A due diligence de fornecedor de IA é a avaliação feita antes de contratar uma ferramenta ou um serviço que usa inteligência artificial. Ela verifica como o fornecedor trata os dados enviados, se usa esses dados para treinar modelos, como testa a segurança, que documentação entrega sobre o modelo, como avisa incidentes e qual papel declara no AI Act. O resultado orienta a decisão de compra e o contrato.
Como usar
- Informe o fornecedor, o produto, a criticidade do uso e os dados que serão compartilhados.
- Responda às quinze perguntas com sim, parcial, não ou não sei, com base nas respostas e nos documentos do fornecedor.
- Leia a pontuação, o risco residual, a recomendação e os alertas graves.
- Envie ao fornecedor as perguntas em aberto e leve as cláusulas sugeridas para a negociação do contrato.
- Exporte em DOCX, CSV, PDF ou Markdown para guardar como evidência.
O que cada campo pede
| Campo | O que preencher |
|---|---|
| Fornecedor | Nome da empresa avaliada. |
| Produto ou serviço | Ex.: assistente de revisão de contratos |
| Criticidade do uso | Quanto um erro ou uma falha do fornecedor afetaria pessoas ou a operação. |
| Para que a ferramenta será usada | Quem usa, com que dados e para qual decisão. |
| Dados compartilhados com o fornecedor | Marque tudo o que sai da organização. |
| O fornecedor tem política ou princípios de IA responsável publicados? | |
| Tem sistema de gestão de IA (ISO/IEC 42001 ou equivalente)? | Certificado ou em implantação conta como parcial. |
| Há contrato de tratamento de dados assinado ou disponível? | Define o fornecedor como operador e as instruções que ele segue. |
| A lista de suboperadores é publicada e mudanças são avisadas? | |
| Transferências internacionais têm salvaguardas? | Ex.: cláusulas-padrão contratuais ou decisão de adequação. |
| Os dados do cliente ficam fora do treino dos modelos (ou há opção de recusa)? | |
| Tem certificação ou relatório independente de segurança? | Ex.: ISO/IEC 27001 ou relatório de auditoria independente. |
| Testa injeção de prompt, abuso e uso indevido (red teaming)? | |
| Oferece documentação do modelo (model card ou equivalente)? | |
| Publica resultados de avaliação de precisão e viés e as limitações conhecidas? | |
| Assume no contrato avisar incidentes em prazo definido? | |
| Disponibiliza registros de uso (logs) ao cliente? | |
| Declara o próprio papel e a classificação do sistema no AI Act? | Ex.: fornecedor de sistema de IA de risco limitado. |
| Apoia as obrigações de transparência (avisar que é IA, marcar conteúdo gerado)? | |
| Devolve e apaga os dados no fim do contrato, com confirmação? |
Exemplo
O jurídico de uma empresa fictícia avalia a Lexora, um assistente de revisão de contratos em nuvem que vai receber contratos com nomes e contatos de representantes e informação confidencial. Com contrato de tratamento de dados, segurança certificada e aviso de incidentes, mas respostas parciais sobre treino e transferências e sem resultados de avaliação de viés, a pontuação fica em 67 de 100, o risco residual é médio e a recomendação é aprovar com condições, com oito perguntas de acompanhamento.
Quando usar
- Antes de contratar uma ferramenta de IA generativa ou um serviço que usa IA.
- Na renovação de contratos com fornecedores que passaram a usar IA.
- Quando o inventário de IA mostra uma ferramenta usada pelas equipes sem avaliação.
- Para padronizar a avaliação entre compras, segurança, privacidade e jurídico.
Perguntas frequentes
O que perguntar a um fornecedor de IA?
O essencial: como trata os dados enviados, se os usa para treinar modelos, onde os dados ficam, como testa a segurança e o uso indevido, que documentação entrega sobre o modelo, como avisa incidentes, qual papel declara no AI Act e como apaga os dados no fim do contrato. O questionário cobre esses pontos em quinze perguntas.
Como a pontuação é calculada?
Sim vale 2 pontos, parcial vale 1 e não ou não sei valem 0. As perguntas de proteção de dados pesam mais quando há dados pessoais ou sensíveis, e as de segurança pesam mais com informação confidencial ou código-fonte. A criticidade do uso e os alertas graves ajustam o risco residual.
O que é um alerta grave?
É uma resposta que, sozinha, já pede atenção: dados pessoais sem contrato de tratamento, nenhuma garantia de que os dados fiquem fora do treino, nenhum prazo para avisar incidentes, transferência internacional sem salvaguarda ou nenhuma exclusão de dados no fim do contrato.
"Não sei" conta como "não"?
Sim, na pontuação. Falta de informação é risco até o fornecedor responder; por isso toda resposta diferente de sim vira uma pergunta de acompanhamento para enviar a ele.
O resultado substitui a análise jurídica e de segurança?
Não. É uma ferramenta educativa que organiza as respostas do fornecedor; não é parecer jurídico nem auditoria. A decisão final cabe às áreas de segurança, privacidade e jurídico da sua organização.
Qual certificação DPCert cobre este tema?
A gestão de IA de terceiros e fornecedores é um domínio da RAIP Responsible AI Practitioner. A asseguração da cadeia de fornecimento é tema da AUDAI Responsible AI Auditor, que tem como pré-requisito a RAIP ou a DPAI.