Contrato com fornecedor de IA: o que negociar antes de assinar

TL;DR — Contrato de inteligência artificial negociado com minuta de software deixa fora o que define o risco: uso de dados do cliente para treinamento, titularidade do resultado, cadeia de subprocessadores e destino dos ajustes finos na rescisão. Com 41,9% das empresas industriais brasileiras já usando IA em 2024, contra 16,9% em 2022 (IBGE, PINTEC Semestral), a assimetria contratual virou risco de escala.

A adoção correu na frente do contrato. Áreas de negócio contrataram ferramenta com cartão corporativo, o jurídico recebeu a minuta pronta para assinatura e a negociação real, quando aconteceu, ficou restrita a preço e prazo de vigência.

O problema não é de má-fé do fornecedor. É de assimetria de informação: quem desenvolve conhece o modelo, o pipeline de dados e as limitações conhecidas. Quem contrata assume os efeitos. O papel do jurídico é reduzir essa distância com definição precisa e obrigação objetiva, não com cláusula genérica de responsabilidade.

Por que a minuta de software não serve para contratar IA?

Contrato de software trata licença de uso, disponibilidade, suporte e correção de defeito. Contrato de inteligência artificial precisa tratar de outra coisa: o que o fornecedor faz com o dado que entra, qual é a natureza probabilística do resultado que sai e quais evidências técnicas ele consegue apresentar sobre o comportamento do modelo.

Começa pela definição. O contrato deve dizer o que são “Modelo”, “Output”, “Dados do Cliente”, “Treinamento”, “Inferência” e “Ajuste fino”. Parecem termos técnicos, e são jurídicos: é neles que fica escrito o que o fornecedor pode fazer com o material recebido.

Sem essa taxonomia, a cláusula de responsabilidade perde referência. As partes discutem indenização sem que o contrato defina qual risco foi efetivamente contratado, e a controvérsia começa pela interpretação do objeto.

Quais cláusulas mudam de fato o risco do contrato?

Nove pontos concentram a maior parte da exposição. Cada um tem uma posição desejada e uma alternativa aceitável quando o fornecedor tem pouca margem de negociação, o que é comum em plataformas de grande porte com termos padronizados.

1. Uso de dados para treinamento. Desejado: vedação expressa de uso do dado do cliente para treinar modelo geral. Fallback: autorização apenas para ajuste dedicado, com prazo e reversibilidade definidos.
2. Titularidade do resultado. Desejado: o output pertence ao contratante, com licença de uso irrestrita e perpétua. Fallback: licença perpétua e transferível, com direito de uso após o término do contrato.
3. Indenidade por propriedade intelectual. Desejado: o fornecedor responde por reivindicação de terceiro relacionada ao conteúdo de treinamento do modelo-base. Fallback: limite de indenidade proporcional ao valor do contrato.
4. Cadeia de subprocessadores. Desejado: lista nominal das camadas de infraestrutura, modelo e plataforma, com aviso prévio de alteração. Fallback: direito de rescisão sem multa em caso de mudança relevante.
5. Retenção e localização de dados. Desejado: prazo de retenção definido, exclusão comprovada e indicação de jurisdição de armazenamento e processamento.
6. Evidência técnica. Desejado: documentação do sistema, descrição da origem dos dados de treinamento, testes de viés, limitações conhecidas e parâmetros de monitoramento, proporcionais ao risco do caso de uso.
7. Qualidade do resultado. Desejado: métrica escrita como taxa de revisão humana aceita em amostra definida, não como promessa de acerto. Resultado probabilístico não comporta garantia de exatidão.
8. Alteração unilateral de funcionalidade. Desejado: vedação de mudança relevante de modelo ou de comportamento sem aviso prévio e sem janela de teste.
9. Saída e portabilidade. Desejado: devolução ou eliminação comprovada dos dados e dos pesos resultantes de ajuste fino feito com material do contratante, com prazo e evidência de execução.

A última linha é a que costuma passar despercebida na assinatura e doer na rescisão. Se a empresa investiu meses alimentando um ajuste dedicado com seu próprio acervo, o resultado desse esforço tem valor econômico. Contrato silente sobre pesos deixa esse valor com o fornecedor.

A terceira linha resolve outra discussão recorrente. Prometer exatidão em sistema probabilístico gera obrigação que ninguém consegue cumprir e que, por isso, tende a ser esvaziada em cláusula de exclusão. Métrica de revisão humana é verificável e sustenta consequência contratual real.

O que a LGPD exige nessa negociação?

A LGPD não trata de contrato de IA, mas define papéis e deveres que a negociação precisa refletir. Antes de discutir cláusula, defina se o fornecedor atua como operador ou como controlador conjunto, porque isso muda obrigação de segurança, de resposta a titular e de comunicação de incidente.

O artigo 46 da Lei nº 13.709/2018 impõe medidas técnicas e administrativas de segurança, e é razoável traduzi-lo em obrigações contratuais verificáveis: registro de acesso, prazo de comunicação de incidente e direito de auditoria proporcional ao risco. A Autoridade Nacional de Proteção de Dados colocou inteligência artificial entre os quatro eixos do Mapa de Temas Prioritários para 2026-2027 , o que torna a evidência contratual mais relevante do que era há dois anos.

Quando houver decisão que afete o titular, o artigo 20 da LGPD exige possibilidade de revisão. O contrato precisa dizer quem opera essa revisão, em qual prazo e com qual informação disponível, ou o dever fica sem executor definido.

Como avaliar o fornecedor antes da minuta?

A negociação melhora quando a diligência vem antes. Quatro perguntas, respondidas por escrito pelo fornecedor, definem o tom de tudo o que vem depois: qual modelo-base é usado, quem são os subprocessadores, o que acontece com o dado enviado e quais evidências de avaliação do sistema existem.

Há uma observação de operação que vale para qualquer comprador. Existe diferença material entre resultado ancorado em documento fornecido pelo cliente e resultado gerado sem âncora documental. O primeiro permite rastrear a origem de cada trecho; o segundo, não. Em plataformas de gestão contratual como o Contrato Revisado, essa rastreabilidade é requisito de arquitetura, e ela deveria aparecer como obrigação no contrato, não como recurso de marketing.

Clóvis Barreto Jr., advogado corporativo internacional e fundador das plataformas Contrato Revisado e Risco Gerenciado, costuma resumir a diligência em uma pergunta que separa fornecedor preparado de fornecedor improvisado: quais registros o sistema guarda e por quanto tempo? Quem não responde de imediato não terá o registro no dia em que ele for necessário.

O marco legal muda o que precisa estar no contrato?

Ainda não, e a precisão importa. O PL nº 2.338/2023 aguarda parecer do relator na Comissão Especial da Câmara dos Deputados após aprovação no Senado em dezembro de 2024. Nenhuma obrigação dele é exigível hoje.

A consequência prática é que a proteção depende do contrato, e não da lei futura. Empresas que escreverem agora obrigação de documentação, evidência e rastreabilidade estarão em posição melhor quando a regulação chegar, porque terão o registro que a norma pedirá.

Perguntas frequentes sobre contrato de inteligência artificial

Posso usar a minuta de software da empresa para contratar IA?

A minuta serve de base, mas não cobre o essencial. Contrato de software trata licença, disponibilidade e suporte. Contrato de IA precisa tratar uso de dados do cliente para treinamento, titularidade do resultado, cadeia de subprocessadores, evidência de avaliação do modelo e o que acontece com ajustes finos na rescisão.

O fornecedor pode usar meus dados para treinar o modelo dele?

Só se o contrato autorizar. Muitos termos padrão autorizam por omissão ou por cláusula ampla de melhoria do serviço. A posição desejada é vedação expressa de uso de dados do cliente para treinamento de modelo geral, com exceção apenas para ajuste dedicado ao próprio cliente, se houver interesse.

Quem responde se a ferramenta gerar um resultado errado?

Depende do desenho contratual e do papel de cada parte. Contrato bem redigido separa defeito de funcionamento, que é do fornecedor, de uso fora do escopo aprovado, que é do contratante. Sem essa separação, a discussão de responsabilidade começa sem definição do que foi contratado.

Isso funciona para o meu setor ou é só teoria?

As nove cláusulas se aplicam a qualquer contratação de IA, em indústria, serviços financeiros, saúde ou setor público. O que muda é a criticidade de cada uma. Em saúde e serviços financeiros, evidência de avaliação e explicabilidade pesam mais. Em indústria, sigilo de informação técnica costuma ser o ponto central.

Quanto tempo leva para negociar um contrato assim?

Entre duas e seis semanas em fornecedores com contrato negociável. Em plataformas de grande porte com termos padronizados, a margem é menor, e o esforço se desloca para a análise de risco residual e para a decisão sobre qual dado pode transitar naquele ambiente.

O ponto que decide o resultado

Contrato de IA não se resolve com uma cláusula de responsabilidade bem escrita. Ele se resolve com definições precisas no início do documento, porque é ali que fica registrado o que o fornecedor pode fazer com o material recebido e o que a empresa leva embora quando o contrato terminar.

Das nove cláusulas, três costumam ser negociáveis mesmo com fornecedores rígidos: vedação de uso para treinamento geral, aviso prévio de alteração relevante e evidência de eliminação na saída. Comece por elas.