Resposta rápida: A maior parte das empresas construiu política de uso de inteligência artificial para dentro e deixou a cadeia de fornecedores de fora, e é justamente lá que o material sensível circula com menos controle. Agências, consultorias, BPO de atendimento e retaguarda, escritórios de advocacia e fábricas de software já usam essas ferramentas, tipicamente sem informar o cliente. A correção tem quatro frentes: sete cláusulas contratuais que tratam de divulgação, dados, propriedade, responsabilidade, subcontratação, auditoria e continuidade; um questionário curto de diligência aplicado aos dez maiores fornecedores; a revisão do modelo de cobrança, porque preço por hora deixa de fazer sentido quando parte do trabalho passa por máquina; e o mapeamento dos subcontratados do seu fornecedor, que costuma ser o elo mais frágil da corrente. Vale conduzir essa conversa como negociação comercial em vez de conduzi-la como auditoria de conformidade, porque existe ganho de preço a repartir.
O relatório chegou bonito, com quarenta páginas, gráficos consistentes e uma seção de referências. A empresa tinha pago um valor respeitável a uma consultoria por aquele estudo de mercado, e o diretor que me mostrou o documento estava satisfeito até tentar localizar a fonte de um dado que ele queria usar numa apresentação ao conselho. A referência existia na forma, com nome de instituto e ano, e carecia de existência no mundo. Duas outras referências apresentaram o mesmo problema.
A consultoria admitiu, depois de alguma conversa, que parte do levantamento havia passado por ferramentas de inteligência artificial e que a conferência das fontes tinha falhado. O contrato daquele trabalho tinha dezoito páginas e nenhuma linha sobre o assunto, porque ele havia sido assinado num mundo em que essa possibilidade dispensava previsão.
Eu conto esse caso porque ele expõe o ponto cego mais comum do momento. Empresas gastaram meses construindo política interna de uso de inteligência artificial, treinando o próprio time e definindo o que pode entrar em cada ferramenta. E a informação delas continua circulando, todos os dias, dentro de ferramentas escolhidas por terceiros, com critérios que ninguém verificou.
A inteligência artificial que você jamais contratou já está no seu processo
Existe uma assimetria curiosa de atenção. A liderança discute com rigor qual plataforma a própria empresa vai contratar, com passagem por segurança, jurídico e compras. Ao mesmo tempo, a apresentação que a agência produz, o parecer que o escritório entrega, o atendimento que o BPO realiza e o código que a fábrica de software escreve podem envolver ferramentas que ninguém dessa cadeia de aprovação examinou.
A assimetria tem uma explicação simples: contrato de fornecimento trata de resultado, e o método sempre foi assunto do fornecedor. Essa divisão funcionou por décadas e trinca quando o método passa a implicar transferência de informação para sistemas de terceiros e passa a afetar a propriedade do que a empresa recebe.
Vale um ajuste de expectativa antes de começar essa conversa. O objetivo aqui dispensa proibição, e proibir seria contraproducente, porque a produtividade do fornecedor beneficia o cliente também. O objetivo é conhecer, controlar o que precisa de controle e repartir o ganho de forma justa. Eu tratei do documento equivalente para dentro de casa em política de uso de IA na empresa.
Agência, BPO, software, consultoria e subcontratado carregam riscos diferentes.
Cinco tipos de fornecedor e o risco específico de cada um
O mapeamento fica mais produtivo quando a empresa separa por natureza do serviço, porque o risco muda de forma relevante.
O primeiro grupo reúne agências e produtoras de conteúdo. O risco principal recai sobre propriedade e originalidade do material que a empresa vai publicar com a própria marca. O segundo grupo reúne consultorias e escritórios de advocacia. Aqui o risco está na confiabilidade do conteúdo, incluindo a citação inventada e a análise que soa convincente sem base verificável, além da circulação de documentos sob confidencialidade. O terceiro grupo reúne BPO de atendimento e de retaguarda. O risco maior recai sobre dado pessoal de cliente e sobre a qualidade da interação em nome da empresa. O quarto grupo reúne fábricas de software e fornecedores de tecnologia. O risco envolve licenças de código e a introdução de dependências que ninguém aprovou. O quinto grupo reúne fornecedores de recrutamento e de avaliação de pessoas, com risco de discriminação algorítmica e de tratamento de dado sensível de candidato.
Essa separação orienta o esforço. Uma empresa com muitos fornecedores costuma ter dois ou três grupos com exposição material e outros com exposição baixa, e concentrar o trabalho nos primeiros produz resultado rápido.
O risco de dados: o seu material dentro da ferramenta do terceiro
Esse é o risco de maior consequência potencial. Quando um profissional de um fornecedor cola o seu contrato, a sua base de clientes, o seu relatório financeiro ou a sua estratégia comercial numa ferramenta de conta pessoal, aquela informação passou por um caminho que a sua empresa jamais avaliou, com termos de uso que ninguém leu e com possibilidade de aproveitamento do conteúdo para melhoria do serviço.
A gravidade cresce porque a responsabilidade tende a permanecer com a empresa contratante aos olhos do cliente final e do regulador. Estudos da IBM situaram o custo médio global de uma violação de dados na casa dos milhões de dólares por evento, e a origem da falha dentro da cadeia de fornecedores oferece pouco consolo em termos reputacionais.
A medida prática tem três partes. Primeira: exigir contratualmente que o fornecedor utilize apenas contas corporativas com configuração que impeça o aproveitamento do conteúdo para treinamento. Segunda: definir categorias de informação que jamais podem entrar em qualquer ferramenta externa, com lista curta e específica. Terceira: pedir a lista das ferramentas efetivamente utilizadas, com atualização anual. Eu escrevi sobre a camada regulatória desse tema em shadow AI e LGPD.
A figura do operador e a responsabilidade que permanece com você
A legislação brasileira de proteção de dados organiza responsabilidades entre quem decide o tratamento e quem o executa em nome dele. Quando a empresa contrata um BPO para atender clientes, ela permanece na posição de quem decide, e essa posição carrega deveres que a terceirização jamais transfere integralmente.
Isso tem duas consequências operacionais. A primeira é a necessidade de o contrato descrever com precisão o que o fornecedor pode fazer com o dado, incluindo o uso em ferramentas de inteligência artificial, com vedação expressa ao que estiver fora do escopo. A segunda é o dever de fiscalizar de forma minimamente documentada, porque a diligência do contratante entra na avaliação de qualquer autoridade que examine um incidente.
Eu recomendo que essa fiscalização assuma a forma mais simples possível: uma declaração anual assinada pelo fornecedor, um questionário curto respondido por escrito e o registro dessas evidências numa pasta. Vinte minutos de trabalho por fornecedor relevante, com valor probatório real.
O risco de qualidade: o conteúdo que parece sólido
O caso do relatório com referências inexistentes que abre este artigo tem uma característica que merece atenção: o defeito estava invisível para quem recebeu. Material produzido com apoio de máquina e revisão insuficiente apresenta uma qualidade superficial alta, com estrutura correta, linguagem adequada e aparência profissional, o que desarma a desconfiança natural do leitor.
A verificação, então, precisa mudar de lugar. Em vez de confiar na aparência da entrega, a empresa passa a exigir do fornecedor a evidência do processo: quais fontes primárias foram consultadas, com link ou arquivo anexado; quem revisou o material, com nome; e qual verificação foi feita nos dados numéricos. Essa exigência custa pouco a um fornecedor sério e produz constrangimento imediato em quem entrega material sem revisão.
Existe um sinal barato de triagem que eu passei a usar. Peço, em qualquer entrega analítica, o arquivo das fontes primárias junto com o documento final. Fornecedor que trabalha bem envia em minutos, porque o material existe na pasta dele. Fornecedor que carece desse material inventa uma justificativa, e a justificativa já responde a pergunta.
Framework de IA em fornecedores e terceirizados: A inteligência artificial que você jamais contratou já.
O risco de propriedade sobre aquilo que você paga
Contratos de fornecimento criativo preveem cessão de direitos ao contratante, e essa cláusula pressupõe que o fornecedor detenha os direitos que ele cede. Quando parte do material nasce de máquina, essa premissa fica frágil, e a empresa que publica com a própria marca assume a exposição.
Eu recomendo três exigências para material de alcance externo: informação sobre o uso de inteligência artificial na produção, declaração de contribuição humana relevante com descrição concreta, e responsabilidade definida em caso de violação de direito de terceiro. A terceira exigência enfrenta resistência comercial, e vale sustentá-la, porque fornecedor que recusa qualquer responsabilidade sobre originalidade está transferindo o risco inteiro ao cliente. Eu detalhei o funcionamento dessa proteção em propriedade intelectual do conteúdo gerado por IA.
O modelo de cobrança por hora deixou de fazer sentido
Aqui a conversa deixa de ser sobre risco e passa a ser sobre dinheiro. Boa parte dos contratos de serviço profissional precifica esforço, com hora, homem-mês ou tabela por peça construída a partir do tempo médio de produção. Quando parte desse tempo desaparece, o preço permanece e a margem do fornecedor sobe sem que o cliente participe do ganho.
Eu vejo três reações possíveis do lado do contratante. A primeira, ingênua, ignora o assunto e continua pagando pelo esforço que deixou de existir. A segunda, agressiva, exige corte proporcional de preço, o que costuma degradar a relação e empurrar o fornecedor para a entrega de volume sem revisão, resultado pior para todos. A terceira, que eu recomendo, renegocia a estrutura em vez de renegociar apenas o número.
Renegociar a estrutura significa migrar de esforço para resultado sempre que possível: preço por peça entregue com padrão de qualidade definido, preço por atendimento resolvido, preço por ponto de função aceito. Nesse desenho, o ganho de produtividade do fornecedor melhora a margem dele e melhora a competitividade da proposta na renovação, e a empresa deixa de comprar horas para comprar resultado.
Como conduzir a renegociação sem destruir a relação
A conversa funciona melhor quando o contratante chega com dados e com uma proposta de repartição em vez de chegar com suspeita. Eu monto a discussão em quatro passos.
Primeiro, apresento o que mudou no mercado, sem acusação, reconhecendo que a tecnologia alterou a economia daquele serviço para os dois lados. Segundo, peço transparência sobre onde o fornecedor usa essas ferramentas e qual efeito ele percebeu no próprio tempo de produção. Terceiro, proponho uma estrutura nova de preço, com repartição explícita do ganho, tipicamente uma redução moderada de preço acompanhada de ampliação de escopo ou de prazo de contrato mais longo. Quarto, defino indicadores de qualidade que passam a valer, porque preço menor sem padrão definido produz entrega pior.
O quarto passo protege o contratante de um risco real. Quando a pressão de preço aumenta e a qualidade permanece sem definição, o fornecedor equilibra a conta reduzindo revisão humana, e o cliente recebe material aparentemente igual com fragilidade escondida. Eu tratei desse mecanismo em por que a IA barata sai cara.
As sete cláusulas que eu recomendo incluir
O trabalho jurídico dessa agenda cabe em sete cláusulas, e elas servem à maioria dos contratos de serviço com pequenas adaptações.
A primeira trata de divulgação: o fornecedor informa o uso de inteligência artificial na execução, com descrição do que é produzido dessa forma. A segunda trata de dados: define categorias de informação que podem e que jamais podem entrar em ferramentas externas, e exige conta corporativa com configuração que impeça aproveitamento de conteúdo. A terceira trata de revisão humana: estabelece que toda entrega passa por conferência de profissional identificado. A quarta trata de propriedade e originalidade, com declaração de contribuição humana e responsabilidade por violação de direito de terceiro. A quinta trata de subcontratação: proíbe repasse do serviço a terceiros sem autorização e estende as mesmas obrigações a quem for autorizado. A sexta trata de auditoria: garante o direito de solicitar evidências do processo, com prazo de resposta definido. A sétima trata de continuidade: assegura que dados, configurações e materiais retornem à empresa em formato utilizável ao fim do contrato.
Uma observação sobre proporcionalidade. Aplicar as sete cláusulas ao fornecedor de material de escritório seria burocracia inútil. Eu recomendo aplicá-las aos fornecedores que tocam informação sensível, produzem material de alcance externo ou atendem cliente em nome da empresa, o que costuma reduzir a lista a algo entre dez e trinta contratos numa companhia de porte médio.
O questionário de diligência que resolve a triagem
Antes de mexer em contrato, vale saber onde a empresa está. Eu uso um questionário de dez perguntas, enviado por escrito, com resposta em duas semanas.
As perguntas cobrem: se o fornecedor usa ferramentas de inteligência artificial na execução do contrato e quais; se o acesso ocorre por conta corporativa; se a configuração impede aproveitamento de conteúdo para treinamento; qual política interna ele mantém sobre o assunto; como funciona a revisão humana das entregas; se existe subcontratação envolvida; como ele trata dado pessoal nesse fluxo; qual seguro ou garantia ele oferece; quem responde pelo tema na estrutura dele; e se houve algum incidente nos últimos doze meses.
A qualidade das respostas informa mais do que o conteúdo delas. Fornecedor organizado responde com precisão em poucos dias. Fornecedor que pede prorrogação e devolve generalidades revela ausência de governança, e essa informação vale para a decisão de renovação independentemente de qualquer cláusula.
Matriz de decisão de IA em fornecedores e terceirizados: A figura do operador e a responsabilidade que.
Subcontratados: o elo que quase ninguém mapeia
A cadeia costuma ter mais elos do que o contrato revela. A agência subcontrata produtora, a produtora contrata freelancer, o BPO usa uma empresa de tecnologia para o sistema de atendimento, o escritório de advocacia terceiriza pesquisa. Cada elo adicional multiplica o número de ferramentas envolvidas e reduz a visibilidade do contratante original.
Eu recomendo pedir, aos fornecedores dos grupos sensíveis, a lista dos subcontratados que têm contato com informação da empresa. O pedido costuma gerar surpresa e, em alguns casos, revela que o fornecedor também carecia desse mapa. A conversa que se segue melhora a governança dos dois lados, e ela substitui com vantagem qualquer cláusula genérica de vedação que ninguém fiscaliza.
Diligência primeiro, cláusula depois: a conversa fica mais fácil com evidência.
BPO e operações terceirizadas: o caso mais sensível
Quando um terceiro atende o seu cliente em nome da sua marca, todos os riscos anteriores se combinam com um adicional: a experiência do cliente. Respostas produzidas por máquina com revisão insuficiente chegam ao consumidor final, e a marca que responde é a sua.
O desenho que eu recomendo nesse caso tem quatro elementos. Primeiro, definição explícita de quais interações podem ter apoio de máquina e quais exigem atendimento humano integral, tipicamente reclamação, cancelamento e situação com implicação jurídica. Segundo, revisão humana obrigatória em toda comunicação escrita que trate de valor, prazo ou compromisso. Terceiro, indicador de qualidade acompanhado pela contratante em amostra própria, sem depender do relatório do fornecedor. Quarto, treinamento do time terceirizado sobre a política da sua empresa, com o mesmo conteúdo que o time interno recebe. Eu tratei do roteiro para a pergunta direta do cliente em quando o cliente pergunta se usamos IA.
O fornecedor que proibiu inteligência artificial internamente
Existe o caso oposto, e ele merece atenção comercial. Alguns fornecedores adotaram proibição interna ampla, por prudência ou por exigência de outros clientes, e essa escolha aparece no preço e no prazo que eles oferecem à sua empresa.
A leitura correta dessa situação depende do tipo de serviço. Em trabalho de alta sensibilidade, a proibição pode ser um diferencial legítimo, e vale pagar por ela de forma consciente. Em serviço de produção rotineira, a proibição significa que a sua empresa está financiando ineficiência, e vale conversar sobre o assunto na renovação. A pergunta que organiza a decisão é direta: o que exatamente eu ganho com essa restrição, e esse ganho justifica a diferença de preço e de prazo?
Os dez fornecedores para chamar neste trimestre
O trabalho inteiro fica mais leve quando começa pelo topo da concentração. Eu recomendo listar os fornecedores por volume de gasto e por sensibilidade de informação, escolher os dez primeiros e conduzir uma conversa estruturada com cada um dentro de um trimestre.
Cada conversa segue o mesmo roteiro: o questionário enviado antes, uma reunião de uma hora para discutir as respostas, a proposta das cláusulas aplicáveis e a discussão sobre estrutura de preço quando ela couber. Dez conversas em três meses cobrem a maior parte da exposição real de uma empresa média, e produzem um efeito adicional que vale mencionar: a notícia circula no mercado, e os demais fornecedores chegam à renovação já preparados.
Vale preparar uma resposta para a objeção que aparece em algumas dessas reuniões, quando o fornecedor argumenta que o método de trabalho dele pertence a ele. O argumento tem fundamento e ele encontra um limite objetivo: método permanece com o fornecedor, e a circulação da informação do cliente, a propriedade do material entregue e o padrão de revisão pertencem ao contrato. Colocada nesses termos, a conversa sai do terreno da desconfiança e volta para o terreno comercial, onde ela se resolve.
Eu encerro com a observação que mais muda a disposição dos executivos para essa agenda. A cadeia de fornecedores é o único lugar em que a empresa pode melhorar governança de inteligência artificial e reduzir custo na mesma conversa. Para dentro, o programa exige investimento antes do retorno. Para fora, existe ganho de produtividade já realizado por terceiros que ninguém repartiu ainda, e essa negociação tem prazo, porque o mercado vai reprecificar esses serviços com ou sem a participação da sua empresa.
Leia também
O contexto brasileiro: LGPD, ANPD e o PL 2338
No Brasil, qualquer decisão sobre uso de IA na operação passa pela LGPD (Lei 13.709/2018). A ANPD pode aplicar sanção de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, e o PL 2338/2023 avança para criar o marco legal da IA, com obrigações de transparência, avaliação de risco e supervisão humana em sistemas de alto impacto.
Na prática, isso significa três coisas para a liderança: registrar quais ferramentas e agentes de IA tratam dados pessoais, definir quem responde por cada decisão automatizada e manter trilha de auditoria do que foi gerado por máquina.
A Groovia acompanha essa jornada com um time de 6 humanos e 78 agentes próprios, e já conduziu 100 sócios pela Curva de Maturidade em IA, das 5 etapas que levam uma empresa de AI First a AI Native.