Inteligência ArtificialArtigo
Contrato com fornecedor de IA: 10 cláusulas que a pequena empresa deve exigir antes de assinar
Em resumo
Uso dos dados no treino do modelo, sigilo, papel na LGPD, subcontratados, SLA, propriedade do conteúdo gerado, erro da IA, logs, saída e reajuste por uso: o que pedir em cada cláusula, por que pedir e um modelo de redação para revisar com o advogado.
Em resumo: antes de assinar com um fornecedor de inteligência artificial, a pequena empresa deve exigir por escrito dez pontos: que os dados dela não treinem o modelo, sigilo, o papel de cada parte na LGPD, a lista de subcontratados e onde os dados ficam, disponibilidade mínima, de quem é o conteúdo gerado, quem responde pelo erro, registros de uso, devolução dos dados na saída e regra clara de reajuste. Os modelos de redação abaixo são ponto de partida para a conversa com o fornecedor e com o seu advogado; não dão segurança jurídica sozinhos.
Por que o contrato de IA pede cuidado diferente
Num software comum, a empresa guarda dados e o sistema executa regras fixas. Numa ferramenta de IA, o que o funcionário digita, os documentos que ele anexa e as respostas geradas circulam pelo fornecedor, às vezes por outros fornecedores dele, e podem, dependendo do contrato, servir para melhorar o próprio modelo. Some a isso respostas que podem estar erradas e cobrança que varia conforme o uso, e fica claro por que o termo de adesão padrão raramente basta.
O contrato é a segunda metade de uma decisão que começa dentro de casa. A primeira é definir o que pode e o que não pode ser colocado na ferramenta, assunto da nossa política de uso de IA com modelo editável para pequena empresa. Sem essa regra interna, nem a melhor cláusula impede que alguém cole a planilha de clientes num chat pessoal.
Vale também uma observação prática: fornecedor grande costuma oferecer contrato padrão e pouca margem para mudar o texto. Nesse caso, a lista abaixo serve para ler o contrato e decidir se ele atende; com fornecedor menor ou integrador local, serve para negociar.
Sobre os números dos modelos: os prazos, percentuais e tetos que aparecem nos modelos de redação (como 5 anos de sigilo, 99,5% de disponibilidade, 30 dias para exportar dados ou teto de 12 vezes o valor pago) são sugestões para abrir a negociação. Não vêm de lei nem representam um padrão de mercado; cada empresa deve ajustá-los ao risco do próprio uso, com o advogado.
Cláusulas 1 e 2: uso dos dados e confidencialidade
1. Proibição de treinar o modelo com os seus dados
O que pedir: que tudo o que a empresa envia (textos, arquivos, áudios) e tudo o que a ferramenta devolve só seja usado para prestar o serviço contratado, e nunca para treinar ou aperfeiçoar modelos, a não ser com autorização expressa e por escrito.
Por quê: dado de cliente, proposta comercial e número interno que entram no treino deixam de estar sob o seu controle. Os grandes fornecedores já assumem isso nos planos empresariais: a página de dados empresariais da OpenAI informa que, por padrão, a empresa não treina modelos com dados de clientes dos produtos corporativos e da API, e os termos comerciais da Anthropic dizem que ela não pode treinar modelos com o conteúdo do cliente (conforme as páginas consultadas em outubro de 2026). Atenção ao detalhe: essa regra vale para o plano empresarial; a conta pessoal que um funcionário usa no trabalho não entra nela.
Modelo de redação (rascunho para revisão por advogado): A CONTRATADA utilizará os dados enviados pela CONTRATANTE e os resultados gerados exclusivamente para a execução deste contrato, sendo vedado o seu uso para treinamento, ajuste ou melhoria de modelos de inteligência artificial, próprios ou de terceiros, salvo autorização prévia, específica e por escrito da CONTRATANTE.
2. Confidencialidade que cobre entradas e saídas
O que pedir: que o conteúdo enviado e o conteúdo gerado sejam tratados como informação confidencial da sua empresa, com prazo de sigilo que sobreviva ao fim do contrato e acesso restrito aos funcionários do fornecedor que precisam dele.
Por quê: muitos contratos protegem só os "dados" e esquecem a resposta gerada, que pode conter justamente o resumo do seu contrato mais sensível. Os termos comerciais da Anthropic, por exemplo, classificam o conteúdo do cliente como informação confidencial do cliente; peça redação equivalente a quem não traz isso por escrito.
Modelo de redação (rascunho para revisão por advogado): Consideram-se informações confidenciais da CONTRATANTE todos os dados, arquivos e instruções enviados à plataforma, bem como os resultados por ela gerados. A obrigação de sigilo permanece por 5 (cinco) anos após o término deste contrato, por qualquer motivo.
Cláusulas 3 e 4: papel na LGPD, subcontratados e local dos dados
3. Quem é controlador e quem é operador
O que pedir: que o contrato diga que a sua empresa é a controladora dos dados pessoais que coloca na ferramenta e que o fornecedor atua como operador, tratando esses dados em nome dela e só para a finalidade contratada.
Por quê: a Lei 13.709/2018 (LGPD) define operador como quem trata dados pessoais em nome do controlador (art. 5º, VII) e amarra a atuação dele às instruções de quem contratou:
"O operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria." (Lei 13.709/2018, art. 39)
O guia da ANPD sobre agentes de tratamento (versão 2.0, de abril de 2022) lembra que o papel de cada um depende do que acontece na prática, e não só do rótulo no contrato: se o fornecedor passa a decidir para que os dados servem, ele deixa de agir como mero operador. Por isso a cláusula 1 e a cláusula 3 andam juntas. A mesma lógica aparece em contratos de outros serviços que lidam com dado sensível, como mostramos no texto sobre cláusulas de sigilo, LGPD e responsabilidade com parceiro terceirizado.
Modelo de redação (rascunho para revisão por advogado): Para os fins da Lei 13.709/2018, a CONTRATANTE atua como controladora e a CONTRATADA como operadora dos dados pessoais tratados na execução deste contrato. A CONTRATADA tratará tais dados apenas conforme as instruções documentadas da CONTRATANTE e comunicará a ela, em até 48 (quarenta e oito) horas, qualquer incidente de segurança que os envolva.
O prazo de comunicação do modelo é um exemplo a negociar. Ele existe porque, pela LGPD (art. 48), cabe ao controlador comunicar à ANPD e ao titular o incidente que possa causar risco ou dano relevante; sem aviso rápido do fornecedor, a sua empresa não consegue cumprir essa obrigação.
4. Subcontratados (suboperadores) e onde os dados ficam
O que pedir: a lista das empresas que o fornecedor usa para processar seus dados (o modelo de linguagem de terceiro, a nuvem, o serviço de transcrição), o país onde os dados são armazenados e processados, e aviso prévio antes de trocar ou incluir um subcontratado.
Por quê: se a ferramenta for montada sobre o modelo de outra empresa, ou se os servidores estiverem fora do Brasil, seus dados passam por mais mãos e podem sair do país. A transferência internacional de dados pessoais tem regra própria nos arts. 33 a 36 da LGPD, regulamentados pela Resolução CD/ANPD nº 19, de 23 de agosto de 2024, que aprovou o regulamento de transferência internacional e as cláusulas-padrão contratuais para esse fim. Saber quem são os subcontratados e onde estão é o primeiro passo para conferir se a transferência tem base.
Modelo de redação (rascunho para revisão por advogado): A CONTRATADA manterá lista atualizada dos subcontratados que tratam dados da CONTRATANTE, com indicação do país de tratamento, e avisará a CONTRATANTE com 30 (trinta) dias de antecedência sobre qualquer inclusão ou substituição, facultada a ela a rescisão sem multa caso discorde. Os subcontratados ficam sujeitos às mesmas obrigações de proteção de dados deste contrato.
Cláusulas 5 e 6: disponibilidade e propriedade do que é gerado
5. SLA: disponibilidade, suporte e o que acontece quando falha
O que pedir: percentual mínimo de disponibilidade por mês, prazo de resposta do suporte por gravidade, janela de manutenção avisada e desconto na mensalidade quando a meta não for cumprida.
Por quê: se a IA atende o cliente no WhatsApp ou classifica pedidos, ela parou e a operação parou junto. Sem número no contrato, "alta disponibilidade" é só promessa comercial. Peça também que o fornecedor diga o que acontece quando o modelo de terceiro que ele usa sai do ar: a falha é dele perante você, mesmo que a causa esteja no fornecedor dele.
Modelo de redação (rascunho para revisão por advogado): A CONTRATADA garante disponibilidade mensal mínima de 99,5% (noventa e nove inteiros e cinco décimos por cento), excluídas as manutenções avisadas com 72 (setenta e duas) horas de antecedência. Abaixo desse índice, a CONTRATANTE terá desconto proporcional na mensalidade do mês seguinte, conforme tabela do Anexo I.
6. Propriedade do conteúdo gerado
O que pedir: que a sua empresa mantenha os direitos sobre o que envia e fique com os direitos que o fornecedor tiver sobre o que a ferramenta gera (textos, imagens, código, relatórios), podendo usar, alterar e publicar sem pagar licença adicional.
Por quê: é com esse material que você vai trabalhar: descrição de produto, peça de campanha, roteiro de atendimento. Os termos empresariais da OpenAI e da Anthropic já seguem essa linha, com uma ressalva importante que vale copiar na sua leitura: a cessão vale "na medida permitida pela lei aplicável". Ou seja, o contrato resolve a relação entre você e o fornecedor, mas não garante que um texto gerado só pela máquina tenha proteção de direito autoral contra terceiros, e o próprio termo da OpenAI avisa que a resposta pode não ser única. Para material estratégico, a edição humana continua importando.
Modelo de redação (rascunho para revisão por advogado): A CONTRATANTE mantém a titularidade dos dados e materiais que enviar e, na medida permitida pela legislação, passa a deter os direitos sobre os resultados gerados para ela, que a CONTRATADA desde já lhe cede, sem custo adicional e sem limitação de uso.
Cláusulas 7 e 8: erro da IA, auditoria e registros
7. Responsabilidade por erro da IA
O que pedir: que o contrato separe dois tipos de problema. O erro de conteúdo (a resposta inventada, o cálculo errado) costuma ficar com quem usa, e os fornecedores dizem isso por escrito: o termo da OpenAI deixa ao cliente a avaliação da precisão e da adequação do resultado. Já a falha do serviço (vazamento, dado misturado com o de outro cliente, descumprimento das suas instruções, defeito de configuração feito pelo fornecedor) deve ficar com ele, com teto de indenização compatível com o risco e não limitado a um mês de mensalidade.
Por quê: a LGPD (art. 42) obriga controlador e operador a reparar o dano que causarem ao tratar dados em violação à lei, e põe o operador ao lado do controlador quando ele descumpre a lei ou as instruções recebidas. Negociar o teto e a divisão de responsabilidade evita que a pequena empresa fique sozinha com a conta. Na prática, a proteção maior contra o erro de conteúdo é operacional: revisão humana antes de a resposta sair, como detalhamos em como limitar permissões, aprovar ações e acompanhar erros de um agente de IA.
Modelo de redação (rascunho para revisão por advogado): A CONTRATADA responde pelos danos decorrentes de falha de segurança, de descumprimento das instruções da CONTRATANTE ou da legislação de proteção de dados, e de erro de configuração por ela realizada, até o limite de 12 (doze) vezes o valor total pago nos 12 meses anteriores ao evento. A CONTRATANTE é responsável pela revisão do conteúdo gerado antes de utilizá-lo perante terceiros.
8. Auditoria e registros (logs)
O que pedir: acesso ao histórico de uso (quem usou, quando, o que foi enviado e o que a ferramenta fez), prazo de guarda desses registros definido por você e direito de pedir evidências de segurança, como relatório de auditoria independente ou resposta a questionário.
Por quê: sem registro, não há como apurar um erro, responder a um cliente que reclama ou provar o que aconteceu num incidente. A LGPD (art. 37) exige que controlador e operador mantenham registro das operações de tratamento que fazem; o log da ferramenta é parte disso. Pequena empresa raramente vai fazer auditoria presencial, mas o direito de pedir documentação já muda o comportamento do fornecedor.
Modelo de redação (rascunho para revisão por advogado): A CONTRATADA manterá registros de acesso e de uso da plataforma pelo prazo mínimo de 12 (doze) meses, disponibilizando-os à CONTRATANTE em até 5 (cinco) dias úteis após solicitação, e fornecerá, uma vez por ano ou após incidente, evidências das medidas de segurança adotadas.
Cláusulas 9 e 10: saída do contrato e reajuste por uso
9. Saída, devolução e exclusão dos dados
O que pedir: exportação de tudo o que é seu (base de conhecimento, histórico de conversas, configurações, prompts) em formato aberto, como CSV ou JSON, num prazo definido depois do aviso de rescisão; em seguida, exclusão dos dados com confirmação por escrito, ressalvado o que a lei obrigue a guardar.
Por quê: a base de perguntas e respostas que você montou ao longo de meses é ativo da empresa. A LGPD (art. 18, V) dá ao titular o direito de levar os próprios dados a outro fornecedor; o contrato precisa garantir que a sua empresa, como controladora, consiga atender esse pedido e também trocar de ferramenta sem recomeçar do zero.
Modelo de redação (rascunho para revisão por advogado): Encerrado o contrato por qualquer motivo, a CONTRATADA disponibilizará à CONTRATANTE, em até 30 (trinta) dias e sem custo, a exportação integral de seus dados e configurações em formato aberto e legível por máquina, e os excluirá em até 30 (trinta) dias após a confirmação do recebimento, emitindo declaração por escrito.
10. Preço por uso e reajuste
O que pedir: a unidade de cobrança explícita (por usuário, por conversa, por mensagem ou por volume de texto processado), a franquia incluída, o preço do excedente, um teto mensal ou alerta de consumo, índice e periodicidade de reajuste e aviso prévio de mudança de tabela com direito de sair sem multa.
Por quê: em IA o custo acompanha o uso, e o uso cresce quando a ferramenta funciona. Já explicamos de onde vem cada parcela dessa conta em quanto custa montar e manter um agente de IA no WhatsApp. No contrato, o risco é a mudança de regra no meio do caminho.
Exemplo resolvido (números hipotéticos): uma loja contrata um assistente com mensalidade de R$ 1.500, franquia de 10.000 conversas e excedente de R$ 0,20 por conversa. Em novembro, com a Black Friday, faz 16.000 conversas.
- Excedente: 16.000 - 10.000 = 6.000 conversas.
- Custo do excedente: 6.000 x R$ 0,20 = R$ 1.200.
- Fatura do mês: R$ 1.500 + R$ 1.200 = R$ 2.700, ou 80% acima da mensalidade.
Se o contrato tiver teto de consumo de R$ 2.000, o fornecedor avisa ao chegar perto e a loja decide se libera o restante. Se o fornecedor puder mudar o preço do excedente com aviso de poucos dias, a mesma conta pode piorar sem que ninguém perceba antes da fatura.
Modelo de redação (rascunho para revisão por advogado): A cobrança obedecerá à tabela do Anexo II, com franquia mensal, preço unitário do excedente e limite de consumo definido pela CONTRATANTE, ao qual a plataforma emitirá alerta ao atingir 80%. Os preços serão reajustados apenas a cada 12 (doze) meses pelo índice ali indicado, e qualquer outra alteração dependerá de aviso com 60 (sessenta) dias de antecedência, facultada a rescisão sem multa.
Checklist para levar à negociação
| Cláusula | Pergunta ao fornecedor | Resposta que deve preocupar |
|---|---|---|
| 1. Treino | Meus dados treinam algum modelo? | "Só de forma anonimizada" sem detalhar |
| 2. Sigilo | A resposta gerada também é confidencial? | Sigilo só sobre "dados cadastrais" |
| 3. LGPD | Vocês atuam como operador? Em quanto tempo avisam um incidente? | Sem prazo ou "conforme a política interna" |
| 4. Subcontratados | Quais empresas e em que países? | Recusa em listar |
| 5. SLA | Qual a disponibilidade mínima e o desconto se falhar? | Nenhum número por escrito |
| 6. Propriedade | Posso usar o que for gerado sem licença extra? | Licença de uso restrita ao período do contrato |
| 7. Erro | Até quanto vocês respondem por falha do serviço? | Teto de um mês de mensalidade para tudo |
| 8. Logs | Consigo baixar o histórico de uso? | Histórico apagado em poucos dias, sem opção |
| 9. Saída | Como exporto tudo se eu sair? | Exportação paga ou em formato fechado |
| 10. Preço | Qual a unidade de cobrança e como funciona o reajuste? | Tabela alterável a qualquer momento |
Nenhuma resposta isolada desqualifica o fornecedor. O que pesa é o conjunto: quanto mais dado pessoal e mais dependência da operação, menos espaço para "isso não está no contrato".
Este texto tem caráter informativo, considera a legislação e os termos de fornecedores consultados em outubro de 2026 e não substitui a análise de um advogado para o contrato concreto.
Comece por aqui Novo no assunto? Leia primeiro inteligência artificial para pequenas empresas, o texto-base desta cobertura.
Fonte: Lei 13.709/2018 (LGPD), Planalto
Perguntas frequentes
Fornecedor de IA pode usar os dados da minha empresa para treinar o modelo?
Depende do contrato e do plano. A OpenAI informa que, por padrão, não treina modelos com dados dos clientes dos planos empresariais e da API, e que isso só ocorre se o cliente optar expressamente. Os termos comerciais da Anthropic dizem que ela não pode treinar modelos com o conteúdo do cliente. As duas páginas foram consultadas em outubro de 2026. Com qualquer fornecedor, o caminho seguro é ter a proibição escrita no contrato, cobrindo o que é enviado e o que é gerado.
Na LGPD, o fornecedor de IA é controlador ou operador?
Quando trata dados pessoais em nome da sua empresa e só para a finalidade contratada, ele atua como operador, e sua empresa como controladora (art. 5º e art. 39 da Lei 13.709/2018). Se passar a decidir para que os dados servem, por exemplo usando-os para treinar o próprio modelo, deixa de agir como mero operador. Por isso o contrato deve dizer o papel de cada um e limitar o uso.
Quem responde quando a IA dá uma resposta errada ao cliente?
Os termos dos grandes fornecedores deixam ao cliente a conferência da precisão do resultado. O que se negocia é a responsabilidade do fornecedor por falha do serviço, como vazamento ou descumprimento de instruções, com um teto compatível com o risco. Contra o erro de conteúdo, a proteção prática é revisão humana antes de a resposta chegar ao cliente.
O que acontece com meus dados quando eu cancelo a ferramenta?
Só o que o contrato disser. Peça exportação completa em formato aberto, como CSV ou JSON, num prazo definido e sem custo, e depois exclusão com declaração por escrito, ressalvados os dados que a lei obrigue a guardar.
Pequena empresa consegue negociar cláusulas com uma big tech?
Em geral, não: o contrato padrão é pegar ou largar. Nesse caso, use as dez cláusulas para ler os termos e decidir se atendem. Com fornecedores menores e integradores locais, que revendem ou montam soluções sobre esses modelos, a negociação costuma ser possível e é onde a lista mais ajuda.
