IA para jurídico: checklist de privacidade e DPA ao adotar

Checklist para equipes jurídicas e de compliance: o que exigir de um fornecedor de IA antes de assinar — DPA, retenção, opt-out de treinamento e certificações.

Índice

Por que isso não se resolve "lendo os termos"
O checklist: oito perguntas antes de assinar
Tabela-resumo para a reunião de avaliação
Red flags: quando a resposta já é uma resposta
Como isso se relaciona com o que um funcionário já não deve colar
Perguntas frequentes

Por que isso não se resolve "lendo os termos"

Os termos de serviço de um fornecedor de IA mudam, às vezes várias vezes por ano, e costumam ter camadas distintas conforme o produto: o chat de consumo, a API, o plano de equipe e as integrações de terceiros podem se reger por documentos diferentes dentro da mesma marca. Afirmar hoje "este fornecedor não treina com os nossos dados" como um fato fixo é o tipo de frase que envelhece mal.

Por isso a resposta operacional não é memorizar uma política pontual, e sim instalar um processo: um checklist que se roda toda vez que se avalia uma ferramenta nova, e se volta a rodar quando mudam os termos do fornecedor que você já usa.

O checklist: oito perguntas antes de assinar

Cada pergunta deve ter uma resposta por escrito do fornecedor, não uma impressão da call de vendas.

1. Existe um DPA (Data Processing Agreement / Acordo de Processamento de Dados) assinável?

Um DPA é o documento que define quem é o controlador e quem é o operador, o que o fornecedor pode fazer com os dados que você envia, e sob quais regras. Se o fornecedor não tem um DPA disponível para o seu tipo de plano, ou só o oferece a partir de certo nível de contrato empresarial, essa é informação que você precisa antes de decidir o plano que vai comprar — não depois.

Pergunta concreta: "conseguem me enviar o DPA vigente para o plano que estou avaliando?" Se a resposta demora semanas ou ninguém sabe para quem escalar, isso é um sinal sobre o tamanho real da equipe de compliance do fornecedor.

2. Onde os dados são processados e armazenados (residência de dados)?

Alguns fornecedores permitem escolher a região de processamento (por exemplo, UE ou EUA); outros não, ou só oferecem isso em planos altos. Se a sua empresa opera sob um regime que exige que certos dados não saiam de uma região — ou que se notifique uma transferência internacional —, isso não é um detalhe técnico: é uma condição de conformidade.

Consulte a política vigente do fornecedor que você avalia, porque muda com frequência e às vezes muda por país de faturamento, não só por tipo de plano.

3. Qual é a janela de retenção de dados?

Não é a mesma coisa "não treinamos com os seus dados" e "não guardamos os seus dados". São duas promessas distintas. Pergunte de forma explícita:

Por quanto tempo se conserva o conteúdo das conversas ou os documentos processados?
Esse prazo é configurável pelo cliente?
O que acontece com os dados se cancelarmos o contrato?

4. Existe uma opção real de exclusão de treinamento ("não treinar com os meus dados")?

Muitos fornecedores oferecem algum mecanismo de opt-out de treinamento, mas o alcance varia: pode valer só para o chat e não para a API, só para certos planos, ou exigir que cada usuário ative individualmente em vez de ser uma política no nível da conta corporativa. Peça que confirmem por escrito para o produto exato que você vai usar, não para "a marca" em geral.

5. Há lista de subprocessadores?

Um subprocessador é qualquer terceiro que o fornecedor usa para prestar o serviço (infraestrutura em nuvem, ferramentas de suporte, serviços de tradução etc.). Um fornecedor sério publica ou entrega sob pedido uma lista de subprocessadores, e notifica quando muda. Se o seu contrato com os seus próprios clientes te obriga a informá-los quem processa os dados deles, você precisa dessa lista para cumprir a sua própria cadeia de responsabilidade.

6. Há logs de auditoria acessíveis para o administrador da conta?

Para compliance, a pergunta não é só "o fornecedor guarda logs?" e sim "eu, como administrador da conta da minha empresa, consigo ver quem usou a ferramenta, quando e com que nível de detalhe?". Sem isso, uma investigação interna depois de um incidente depende de pedir dados ao fornecedor, com os prazos que isso implica.

7. Quais certificações sustenta, e desde quando?

SOC 2 (Tipo I ou Tipo II), ISO 27001 e certificações setoriais específicas (saúde, financeiro) são a forma padrão de um fornecedor demonstrar controles verificados por um terceiro, não autodeclarados. Peça o relatório ou o certificado, não só o logo na página de preços. Um logo sem data nem alcance definido não é evidência.

8. Para quem, dentro do fornecedor, posso escrever com perguntas de compliance?

Um fornecedor maduro tem um canal identificável (trust center, e-mail de privacidade, portal de segurança) distinto do suporte geral. Se a única via é um chat de vendas, isso limita a rapidez com que você vai conseguir resolver uma dúvida contratual no futuro, ou reagir a uma mudança de política.

Tabela-resumo para a reunião de avaliação

Use esta tabela como ata da reunião com o fornecedor. Se uma linha ficar em branco, essa é a pergunta pendente antes de aprovar.

Ponto a verificar	Resposta do fornecedor	Evidência (documento / link)
DPA disponível para o plano avaliado
Residência de dados / transferência internacional
Janela de retenção de dados
Opt-out de treinamento (alcance exato)
Lista de subprocessadores
Logs de auditoria para admin da conta
Certificações vigentes (SOC 2, ISO 27001, outras)
Contato de compliance / trust center

Red flags: quando a resposta já é uma resposta

"Não treinamos com os seus dados, confie em nós" sem documento que respalde. Uma política de privacidade genérica voltada ao consumidor não é um DPA.
O DPA só existe "a partir de X assentos" ou "no plano Enterprise", e ninguém te conta até você já ter avançado a avaliação com o plano mais barato.
Ninguém consegue explicar a diferença entre o produto de chat e a API em matéria de retenção ou treinamento. São, com frequência, produtos distintos com regras distintas dentro do mesmo fornecedor.
A lista de subprocessadores não existe ou não se atualiza. Se não sabem quem mais toca os dados, também não podem te garantir grande coisa sobre eles.
As certificações são mencionadas, mas não podem ser mostradas. Peça o certificado ou o resumo do relatório, não a lista de logos.
O único canal de compliance é a equipe de vendas. Uma pergunta contratual respondida por quem ganha comissão por fechar o negócio não é a mesma garantia que um canal de compliance dedicado.

Como isso se relaciona com o que um funcionário já não deve colar

Este checklist filtra o fornecedor antes de assinar. Mas mesmo com o melhor DPA assinado, continua existindo uma camada de decisão diária: que informação concreta entra em cada conversa com a IA. Essa parte — o que não compartilhar, a diferença entre plano pessoal e plano de equipe, e como escrever uma política de uma página que o time cumpra — está desenvolvida no artigo sobre segurança e privacidade da IA nos negócios. Os dois checklists são complementares: um é para o jurídico antes de comprar, o outro é para todo o time todos os dias.

Perguntas frequentes

Um DPA assinado elimina o risco de usar IA com dados de clientes?

Não. Um DPA define responsabilidades e compromissos contratuais, mas não substitui o critério operacional sobre que informação se sobe em primeiro lugar. Reduz o risco contratual e de conformidade; não substitui a política interna de uso.

Preciso de um DPA distinto para cada ferramenta de IA que a empresa usa?

Em princípio sim, um por fornecedor, porque cada um processa e retém dados sob os seus próprios termos. Se a sua empresa usa várias ferramentas de IA (chat, transcrição, geração de imagens, automações), o checklist deste artigo deveria ser rodado para cada uma, não só para a principal.

Como verifico que a política de um fornecedor continua vigente depois de assinar?

Inclua uma revisão periódica — trimestral ou semestral — do trust center ou da página de privacidade do fornecedor no seu calendário de compliance. As políticas de retenção, treinamento e subprocessadores mudam, e o DPA assinado nem sempre se atualiza automaticamente quando muda a política pública.

Isso vale igual para ferramentas de IA integradas dentro de outro software (por exemplo, um CRM com IA embutida)?

Sim, e costuma passar despercebido. Se o seu CRM, a sua suíte de escritório ou o seu helpdesk adicionaram uma função de IA, essa função pode ter o seu próprio subprocessador de modelo de linguagem por trás, com a sua própria política de retenção. Pergunte a esse fornecedor diretamente qual modelo usa e sob quais termos, em vez de assumir que herda as garantias do contrato original do software.

Nenhum fornecedor de IA vai te mandar este checklist por iniciativa própria — ele existe para você levar à reunião. A pergunta que separa um fornecedor pronto para um contexto regulado de um que ainda não está não é "a IA dele é boa?". É se ele consegue responder, com documento na mão, as oito perguntas acima. Se não consegue, essa é informação suficiente para decidir, mesmo antes de ver uma demo.