Capacitação em IA para terceiros e prestadores de serviço

Capacitação em IA para terceirizados e prestadores de serviço é o treinamento obrigatório, com NDA específico e trilha proporcional ao nível de acesso, que uma empresa aplica a quem usa seus sistemas e dados sem estar na própria folha de pagamento — antes de liberar qualquer acesso, não depois. No Brasil, isso não é situação de nicho: 23,1% dos trabalhadores formais atuam em serviços terceirizados, segundo a Retrospectiva PME do IBGE citada no estudo Terceirização comparada: Brasil e outros países (Deloitte/CNI) — é a atividade que mais emprega no país. Este guia é para quem desenha governança de IA e capacitação (RH, T&D, jurídico, segurança da informação): o que a legislação exige, como montar a trilha por nível de acesso e o NDA que precisa vir antes — nunca depois — da liberação de uma ferramenta de IA para quem não é colaborador CLT.

O que é capacitação em IA para terceirizados e prestadores de serviço

É o processo de levar quem presta serviço à empresa — terceirizado de mão de obra, consultor, prestador PJ, funcionário de fornecedor com acesso a sistema interno — a usar IA dentro das mesmas regras de segurança, confidencialidade e proteção de dado que valem para o quadro próprio, com uma diferença estrutural: o vínculo é contratual, não trabalhista, e o treinamento precisa estar amarrado ao contrato e ao NDA, não só a uma política interna que o prestador nunca assinou.

Vale separar este tema de outros dois que se confundem com frequência:

• Não é onboarding de colaborador novo. O guia onboarding de novos colaboradores com IA cobre quem entra na folha própria, do pré-boarding às primeiras semanas. Aqui o vínculo é outro: a pessoa segue empregada por uma terceira empresa (ou atua como PJ) e presta serviço à sua — a capacitação e o controle de acesso seguem uma lógica contratual diferente.
• Não é o programa geral de capacitação da empresa. O pilar capacitação em IA para colaboradores cobre os quatro níveis do time próprio. Terceiros e prestadores não entram automaticamente nesse programa — eles precisam de uma trilha própria, mais enxuta, ligada ao nível de acesso que o contrato prevê, não ao cargo.

O tamanho do problema: quanto da força de trabalho não está na folha própria

Tratar terceiros como exceção na governança de IA é o primeiro erro, porque numericamente eles não são exceção. Além do 23,1% nacional, alguns setores concentram uma fatia muito maior: levantamento do Dieese, noticiado pelo Brasil de Fato, mostra que nos maiores grupos do setor elétrico brasileiro os trabalhadores terceirizados já passam de 80% da força de trabalho:

Empresa	% de trabalhadores terceirizados
Cemig	86,5%
EDP Brasil	83%
Enel	80,6%
Equatorial	78,5%
Neoenergia	62,7%
Light	62,4%
Copel	60%

Nesse cenário, uma política de IA que só cobre o colaborador CLT protege uma fração pequena de quem de fato acessa sistema, dado e ferramenta da empresa no dia a dia — o resto opera sem regra nenhuma, o mesmo vácuo que já tratamos, para o quadro próprio, no guia shadow AI: a ferramenta se espalha primeiro, a governança chega depois, se chegar.

O que a lei exige quando o terceiro acessa sistema e dado da empresa

Duas frentes legais se somam aqui, e as duas responsabilizam a contratante — não só a empresa terceirizada ou o prestador individual.

Lei da Terceirização: responsabilidade subsidiária não é teórica

A Lei 6.019/1974, alterada pelas Leis 13.429/2017 e 13.467/2017, permite a terceirização de qualquer atividade da empresa — inclusive a atividade-fim — mas, segundo o texto compilado da lei no Planalto, impõe duas obrigações diretas à contratante:

• Responsabilidade subsidiária pelas obrigações trabalhistas do período em que o terceirizado prestou serviço, caso a empresa terceirizada não pague (art. 5º-A, § 5º).
• Responsabilidade por condições de segurança, higiene e salubridade quando o trabalho é realizado nas dependências da contratante ou em local por ela indicado (art. 5º-A, § 3º).

Acesso a sistema de IA da empresa é, na prática, uma extensão dessas dependências: se a contratante disponibiliza ferramenta, credencial e ambiente de trabalho para o terceirizado operar, ela assume parte da responsabilidade sobre como essa operação acontece — inclusive sobre o uso indevido de IA dentro desse ambiente.

LGPD: responsabilidade solidária quando o terceiro processa dado com IA

A LGPD (Lei 13.709/2018) responsabiliza solidariamente controlador e operador pelo tratamento de dado pessoal (art. 42) — o mesmo princípio já detalhado no guia LGPD e IA generativa para contratos com fornecedores de ferramenta. Ele vale igualmente para mão de obra terceirizada: segundo análise publicada no Migalhas, contratante e terceirizada respondem solidariamente por infração à LGPD, o que obriga revisão de contrato para prever de forma explícita quem trata qual dado, com qual finalidade — e, agora, com qual ferramenta de IA. Um terceirizado que cola dado de cliente numa IA de consumo não aprovada gera exposição jurídica para a sua empresa, não só para a dele.

Os riscos específicos de terceiro usando IA sem trilha nem NDA

Três riscos aparecem com mais frequência quando a empresa libera acesso sem capacitação prévia:

1. Vazamento de informação confidencial via ferramenta de IA de consumo. Reportagem do TI Inside mostra que mesmo com NDA assinado, permanece incerteza sobre o que acontece com a informação colada numa IA — para onde vai, se é usada para treinar o modelo do fornecedor, se some do histórico. Um NDA genérico, sem cláusula específica de IA, não cobre esse risco.
2. Shadow AI concentrado em quem tem menos vínculo institucional. Prestador e terceirizado costumam ter menos exposição a treinamento interno e menos senso de pertencimento à cultura de segurança da empresa — exatamente o perfil que mais recorre a ferramenta pessoal quando a corporativa falta ou trava.
3. Ambiguidade sobre o que a política de uso de IA da empresa realmente cobre. Se a política de uso de IA na empresa não menciona terceiros explicitamente, ela não vale para eles — não porque a empresa não quisesse, mas porque nunca formalizou a extensão.

Como estruturar a trilha obrigatória antes de liberar acesso

O desenho certo não trata "terceiro" como categoria única — ele calibra a trilha e o NDA pelo nível de acesso que o contrato realmente concede, seguindo a mesma lógica de proporcionalidade que aplicamos, do lado do fornecedor de IA, no guia gestão de risco de fornecedores de IA: mais acesso e mais dado sensível exigem mais due diligence e mais treinamento antes da liberação.

Nível de acesso	Exemplo	Treinamento mínimo antes do acesso
Baixo — sem acesso a dado pessoal ou sistema crítico	Prestador de manutenção predial, suporte pontual	Módulo curto de uso seguro: o que não colar em IA, canais de dúvida
Médio — acesso a sistema interno sem dado sensível	Consultor de processo, terceirizado de TI em chamado de nível 1	Módulo de uso seguro + regras específicas da(s) ferramenta(s) de IA liberada(s), com teste de compreensão
Alto — acesso a dado pessoal, financeiro ou de cliente	Terceirizado de atendimento, BPO de RH ou financeiro, consultoria com acesso a sistema core	Trilha completa (o mesmo módulo de uso seguro da empresa), NDA com cláusula específica de IA, certificação obrigatória antes da primeira credencial

O princípio central: o treinamento acontece antes da credencial, não depois. Liberar acesso e agendar capacitação para "quando der" inverte a lógica de risco — é o mesmo erro, na direção oposta, do que descrevemos para novos colaboradores no guia de onboarding de novos colaboradores com IA, mas aqui o custo de errar é maior: o terceiro pode não ter vínculo de longo prazo com a empresa para "aprender com o tempo".

O NDA de IA: cláusulas que não podem faltar

Um acordo de confidencialidade genérico, assinado antes da IA generativa virar ferramenta de uso diário, normalmente não cobre o risco real. O NDA (ou o aditivo ao contrato de prestação de serviço) precisa prever, no mínimo:

• Lista de ferramentas de IA aprovadas para uso no contexto do contrato — e a vedação explícita a qualquer outra.
• Vedação a colar dado da empresa ou de cliente em ferramenta não aprovada, com exemplo concreto do que isso significa (nome de cliente, número de contrato, dado financeiro).
• Cláusula de retenção e descarte: o que acontece com dado processado por IA quando o contrato termina.
• Obrigação de reportar incidente em prazo definido — o mesmo padrão de 24 a 48 horas que já vale para fornecedor de IA, detalhado em LGPD e IA generativa.

Quem é responsável por quê

Dividir responsabilidade com clareza evita o cenário mais comum de falha: todo mundo assume que "o outro lado" está cuidando disso.

Parte	Responsabilidade
Empresa contratante	Definir quais ferramentas de IA o terceiro pode usar, exigir e verificar o treinamento antes do acesso, incluir cláusula de IA no contrato e no NDA
Empresa terceirizada (quando há)	Garantir que seu próprio colaborador cumpra o treinamento exigido pela contratante, repassar a política antes de alocar a pessoa no contrato
Prestador individual (PJ, consultor)	Assinar o NDA com cláusula de IA, completar o módulo de capacitação exigido, reportar incidente conforme o contrato prevê

Como o Flight Plan da Jetpacks se aplica a terceiros e prestadores

A Jetpacks capacita times inteiros com o método Flight Plan, de quatro estágios, cerca de duas semanas cada — e a mesma lógica se aplica quando o público inclui força de trabalho fora da folha própria:

1. Launchpad (Diagnóstico). Mapeamento de quem, hoje, acessa sistema e dado da empresa sem estar na folha própria — e com que nível de acesso.
2. Flight Plan (Plano por área). Desenho da trilha por nível de risco (baixo, médio, alto) e do NDA com cláusula de IA a incluir em contrato.
3. Booster (Capacitação). Aplicação do treinamento obrigatório antes de liberar credencial, com certificação Jetpack Certified para quem conclui — a mesma trilha de certificação em IA para colaboradores adaptada ao nível de acesso do terceiro.
4. Mission Control (Acompanhamento). Métricas de quantos terceiros ativos completaram a trilha antes de receber acesso — não só quantos foram convidados.

Isso roda dentro do programa Foundations (a base de uso seguro, aplicável a qualquer pessoa com acesso a sistema da empresa) e do Custom, quando o desenho de trilha por nível de contrato exige adaptação específica. Os programas completos detalham o que cada trilha cobre.

Erros comuns

• Tratar "terceiro" como categoria única. Um prestador de manutenção e um BPO de RH com acesso a dado de folha de pagamento não podem ter a mesma trilha nem o mesmo NDA.
• Liberar acesso antes do treinamento, com a promessa de capacitar "depois" — a exposição já aconteceu antes da promessa ser cumprida.
• Política de uso de IA que não menciona terceiros. Se o texto não é explícito, ele não vale para quem não é colaborador — é preciso emendar a política de uso de IA na empresa, não presumir que ela já cobre esse público.
• NDA antigo, sem cláusula de IA, tratado como suficiente só porque existe assinatura.
• Nenhum dono do processo. Sem clareza sobre se RH, jurídico, segurança da informação ou o gestor do contrato aciona a trilha, ela simplesmente não acontece.

FAQ

Terceirizados precisam seguir a mesma política de uso de IA que os colaboradores CLT?

Precisam seguir regras equivalentes de segurança e confidencialidade, mas a política só vale para eles se o contrato e o NDA disserem isso explicitamente. Política de uso de IA pensada só para colaborador próprio não se estende automaticamente a quem tem vínculo contratual com uma terceira empresa.

Quem responde se um terceirizado vazar dado da empresa usando IA?

Depende do caso, mas a Lei 6.019/1974 prevê responsabilidade subsidiária da contratante por obrigações trabalhistas do período de prestação, e a LGPD prevê responsabilidade solidária entre controlador e operador (art. 42) no tratamento de dado pessoal. Na prática, a empresa contratante raramente fica isenta — o que reforça por que o treinamento e o NDA precisam vir antes do acesso, não depois do incidente.

É preciso um NDA específico para IA, ou o NDA padrão de confidencialidade já cobre?

Um NDA assinado antes da IA generativa virar ferramenta de uso diário normalmente não cobre o risco real — ele não prevê lista de ferramentas aprovadas, vedação a colar dado em IA de consumo nem cláusula de retenção. O ideal é um aditivo específico, não reinterpretar o documento antigo.

Prestador PJ precisa da mesma trilha de capacitação que um terceirizado formal?

O vínculo jurídico é diferente, mas o critério que define a trilha é o nível de acesso a sistema e dado, não o tipo de contrato. Um PJ com acesso a dado de cliente exige o mesmo nível de treinamento e NDA que um terceirizado formal no mesmo nível de acesso.

Quanto tempo leva para estruturar essa trilha para terceiros?

Seguindo o Flight Plan, cada estágio leva cerca de duas semanas: diagnóstico de quem acessa o quê (Launchpad), desenho da trilha por nível de risco (Flight Plan), aplicação do treinamento obrigatório (Booster) e acompanhamento de quantos completaram antes de receber acesso (Mission Control).

Fornecedor de tecnologia com IA embutida é a mesma coisa que prestador de serviço terceirizado?

São riscos relacionados, mas distintos. Fornecedor de ferramenta de IA é tratado pela gestão de risco de fornecedores de IA — due diligence sobre o produto e o contrato. Prestador de serviço terceirizado é gente que acessa os sistemas da sua empresa como usuário — o risco está no comportamento da pessoa, não no produto que ela usa.

Conclusão: a trilha vem antes da credencial

Capacitação em IA para terceirizados e prestadores de serviço não é um apêndice do programa principal — é uma frente própria, com trilha proporcional ao nível de acesso, NDA atualizado com cláusula de IA e responsabilidade dividida com clareza entre contratante, terceirizada e prestador individual. Com 23,1% dos trabalhadores formais do país em serviço terceirizado, e setores inteiros passando de 80%, ignorar esse público não reduz o risco — só o deixa invisível até o incidente.

Se você quer mapear quem, na sua empresa, acessa sistema e dado sem estar na folha própria — e desenhar a trilha certa por nível de risco antes de qualquer nova credencial — o diagnóstico gratuito da Jetpacks resolve isso em 30 a 45 minutos: um mapa de impacto e o primeiro desenho de programa para levar à liderança.