execução e realizar o trabalho ativamente por meio de sistemas governados, em vez de apenas produzir primeiros rascunhos mais rapidamente.

Obrigado pela ótima entrevista. Os leitores que quiserem conhecer melhor as operações jurídicas integradas e os fluxos de trabalho de IA com governança podem visitar LawVu.