Introdução
Comprar software com inteligência artificial não é igual a comprar licença comum. O serviço pode mudar de modelo, processar dados em cadeias complexas, usar suboperadores, conservar prompts, incorporar componentes de terceiros e produzir decisões que impactam pessoas. Uma due diligence curta antes da contratação reduz problemas difíceis de resolver depois apenas com cláusula genérica de confidencialidade.
O que mudou e por que importa
O debate regulatório e os estudos da ANPD sobre IA reforçam temas como governança, segurança, transparência e proteção de dados. Para a empresa contratante, a pergunta não é se o fornecedor afirma ser compliant, mas se consegue fornecer informações suficientes para que o cliente entenda e controle seu próprio uso.
Onde está o risco para as empresas
Os principais pontos cegos estão no uso dos dados para treinamento, retenção de prompts e arquivos, subcontratação, localização, mudança silenciosa de modelo, ausência de logs, impossibilidade de exportar evidências e limites de responsabilidade incompatíveis com o impacto. Em sistemas integrados, erro do fornecedor pode ser propagado automaticamente para clientes, colaboradores e bases internas.
Controles que precisam sair do papel
A avaliação pré-contratual deve cobrir finalidade, arquitetura, modelo, dados necessários, treinamento, retenção, exclusão, segurança, incidentes, suboperadores, auditorias, disponibilidade, continuidade e portabilidade. O contrato deve prever comunicação de incidentes e mudanças relevantes, cooperação em solicitações de titulares, restrição de reutilização, requisitos de segurança, direito de saída e tratamento dos dados ao encerrar. Para alto risco, peça evidências de testes e limites conhecidos.
Como transformar o tema em rotina de governança
Classifique fornecedores em três níveis de criticidade. Ferramentas sem dados pessoais e sem integração podem seguir avaliação simples. Serviços que processam dados corporativos precisam de questionário e contrato. Sistemas que influenciam decisões relevantes, usam dados sensíveis ou integram processos críticos exigem avaliação multidisciplinar e contingência. Mantenha reavaliação anual e gatilho extraordinário quando fornecedor trocar modelo, finalidade ou arquitetura.
O que a diretoria deve perguntar
A diretoria deve saber quais fornecedores de IA são críticos, quais podem treinar com dados da empresa, quais concentram grande volume de informação e quanto custaria sair. Dependência tecnológica é risco empresarial. Se a organização não consegue exportar dados, histórico ou evidências, mudança de preço, política ou modelo pode se tornar problema operacional e jurídico.
Conclusão
Due diligence de IA não precisa impedir contratação rápida. Ela precisa separar perguntas essenciais de burocracia. Dados, treinamento, segurança, mudanças de modelo, evidências e saída são pontos que definem se a empresa controla a relação ou apenas confia no fornecedor. Bons contratos começam por boa compreensão técnica do serviço.