Quando avaliar fornecedores de IA e o que fazer a seguir

A diligência devida sobre fornecedores de IA deve começar antes de o serviço receber dados relevantes, ligar-se a sistemas empresariais ou influenciar decisões com consequências importantes. Repita as verificações pertinentes quando mudarem a finalidade, permissões, tratamento de dados ou serviço. Comece por definir a utilização prevista, atribuir um responsável e reunir provas para uma aprovação de âmbito delimitado.

Para equipas SaaS, esta avaliação liga as compras às decisões de produto, segurança, privacidade e operações. As recomendações seguintes descrevem um processo prático, não um questionário legal universal. A profundidade deve refletir possíveis falhas e pessoas afetadas. Um assistente que redige ajuda pública exige uma avaliação diferente de um agente que altera contas de clientes.

Reconheça os acontecimentos que desencadeiam a avaliação

Comece enquanto a equipa ainda pode mudar de fornecedor, limitar a utilização ou negociar condições. Esperar pela assinatura ou lançamento dificulta a resolução de dúvidas. Inclua testes gratuitos, subscrições de trabalhadores, API, modelos integrados e funcionalidades de IA ativadas em plataformas existentes.

Estes acontecimentos devem iniciar ou reabrir uma avaliação:

• Nova compra: uma equipa propõe um serviço ou integração de IA.
• Nova capacidade: um fornecedor existente acrescenta um assistente, recuperação de informação ou ação automatizada.
• Mais dados: um piloto passa de exemplos sintéticos para registos de clientes ou documentos confidenciais.
• Mais autoridade: uma ferramenta passa de sugerir ações a executá-las.
• Alteração substancial: encaminhamento de modelos, alojamento, conservação, condições ou subcontratantes mudam de forma relevante para a aprovação.
• Provas desfavoráveis: um incidente, reclamação ou avaliação falhada põe em causa uma premissa da utilização continuada.

A renovação é um ponto de controlo útil, mas não deve ser o único desencadeante. Atribua a alguém a receção de avisos do serviço e a ligação destes ao registo da implementação. A relação comercial pode permanecer igual enquanto o risco real muda significativamente.

Determine as verificações aplicáveis

Descreva numa frase a tarefa, utilizadores, dados e limites de atuação. Exemplo: «Os colaboradores do apoio usam o espaço empresarial para preparar respostas a partir de documentação pública; enviam as respostas pessoalmente; os pedidos de clientes estão excluídos». Registe também o plano adquirido e a configuração.

Identifique as áreas de avaliação. Privacidade avalia o tratamento de dados pessoais; segurança, acessos e integrações; responsáveis de produto, qualidade dos resultados e consequências dos erros; jurídico, obrigações aplicáveis e repartição contratual. Compras coordena provas e processo comercial. Numa empresa pequena, uma pessoa pode acumular funções, mas cada decisão precisa de um responsável identificado.

Quando o RGPD se aplica, o artigo 28 exige garantias suficientes dos subcontratantes. RGPD, artigo 28. Peça à equipa de privacidade que determine os papéis das partes e o acordo de tratamento antes de considerar suficiente o contrato padrão do fornecedor.

Para delimitar o Regulamento da IA, peça ao jurídico que identifique papel, finalidade prevista, disposições e datas aplicáveis. Uma declaração geral de conformidade do fornecedor não responde a essas perguntas específicas. Registe fundamentos e questões abertas em vez de copiar uma afirmação comercial para a aprovação.

Em 10 de setembro de 2026, os marcos de risco elevado são 2 de dezembro de 2027 para o anexo III e 2 de agosto de 2028 para o anexo I. Calendário atualizado da Comissão Europeia. Verifique separadamente as disposições relevantes antes de decidir o que fazer agora.

Quando uma avaliação mais limitada é razoável

Se o produto não tiver IA, o processo normal de fornecedores pode bastar. Se tratar apenas material público e não aceder a sistemas nem executar ações, uma avaliação de IA mais breve pode ser proporcional. Documente os limites e confirme que a configuração os impõe.

A ausência de dados pessoais não elimina automaticamente a avaliação. Confidencialidade, propriedade intelectual, fiabilidade, continuidade e compromissos com clientes podem continuar a importar. Inversamente, a IA não justifica pedir todos os documentos a todos os fornecedores. Solicite provas para decisões específicas e explique verificações não aplicáveis.

Um piloto reúne provas dentro de limites acordados. Não autoriza automaticamente o envio de registos de produção. Defina dados, utilizadores, integrações, duração e condições de paragem antes de conceder acesso. Determine quem pode autorizar a expansão após analisar os resultados.

Siga um processo de decisão em seis passos

1. Crie o registo de utilização

Registe tarefa, serviço, plano, utilizadores, categorias de dados, localizações, integrações e ações permitidas. Nomeie responsáveis de negócio e técnico. Ligue a arquitetura ou esquema de fluxos de dados e enumere utilizações excluídas. O registo será a referência comum dos especialistas.

Separe a implementação prevista de funcionalidades futuras. Se a equipa quiser automatizar reembolsos mais tarde, registe isso como uma alteração futura sujeita a avaliação. Um plano amplo de produto não deve alargar silenciosamente a aprovação atual.

2. Siga os dados e os acessos

Pergunte o que acontece a instruções, anexos, material recuperado, resultados, comentários e registos técnicos. Determine conservação, eliminação, acesso do apoio, destinatários posteriores e utilização para treino. Relacione as respostas com o plano e as definições exatas a utilizar.

Nos serviços ligados, registe credenciais e permissões. Prefira o acesso mínimo necessário e teste os limites. «Só de leitura» num formulário não basta se a integração receber permissões de escrita. Guarde uma exportação da configuração ou prova equivalente.

3. Relacione afirmações e provas

Use uma tabela curta: afirmação, documento ou teste, âmbito, data, avaliador e lacuna restante. Um relatório de segurança pode sustentar controlos no seu âmbito; um contrato, compromissos acordados; um teste, comportamento observado em condições registadas. Mantenha visíveis as diferenças.

Peça esclarecimentos quando um documento excluir a funcionalidade de IA ou cobrir outro ambiente. Se faltarem provas, registe a incerteza e o efeito na decisão. Dimensão, reputação ou uma demonstração convincente não devem encerrar uma pergunta sem resposta.

4. Teste o processo real

Defina critérios de aceitação antes dos testes. Inclua tarefas representativas, informação incompleta, entradas enganadoras, limites de permissões e recuperação após falhas. Use dados sintéticos ou autorizados. Registe versão disponível, definições, data, resultados e falhas por resolver.

Teste também a revisão humana. O avaliador consegue consultar material de apoio, rejeitar uma sugestão errada e parar uma ação a tempo? Caso contrário, altere o processo ou limite a capacidade. Uma média elevada de qualidade não deve esconder uma falha que exponha informação de outro cliente.

5. Tome uma decisão explícita

Escolha: aprovar dentro do âmbito, aprovar com condições, limitar a um piloto, escalar ou rejeitar. Separe condições que bloqueiam produção de melhorias posteriores. Atribua a cada condição um responsável, prazo e prova de conclusão.

Registe riscos residuais e exceções autorizadas com fundamento e validade. A assinatura não deve ultrapassar silenciosamente um bloqueio técnico ou de privacidade. Quem ativa a integração deve compreender a decisão sem reconstruir conversas entre correio eletrónico e mensagens.

6. Monitorize e prepare a saída

Defina uma data de revisão segundo a utilização e os riscos, além dos acontecimentos anteriores. Atribua responsabilidade por avisos, incidentes, reclamações e avaliações. Reabra apenas as verificações afetadas quando justificado e conserve o histórico.

Descreva como revogar acessos, remover integrações, exportar registos necessários, pedir eliminação e continuar a tarefa durante indisponibilidade ou saída. Ensaie os passos críticos antes de depender deles. Registos reutilizáveis também reduzem duplicações abordadas no guia sobre avaliações manuais do risco de fornecedores.

Exemplo: um assistente começa a ler pedidos privados

Imagine uma equipa de apoio que já prepara respostas com documentação pública através de um assistente. Produto quer agora recuperar pedidos privados. Fornecedor e subscrição não mudam, mas o limite dos dados muda. A avaliação deve preceder a ativação.

O responsável atualiza o registo. Privacidade verifica o acordo de tratamento; segurança testa permissões dos pedidos e separação entre clientes; produto testa divulgações desnecessárias nas respostas. Compras confirma que os compromissos abrangem a nova função. A utilização original de redação mantém-se durante as verificações.

Se os testes de permissões falharem, a capacidade permanece bloqueada. Se passarem, a aprovação regista dados permitidos, definições, resultados, supervisão e condições de reavaliação. O exemplo ilustra uma decisão, sem concluir que uma implementação concreta cumpra toda a legislação aplicável.

Erros comuns a evitar

Aprovar um nome de empresa em vez de uma utilização definida torna invisíveis as alterações posteriores. Acumular documentos sem conclusões cria armazenamento em vez de provas. Chamar «baixo risco» a um piloto sem limitar dados ou permissões deixa a questão importante em aberto.

Outro erro é atribuir tudo à «conformidade». O responsável de negócio explica a tarefa e assume responsabilidade operacional; engenharia verifica controlos; especialistas decidem nas suas competências. Um coordenador pode fazer avançar o processo sem assumir todos os riscos.

Perguntas frequentes

Qual é o objetivo prático?

Decidir se um serviço específico pode executar uma tarefa definida, com provas, condições e responsáveis. O resultado deve indicar o que pode ser ativado e o que permanece restrito.

O que deve um fundador documentar primeiro?

Tarefa, dados, permissões e responsável. Estes factos tornam concretas as perguntas seguintes. Comece por uma utilização relevante em vez de distribuir um questionário indiferenciado por toda a empresa.

Cada alteração exige reiniciar toda a avaliação?

Não. Compare a alteração com as premissas registadas e reabra as verificações pertinentes. Conserve a justificação quando não existir efeito substancial. Escale se as consequências não forem claras.

O que fazer na próxima semana?

Escolha um serviço de IA proposto ou ativo. Escreva o registo, identifique a maior lacuna de provas e atribua um avaliador. Acorde uma decisão delimitada e registe o próximo desencadeante antes de ampliar o acesso.

Fontes e crédito da imagem

Referências legais verificadas em 10 de setembro de 2026. As fontes ligadas sustentam afirmações jurídicas e datas; processo e exemplo são recomendações editoriais.

Fotografia: Team Meeting, woodleywonderworks, CC BY 2.0. Redimensionada para 1280 × 482 píxeis. Fotografia ilustrativa.