Fazer due diligence em fornecedores de IA é passo essencial para identificar riscos técnicos, jurídicos e de governança antes de contratar soluções que impactam processos e dados sensíveis.
Por que realizar due diligence em fornecedores de IA
Contratar uma solução de IA sem avaliação adequada expõe a organização a riscos de segurança, vazamento de dados, responsabilização regulatória e falhas de desempenho. A due diligence permite mapear a cadeia de responsabilidades, verificar controles e alinhar expectativas contratuais com mitigantes práticos.
Checklist técnico-jurídico: itens essenciais
Abaixo está um checklist operacional, organizado por áreas, que ajuda a avaliar fornecedores de IA em requisitos técnicos e jurídicos antes da contratação.
Controles e gestão de dados
- Mapeamento de dados: identificar tipos de dados coletados, processados e armazenados, incluindo dados pessoais e sensíveis.
- Base legal: exigir evidência da base legal para tratamento de dados e para finalidades específicas do processamento automatizado.
- Política de retenção: prazo de retenção e procedimentos de exclusão segura dos dados.
- Anonimização e pseudonimização: técnicas aplicadas e testes para avaliar reversibilidade.
Segurança e integridade do modelo
- Segurança de infraestrutura: práticas de hardening, gestão de vulnerabilidades e segregação de ambientes de desenvolvimento, teste e produção.
- Controle de acesso: autenticação, autorização e logging de atividades administrativas e de usuários.
- Testes e auditoria: histórico de pentests, auditorias independentes e relatórios de incidentes.
- Resiliência e disponibilidade: SLAs operacionais, planos de continuidade e recuperação de desastres.
Transparência, explicabilidade e vieses
- Documentação técnica: descrição dos dados de treinamento, arquitetura do modelo e limitações conhecidas.
- Auditoria de vieses: resultados de avaliações de fairness, metodologias usadas e mitigantes aplicados.
- Explicabilidade: meios para explicar decisões automatizadas a usuários e mecanismos para revisão humana.
Conformidade regulatória e governança
- Regulamentos aplicáveis: alinhamento com LGPD, normas setoriais e requisitos de compliance relevantes.
- Certificações e padrões: evidências de conformidade com padrões reconhecidos, incluindo avaliação de prontidão para ISO 42001.
- Política de subcontratação: controle sobre terceiros e cadeia de fornecedores, cláusulas de auditoria e direito de auditoria técnica.
Due diligence contratual e alocação de riscos
A revisão contratural deve traduzir os achados técnicos em cláusulas objetivas. Priorize cláusulas que garantam direitos e mecanismos de mitigação.
- Escopo e responsabilidades: delimitar claramente responsabilidades do fornecedor e do contratante pelo ciclo de vida da solução.
- Garantias e SLAs: disponibilidade, precisão mínima, correções e suporte, com métricas acionáveis.
- Proteção de dados: cláusulas sobre tratamento, segurança, incidentes e notificação em conformidade com LGPD.
- Direitos de auditoria: acesso a logs, modelos e evidências para auditoria técnica e de compliance.
- Transferência de tecnologia e portabilidade: direitos para migrar ou encerrar sem bloqueio técnico indevido.
- Responsabilidade e seguro: limites de responsabilidade, exclusões e exigência de apólices para riscos tecnológicos.
Verificar cadeia de responsabilidade e mecanismos contratuais de auditoria é tão importante quanto avaliar a tecnologia em si.
Como conduzir a due diligence em fornecedores de IA na prática
Organize a due diligence em fases claras e com papéis definidos. Assegure interação entre áreas técnica, jurídica, de privacidade e de negócios.
Fluxo recomendado
- Fase 1: coleta de documentação técnica e jurídica, questionário estruturado e evidências iniciais.
- Fase 2: avaliações técnicas e testes, incluindo prova de conceito controlada quando possível.
- Fase 3: revisão contratual com clausulado mitigatório; definição de SLAs e plano de governança.
- Fase 4: monitoramento pós-contratação com auditorias periódicas e KPIs de governança.
Ferramentas práticas incluem questionários padronizados, checklists técnicos, modelos contratuais e roteiros de auditoria técnica. Em processos críticos, considere auditorias independentes de segurança e de vieses.
Para equipes que precisam de um caminho estruturado para implementação, as formações e consultoria da Technoethics, sob coordenação de André Gualtieri, oferecem treinamentos e templates práticos para due diligence e governança de IA adaptados ao contexto corporativo.
Se desejar, nossa equipe pode ajudar a adaptar este checklist ao seu caso, revisar contratos ou conduzir uma due diligence completa com foco em mitigação operacional e conformidade.
