Due diligence de fornecedor de IA: o que perguntar antes de assinar

Comprar uma ferramenta de IA em 2026 é fácil demais. Cartão de crédito, cadastro em dois minutos, valor mensal baixo o suficiente para não passar por aprovação. É exatamente por isso que tanta empresa descobre, no inventário, provedores em produção que nunca foram avaliados.

Este é o conjunto de perguntas que separa fornecedor maduro de demonstração bonita — organizadas por tema, com o que a resposta ruim costuma parecer.

Dados

• O que acontece com o conteúdo que enviamos? É usado para treinar modelo? A resposta precisa estar no contrato, não no site. Verifique também se o plano contratado é o corporativo: os termos da versão de consumidor costumam ser diferentes justamente aqui.
• Por quanto tempo o conteúdo fica retido, e podemos definir esse prazo?
• Onde o processamento ocorre? Se o seu setor exige residência de dado no Brasil, essa pergunta decide a viabilidade antes de qualquer discussão de funcionalidade.
• Há subcontratados? Quais, para quê, e como somos avisados quando a lista muda.
• Como atendem a um pedido de eliminação vindo de um titular de dados?

Sinal de alerta: resposta que trata a pergunta como detalhe técnico a ser resolvido depois. Se não está no contrato, não existe.

Segurança

• Que certificações vocês têm, e podemos ver o certificado? Atenção à diferença entre "somos certificados", "estamos em processo" e "seguimos as práticas de". As três são respostas legítimas; confundi-las de propósito não é.
• Fazem teste de intrusão por terceira parte? Quando foi o último e qual foi o escopo. Resumo executivo sob NDA é resposta razoável; não ter o que mostrar, não.
• Como funciona o controle de acesso interno? Quem, do lado do fornecedor, consegue ver o nosso conteúdo, e isso fica registrado.
• Qual o processo de resposta a incidente e em quanto tempo seremos notificados?

Continuidade

• Qual o SLA e o que acontece quando ele não é cumprido?
• Existe página de status pública com histórico? Histórico visível de incidentes é sinal de maturidade, não de fragilidade.
• Se vocês encerrarem o serviço, o que levamos? Formato, prazo e assistência na saída. Fornecedor que nunca pensou nisso está dizendo algo.
• Qual a dependência de um único provedor de modelo? Se o provedor por trás mudar preço ou política, o que muda para nós.

Contrato

• Cláusula de tratamento de dados compatível com a LGPD, com papéis de controlador e operador definidos.
• Previsão de auditoria ou, no mínimo, de fornecimento de evidência.
• Regras claras de reajuste e de mudança unilateral de termos.
• Propriedade sobre o que é produzido com a ferramenta.
• Responsabilidade e limites em caso de incidente.

Evidência: a pergunta que resume todas

Depois do questionário, há uma pergunta que revela mais que o restante somado: "se o nosso auditor pedir, em seis meses, prova de como esta ferramenta foi usada e protegida, o que vocês entregam?"

Fornecedor maduro responde com o que consegue gerar. Fornecedor imaturo responde com o que acredita. A diferença aparece na hora da pergunta, não depois.

Do outro lado do balcão

Vale inverter o exercício: se o seu cliente aplicasse este questionário à sua empresa, o que você entregaria hoje? Foi por isso que publicamos as políticas e o canal de solicitação de documentos no Trust Center da NOBUG — a mesma exigência que recomendamos, aplicada a nós.

E para organizar as ferramentas que já estão em uso sem terem passado por rito nenhum, o caminho costuma ser o licenciamento corporativo, que traz contrato, nota fiscal e controle de acesso para o que hoje é assinatura pessoal.