Antes de contratar um fornecedor de IA, faça dez perguntas organizadas em três frentes: riscos e conformidade, dados e arquitetura, custos e contrato. A base dessas perguntas é pública e verificável: o AI RMF do NIST organiza a gestão de riscos em quatro funções: govern, map, measure e manage, e o AI Act europeu já fixa prazos e obrigações que qualquer fornecedor sério precisa saber explicar com as próprias palavras. Este guia reúne as dez perguntas, o que uma resposta honesta deve conter e os sinais de alerta em cada frente. Nenhuma ferramenta garante conformidade automática — prometer isso é, por si só, motivo para desconfiar.
| Frente | Pergunta ao fornecedor | O que uma boa resposta tem |
|---|---|---|
| Riscos | 1. Como você lida com os riscos do sistema que vende? | Processo documentado, papéis definidos e revisão periódica |
| Riscos | 2. Quem responde por decisões automatizadas? | Responsável humano nomeado e canal de contestação |
| Riscos | 3. O sistema se encaixa em alguma categoria de risco do AI Act? | Análise de classificação por escrito, sem prometer conformidade automática |
| Dados | 4. Onde meus dados são processados e armazenados? | Região de processamento declarada e política de retenção |
| Dados | 5. Meus dados treinam modelos seus ou de terceiros? | Resposta direta sim/não em contrato, não em marketing |
| Dados | 6. Como a qualidade da resposta é medida? | Métricas, consultas de teste e resultados por etapa |
| Dados | 7. O que acontece com meus dados se eu cancelar? | Exportação em formato aberto e prazo de exclusão |
| Custos | 8. Como o preço é calculado: por usuário, por volume ou por consulta? | Modelo de cobrança escrito e simulação com seu volume real |
| Custos | 9. Quais limites existem e o que acontece ao excedê-los? | Limites explícitos e custo marginal declarado |
| Contrato | 10. Quem mantém, atualiza e monitora o sistema depois da entrega? | SLA, suporte e plano de atualização com responsáveis |
Perguntas sobre riscos e conformidade
As três primeiras perguntas revelam se o fornecedor entende o próprio produto do ponto de vista de risco. Um bom ponto de partida é o AI Act europeu, que classifica sistemas por nível de risco e impõe deveres diferentes para cada categoria. O AI Act entrou em vigor em 1 de agosto de 2024 e ficou aplicável em 2 de agosto de 2026, com exceções por categoria. Proibições como manipulação prejudicial e pontuação social já valem desde 2 de fevereiro de 2025, e as regras para sistemas de alto risco em áreas sensíveis passam a valer em 2 de dezembro de 2027 — quem vende para educação, emprego, crédito ou infraestrutura crítica precisa ter resposta pronta sobre isso, mesmo que sua empresa opere fora da União Europeia, porque fornecedores globais já ajustam produtos a esse calendário.
Na prática, exiga que o fornecedor mostre papéis e responsabilidades documentados: quem responde por uma decisão automatizada errada, qual é o canal de contestação e com que frequência o sistema é revisado. O AI RMF do NIST coloca isso na função de governança — processos, documentos e esquemas organizacionais para antecipar e gerenciar riscos, inclusive os que vêm de software de terceiros. Se a resposta for “isso é problema do cliente”, trate como sinal de alerta. Se sua empresa ainda está definindo a tarefa antes de escolher fornecedor, o guia prático de IA para PMEs ajuda a organizar essa decisão.
Perguntas técnicas sobre dados
As perguntas 4 a 7 evitam a surpresa mais comum: descobrir tarde que os dados da empresa alimentam sistemas de terceiros. Exija resposta escrita sobre onde os dados são processados e armazenados, por quanto tempo ficam retidos e se são usados para treinar modelos — em contrato, não em material comercial. Pergunte também como a qualidade das respostas é medida. Se o produto envolve busca em documentos próprios, a documentação técnica da Microsoft sobre arquiteturas RAG é uma referência pública útil: ela recomenda reunir consultas de teste e arquivos representativos da sua coleção antes de avaliar qualquer solução.
Na fase de avaliação, exija que o fornecedor siga um processo estruturado de avaliação e verifique os resultados de cada etapa da solução individualmente, com métricas declaradas para recuperação e geração de resposta. A escolha do modelo de embeddings, por exemplo, afeta diretamente a relevância dos resultados de busca — um fornecedor que não sabe nomear o modelo usado, nem explicar como o avalia, está vendendo promessa em vez de engenharia. Peça também um exemplo de avaliação real: consultas do seu negócio, resultados obtidos e erros conhecidos.
Perguntas sobre custos e contratos
Nas perguntas 8 a 10, o objetivo é transformar promessas em cláusulas. Peça o modelo de cobrança por escrito — por usuário, por volume de dados ou por consulta — e um cálculo simulado com o volume real da sua operação, incluindo o custo de exceder limites. Preço que só existe em conversa comercial não é preço. Verifique o que acontece com seus dados no cancelamento: exportação em formato aberto e prazo de exclusão precisam estar no contrato. Por fim, pergunte quem mantém o sistema depois da entrega — atualizações, monitoramento, suporte e tempo de resposta precisam ter dono e prazo. Confirme ainda as regras de proteção de dados que se aplicam ao seu caso, como a LGPD no Brasil ou o RGPD na União Europeia.
Checklist final antes de assinar
- Peça a análise de classificação de risco do sistema por escrito.
- Confirme em contrato o destino dos dados: processamento, retenção, treinamento e exclusão.
- Exija exemplos de avaliação com consultas reais do seu negócio, não só demonstrações genéricas.
- Simule o custo com o seu volume atual e com o dobro dele.
- Nomeie um responsável interno pela revisão humana das saídas — decisões sensíveis não podem ser delegadas à ferramenta.
- Antes de fechar, compare com alternativas já testadas no seu contexto; para áreas sensíveis como a jurídica, vale ler as 3 checagens de IA na pesquisa jurídica antes de citar.
Contratar bem depende menos da marca do modelo e mais de evidência: o fornecedor que responde às dez perguntas com números, documentos e responsáveis nomeados merece a reunião seguinte.