Quando alguém fala em riscos de software pirata na empresa, a imagem que vem à cabeça costuma ser a mais caricata: um instalador baixado de um site duvidoso, um crack rodando no notebook de alguém do marketing, uma cópia de Windows ativada com serial genérico. Isso existe, claro. Mas é a parte fácil de identificar.

O que realmente pega as empresas de surpresa é o território cinzento. Licenças compradas em marketplace por um preço bom demais, chaves OEM que vieram grudadas numa máquina antiga e foram reaproveitadas, assinaturas pessoais do Office sendo usadas para tocar projetos corporativos. Tudo parece funcionar. O software abre, os arquivos salvam, ninguém reclama. Até o dia em que alguém reclama.

Na minha experiência, a maioria dos gestores de TI que descobre irregularidade no licenciamento não estava tentando economizar de má-fé. O cenário típico é outro: alguém comprou de boa-fé, não conferiu os termos, e o fornecedor (que também não era exatamente oficial) vendeu algo que não podia ser usado daquele jeito. Resultado: a empresa está irregular sem saber.

Tipos de irregularidade que ninguém chama de pirataria

Pirataria, no senso comum, é aquela cópia descarada. Mas a Lei 9.609/1998 (a Lei do Software) não faz essa distinção coloquial. Usar software fora dos termos da licença é violação, ponto. E tem muitas formas de isso acontecer sem que ninguém tenha a intenção de piratear nada.

Chaves compradas em marketplaces e revendedores não autorizados

Esse é, de longe, o caso mais comum que vejo em empresas de médio porte. Alguém do time (ou até o próprio TI, pressionado por orçamento curto) compra uma licença do Office ou do Windows num marketplace online. O preço é uma fração do valor oficial. A chave ativa normalmente. Parece legítimo.

O problema é que essas chaves frequentemente vêm de programas de licenciamento acadêmico, contratos corporativos revendidos sem autorização ou até de fraudes com cartão de crédito. A Microsoft e a Adobe têm equipes dedicadas a rastrear essas chaves. Quando identificam uso indevido, podem desativar a licença remotamente. E a empresa fica sem o software e sem o dinheiro.

Licenças de uso doméstico em ambiente corporativo

Aquele Microsoft 365 Personal que o colaborador já tinha no notebook dele. Ou o Creative Cloud individual que o designer trouxe da vida freelancer. Funciona? Funciona. Mas os termos de uso dessas licenças proíbem explicitamente o uso comercial ou corporativo. É uma licença irregular do ponto de vista contratual, mesmo que o software seja genuíno.

E tem um detalhe que muita gente ignora: quando o colaborador sai da empresa, os arquivos, os projetos e as configurações vão embora junto com a conta pessoal dele. Já vi equipe de criação perder acesso a meses de trabalho porque tudo estava vinculado ao login pessoal de alguém que pediu demissão.

Licenças OEM transferidas entre máquinas

Licença OEM é aquela que vem pré-instalada no hardware. O Windows que já veio no notebook HP, por exemplo. Ela é vinculada àquela máquina específica. Se o notebook quebra e o TI resolve aproveitar a chave num desktop novo, está violando o contrato. Simples assim.

Parece bobagem? Numa auditoria, cada instância dessas conta como uma irregularidade separada.

Contas pessoais usadas para trabalho

Google Workspace pessoal, Dropbox free, Canva com login particular. Nenhum desses é pirataria no sentido clássico. Mas cria dois problemas sérios: a empresa não tem controle sobre os dados corporativos que passam por essas contas, e o uso pode violar os termos de serviço (especialmente quando o plano é gratuito ou pessoal e o uso é comercial).

Para o DPO, esse cenário é um pesadelo. Dados de clientes transitando por contas que a empresa não administra, não audita e não consegue apagar quando necessário. Isso bate direto na LGPD (Lei 13.709/2018).

O que diz a lei (e por que o risco não é só teórico)

A Lei 9.609/1998 trata da proteção da propriedade intelectual de programas de computador no Brasil. E ela tem dentes. Não é uma daquelas leis que existem no papel mas nunca se aplicam.

No campo criminal, a violação de direitos autorais de software pode resultar em detenção de seis meses a dois anos, além de multa. Na prática, processos criminais contra empresas por uso de software irregular são menos comuns, mas existem, especialmente quando há denúncia formal do fabricante.

Onde a coisa realmente pesa é no campo civil. A indenização pode chegar a 3.000 vezes o valor de cada cópia irregular, conforme o artigo 103 da Lei 9.610/1998 (Lei de Direitos Autorais, que complementa a Lei do Software em alguns aspectos). Faça a conta: se a empresa tem 50 máquinas com uma licença que custa R$ 1.500 cada, e todas estão irregulares, o valor potencial de indenização é assustador.

E não precisa ser um processo judicial formal para doer. Muitas vezes, o fabricante (ou a associação que o representa, como a BSA, atual Software Alliance) entra em contato diretamente com a empresa propondo um acordo extrajudicial. O acordo costuma incluir a compra imediata de todas as licenças devidas, mais uma multa. O tom é cordial, mas o boleto é real.

Auditorias de fabricantes: quando a surpresa chega por e-mail

Microsoft, Adobe, Oracle e outras empresas de software têm cláusulas contratuais que permitem auditar os clientes. Isso vale tanto para quem tem contrato corporativo quanto para quem comprou licenças avulsas. Em muitos casos, a empresa aceita esse direito de auditoria no momento em que instala o software e clica em ‘Concordo’ nos termos de uso.

A auditoria geralmente começa com um e-mail educado pedindo que a empresa faça um levantamento interno do que tem instalado. Se a empresa coopera e regulariza, a coisa tende a se resolver de forma negociada. Se ignora, pode evoluir para uma notificação formal e, eventualmente, ação judicial.

Na minha experiência, o maior problema não é má-fé. É desorganização. A empresa não sabe quantas licenças tem, não sabe quantas máquinas existem, não sabe quem instalou o quê. Quando o e-mail de auditoria chega, começa uma correria para levantar informações que deveriam estar organizadas há anos.

Se você é gestor de TI e nunca passou por isso, vale a pena se preparar como se a auditoria fosse chegar amanhã. A Omega Brasil tem um artigo sobre como se preparar para uma auditoria de TI que cobre o lado prático dessa preparação.

O risco técnico que ninguém quer discutir: malware nos instaladores

Vamos sair do campo jurídico por um momento e falar de segurança. Software baixado de fontes não oficiais (sites de torrent, fóruns, repositórios alternativos) frequentemente vem com brindes indesejados. Keyloggers, trojans, ransomware, mineradores de criptomoeda. O instalador funciona, o software abre, mas tem algo rodando em segundo plano que o antivírus corporativo pode ou não pegar.

Isso vale especialmente para ativadores e cracks. Para burlar a verificação de licença, esses programas precisam de privilégios elevados no sistema operacional. Ou seja, o usuário dá acesso de administrador a um executável de origem desconhecida. É como entregar a chave do cofre para um estranho na rua porque ele prometeu que só quer dar uma olhada.

Mesmo com um bom antivírus corporativo, a superfície de ataque aumenta consideravelmente quando você tem software de procedência duvidosa rodando no ambiente. E se esse malware resultar em vazamento de dados, a empresa ainda responde pela LGPD. O fato de ter sido ‘culpa do software pirata’ não exime a responsabilidade.

Falta de suporte e atualização: o custo invisível

Software irregular não recebe atualizações de segurança. Ou recebe até um certo ponto, quando o fabricante identifica que a licença não é legítima e bloqueia o acesso ao update server. Sem patches de segurança, cada vulnerabilidade descoberta vira uma porta aberta permanente.

Tem também a questão do suporte técnico. Quando algo dá errado (e sempre dá), o fabricante não vai ajudar se a licença for irregular. A empresa fica dependendo de fórum, de vídeo no YouTube, do estagiário que ‘entende de informática’. Para um ambiente corporativo com 100, 200 máquinas, isso é insustentável.

Sem contar a produtividade perdida. Aquele Photoshop que trava toda vez que tenta salvar um arquivo grande. Aquele Excel que não abre macros porque a versão está desatualizada. São horas de trabalho perdidas por semana que ninguém contabiliza, mas que aparecem no resultado da empresa.

O que é uma licença cinza e por que você deveria se preocupar

O termo licença cinza não é oficial, mas todo mundo do mercado entende o que significa. É uma licença que foi obtida de forma legítima em algum momento, mas que está sendo usada fora do contexto autorizado. Exemplos: licenças educacionais revendidas para empresas, licenças de um país sendo usadas em outro (violando restrições geográficas), licenças de volume compradas por uma empresa e revendidas individualmente para terceiros.

A chave funciona. O software ativa. Mas o contrato de licenciamento está sendo violado. E quando o fabricante resolve verificar (e cada vez mais eles verificam, com telemetria), a empresa que comprou de boa-fé é que arca com as consequências.

É frustrante? Com certeza. Mas é a realidade. E a melhor forma de se proteger é comprar de uma revenda oficial.

Como verificar se uma revenda é oficial

Essa é uma dúvida legítima e a resposta é mais simples do que parece. Os principais fabricantes mantêm portais públicos onde você pode consultar se um revendedor é autorizado:

• A Microsoft publica sua lista de parceiros no Microsoft Partner Directory (partner.microsoft.com). Você pode buscar por nome da empresa, localização e competências.
• A Adobe tem um localizador de revendedores no site oficial (adobe.com/br). Revendedores autorizados recebem um selo e são listados por região.
• A Cisco, a Fortinet e outros fabricantes de infraestrutura e segurança também mantêm diretórios de parceiros certificados em seus sites.

A regra prática é: se o preço é significativamente menor que o de mercado e o revendedor não aparece no portal do fabricante, desconfie. Preço bom demais quase sempre significa que tem algo errado com a origem da licença.

Outra dica: revendas oficiais emitem nota fiscal com descrição detalhada do produto, número de contrato ou part number e prazo de vigência. Se o fornecedor manda só um e-mail com uma chave solta, isso é um sinal vermelho.

Como a irregularidade se acumula (sem que ninguém perceba)

O cenário clássico funciona assim. A empresa começa pequena, com cinco máquinas. Compra tudo certinho. Cresce para 30, 50 funcionários. As compras vão ficando descentralizadas. O gerente comercial pede um Office ‘rapidinho’ e alguém compra no Mercado Livre. O time de design precisa do Illustrator e o freelancer indica um ‘amigo que vende mais barato’. O notebook do diretor vem com Windows Home e ninguém troca para a versão Pro.

Cinco anos depois, o parque tem 80 máquinas e ninguém sabe dizer com certeza quantas licenças legítimas existem. O inventário de software, se existe, está desatualizado. O controle de licenças é uma planilha que alguém atualizou pela última vez antes da pandemia.

Esse é o ponto onde a empresa fica mais vulnerável. Não por má intenção, mas por falta de processo. E é justamente o ponto onde a regularização custa menos do que parece, porque muitas vezes a empresa descobre que já tem licenças suficientes, só não sabia onde estavam.

Quanto custa regularizar (e por que adia quem não deveria)

Existe um medo difuso de que regularizar o licenciamento vai custar uma fortuna. Em alguns casos, custa. Mas na maioria das situações que acompanhei, o custo da regularização é menor do que o risco financeiro de permanecer irregular.

Pense assim: uma auditoria da Microsoft que identifique 40 licenças irregulares do Office pode gerar uma cobrança retroativa que faz o custo de ter comprado tudo corretamente desde o início parecer pechincha. Isso sem contar honorários advocatícios, tempo do time jurídico e o desgaste institucional.

A regularização também não precisa acontecer de uma vez. Modelos de assinatura como o Microsoft 365 para empresas permitem diluir o investimento mês a mês, sem grandes desembolsos de CAPEX. E dá para começar pelos setores mais expostos (marketing, financeiro, diretoria) e ir expandindo conforme o orçamento permite.

O pior cenário é a empresa que sabe da irregularidade e decide ‘esperar para ver’. Se a auditoria chegar, o fato de a empresa estar ciente e não ter agido pode ser usado contra ela na negociação.

O que fazer agora: um roteiro prático

Se você leu até aqui e está com aquela sensação de que precisa verificar o seu próprio ambiente, bom. Esse é o primeiro passo. Aqui vai um caminho que funciona:

1. Faça um inventário real. Não a planilha que alguém preencheu há dois anos. Um levantamento atualizado de todas as máquinas, com o que está instalado em cada uma. Ferramentas como o Microsoft Intune ou até scripts simples de PowerShell ajudam, mas o importante é ter a fotografia atual.

2. Cruze com as licenças que a empresa realmente possui. Notas fiscais, contratos com fabricantes, e-mails de compra. Se não encontrar comprovação para uma licença, ela provavelmente é irregular.

3. Classifique o risco. Nem toda irregularidade tem o mesmo peso. Uma licença OEM transferida é diferente de 50 cópias de um software sem nenhuma licença. Priorize a regularização pelos casos de maior exposição.

4. Procure uma revenda oficial para regularizar. Não tente resolver comprando chaves no mesmo marketplace que causou o problema. Uma revenda autorizada consegue mapear o cenário, indicar os programas de licenciamento mais vantajosos e, em muitos casos, negociar condições melhores diretamente com o fabricante.

A Omega Brasil, por exemplo, é parceira oficial da Adobe e da Microsoft e trabalha com licenciamento de software há mais de 20 anos. O processo começa com um diagnóstico do ambiente, que identifica exatamente onde estão as lacunas e quanto vai custar fechar cada uma.

5. Implemente controle contínuo. Regularizar uma vez e esquecer é receita para repetir o problema. Defina um responsável pelo inventário de software, crie um processo de aprovação para novas instalações e revise as licenças pelo menos uma vez por ano.

O software irregular e os riscos para a LGPD

Esse é um ponto que muitos DPOs ainda não conectaram. Software irregular compromete a segurança dos dados pessoais que a empresa trata. Se um incidente de segurança (vazamento, ransomware, acesso não autorizado) ocorrer por causa de uma vulnerabilidade que não foi corrigida porque o software não recebia atualizações, a ANPD pode considerar que a empresa falhou em adotar medidas técnicas adequadas, conforme exige o artigo 46 da LGPD.

E tem a questão das contas pessoais que mencionei antes. Dados corporativos (incluindo dados pessoais de clientes e funcionários) circulando por ferramentas que a empresa não controla. Se o titular pedir a exclusão dos seus dados, como a empresa garante que foram apagados de uma conta pessoal do Google Drive de um ex-funcionário?

Não é cenário hipotético. É o tipo de situação que aparece em incidentes reais e que complica a resposta da empresa tanto para a ANPD quanto para os titulares afetados.

Por que gestores de TI adiam essa conversa

Vou ser honesto: regularização de licenças é um assunto chato de levar para o CFO. Você está pedindo orçamento para algo que, na percepção de quem assina o cheque, ‘já funciona’. Não é um projeto novo, não gera receita, não aparece no relatório trimestral. É puro custo de conformidade.

Mas é uma conversa que precisa acontecer. E o argumento mais eficaz não é o técnico, é o financeiro. Mostre o risco em reais: quanto a empresa pode pagar em multas e indenizações versus quanto custa regularizar. Quando o CFO vê que a exposição é de centenas de milhares de reais e a regularização custa uma fração disso, a aprovação costuma sair.

Outra tática que funciona: mencionar a auditoria. CFOs não gostam de surpresas. Dizer ‘qualquer fabricante pode nos auditar a qualquer momento, e hoje não temos como provar que estamos regulares’ costuma acelerar a conversa consideravelmente.

A empresa está pronta para uma verificação?

Se a resposta for ‘não sei’, a resposta provavelmente é ‘não’. E tudo bem, desde que você comece a resolver agora.

O custo de manter software irregular não é só financeiro. É reputacional, operacional e jurídico. Um processo por pirataria de software não é o tipo de notícia que qualquer empresa quer associada ao seu nome. E os riscos técnicos (malware, falta de atualização, perda de dados) afetam a operação no dia a dia, mesmo que ninguém perceba até o momento em que algo quebra.

A Omega Brasil é revenda oficial Adobe e Microsoft e ajuda a regularizar o licenciamento da sua empresa. Se você quer saber exatamente onde está a sua exposição, fale com um especialista em TI e solicite um diagnóstico. É o tipo de investimento que se paga na primeira auditoria que você passar tranquilo.