Cláusulas de governança de IA em contratos com fornecedores

Cláusulas de governança de IA em contratos com fornecedores são disposições contratuais que obrigam o fornecedor a manter — durante toda a vigência do contrato, não só na assinatura — transparência sobre o modelo e os dados que usa, direito de auditoria contínua, notificação de incidente em prazo definido e evidência de certificação como a ISO/IEC 42001. Elas deixaram de ser cláusula de nicho de contrato de tecnologia e viraram exigência de compra: a Portaria SGD/MGI nº 5.921/2026 já torna a governança de IA auditável condição contratual no governo federal brasileiro, e o mesmo padrão está migrando para contratos privados. Este guia é para quem redige, negocia ou aprova esse tipo de contrato — jurídico, compliance, procurement e C-level — e detalha exatamente o que incluir na cláusula e como fiscalizá-la depois de assinada.

O que mudou: de política interna para cláusula contratual

Até pouco tempo, governança de IA era discussão de política interna — o que o colaborador pode fazer, qual comitê aprova qual caso de uso. Isso segue valendo, e está detalhado no pilar governança de IA na prática. Mas há um movimento novo, e ele muda quem está do lado de fora dessa governança: compradores de tecnologia passaram a exigir prova de governança de IA do próprio fornecedor, dentro do contrato, como condição de fechar negócio.

O IT Forum resume o deslocamento: a governança de IA "não é mais opcional" e passou a ser fator determinante para conquistar clientes, reduzir risco e acelerar negociação — com compradores exigindo white papers sobre o funcionamento do sistema, relatórios de explicabilidade, testes periódicos de viés e declarações de conformidade regulatória antes de assinar. Isso é distinto de avaliar se contratar um fornecedor — o recorte de gestão de risco de fornecedores de IA, due diligence e classificação por criticidade feitas antes da assinatura. Este guia cobre o próximo passo: o que entra no texto do contrato já assinado e como a empresa fiscaliza esse fornecedor continuamente, depois que a relação comercial começou.

Portaria SGD/MGI nº 5.921/2026: o gatilho que tornou pública a tendência privada

O sinal mais concreto de que isso deixou de ser tendência e virou norma veio do setor público. A Portaria SGD/MGI nº 5.921/2026, publicada em 22 de julho de 2026 e em vigor desde 1º de setembro de 2026, atualiza o modelo de contratação de serviços de operação de infraestrutura e atendimento a usuários de TI usado pelos cerca de 250 órgãos do Sistema de Administração dos Recursos de Tecnologia da Informação (SISP). Ela estabelece que, se o uso de ferramentas de IA for admitido no escopo do serviço contratado, as regras, os limites e as responsabilidades desse uso pela contratada precisam estar expressamente previstos no Termo de Referência ou alinhados à Política de Governança de IA do órgão — deixando de ser decisão operacional do fornecedor e passando a ser cláusula fiscalizável pelo contratante.

A Schiefler Advocacia detalha o que isso significa na prática para quem vende para o governo: o fornecedor precisa demonstrar como o produto funciona, quais dados usa, quais riscos foram mapeados, quais salvaguardas existem e como a administração poderá auditar os resultados — sob pena de questionamento em licitação, glosa e sanção administrativa se a execução for inadequada. O detalhamento da lei doméstica que orienta esse tipo de exigência está em Marco Legal da IA no Brasil (PL 2338).

O ponto que importa para quem não vende para o governo: a Portaria 5.921/2026 não cria a lógica, só a torna visível e formal num dos maiores compradores de tecnologia do país. O mesmo padrão — exigir do fornecedor prova de governança auditável, não promessa — já migra para contratos privados, com a diferença de que, fora do setor público, ainda não há norma única obrigando isso: quem exige é o próprio comprador, via cláusula negociada.

Cláusulas de governança de IA em contratos com fornecedores: o checklist prático

Redigir essa cláusula do zero, caso a caso, é como escrever cláusula de proteção de dado antes da LGPD existir — cada jurídico inventa a própria versão, com lacunas diferentes. O checklist abaixo é o piso mínimo. Nenhum item substitui revisão jurídica específica para o contrato, mas cobre o que compradores maduros já exigem hoje:

1. Direito de auditoria contínua — não um direito genérico de "auditar quando necessário", e sim um mecanismo com frequência definida (trimestral, semestral, conforme criticidade) e gatilhos que antecipam a próxima auditoria: mudança de versão do modelo, novo subprocessador, incidente reportado. Auditoria só na renovação do contrato não é auditoria contínua.
2. Transparência de modelo e de dados de treino — o fornecedor precisa informar, em linguagem acessível a quem não é cientista de dados, qual modelo (ou família de modelos) está em uso, se foi treinado ou ajustado com dado da própria empresa contratante e se há dependência de modelo de terceiro dentro do produto.
3. Obrigação de notificação de incidente e de desvio — prazo definido em horas ou dias, não "assim que possível", cobrindo tanto incidente de segurança quanto desvio de comportamento do modelo (alucinação recorrente, viés detectado, degradação de performance).
4. Requisito de certificação como ISO/IEC 42001 — exigir a certificação (ou evidência de que o fornecedor está em processo de certificação) como proxy objetivo de maturidade de governança do fornecedor. O que a norma cobre e como avaliar se ela é exigível está em ISO/IEC 42001: o que é e como implementar na empresa.
5. SLA de explicabilidade — compromisso contratual de que, para decisões de maior impacto, o fornecedor entrega justificativa do resultado gerado dentro de um prazo de resposta acordado — não só "o modelo é uma caixa-preta, confie".
6. Plano de continuidade e portabilidade — o que acontece com o dado e com a operação se o fornecedor for descontinuado, adquirido ou falhar de forma crítica. O detalhamento desse cenário específico — o que fazer quando o fornecedor já falhou ou quer reajustar preço unilateralmente — está em continuidade de negócio e vendor lock-in de fornecedores de IA.

Cláusula	Pergunta que ela responde	Risco sem ela
Auditoria contínua	Como comprovamos, depois de assinado, que a governança prometida continua valendo?	Fornecedor muda de comportamento sem que ninguém perceba até o incidente
Transparência de modelo/dados	O que exatamente está processando os dados da minha empresa?	Dependência oculta de modelo de terceiro fora do escopo avaliado
Notificação de incidente/desvio	Quando e como somos avisados se algo sair errado?	Empresa descobre o problema pela imprensa, não pelo fornecedor
Certificação ISO/IEC 42001	O fornecedor tem sistema de gestão de IA reconhecido, ou só promessa verbal?	Nenhum proxy objetivo de maturidade além da palavra do vendedor
SLA de explicabilidade	Conseguimos justificar a decisão gerada pelo sistema a um cliente, auditor ou regulador?	Decisão automatizada sem justificativa defensável
Continuidade e portabilidade	O que fazemos se o fornecedor sair do mercado ou for adquirido amanhã?	Processo de negócio para porque o dado ficou preso no fornecedor

A maior parte do material disponível sobre "cláusulas de IA em contrato" fala de propriedade intelectual, SLA genérico ou limitação de responsabilidade — quase nenhum detalha o mecanismo de auditoria contínua como cláusula específica, com frequência, gatilho e evidência exigida.

Auditoria contínua de fornecedor não é a mesma coisa que due diligence de contratação

Vale separar dois momentos que se confundem com frequência, porque os dois envolvem "avaliar o fornecedor":

	Due diligence de fornecedor	Cláusula de auditoria contínua
Quando acontece	Antes de assinar, na fase de seleção	Durante toda a vigência do contrato, já assinado
Quem conduz	Procurement, compliance, segurança da informação, jurídico	Cláusula contratual que dá o direito; execução pode ser interna ou por auditor independente
O que produz	Decisão de contratar, classificação de criticidade	Evidência periódica de que a governança prometida continua valendo
Onde está o detalhe	Gestão de risco de fornecedores de IA	Este guia

Parar na due diligence é o mesmo erro que auditar segurança da informação só na assinatura do contrato: o fornecedor aprovado na avaliação inicial pode mudar de modelo, subprocessador ou política de dados meses depois, sem que ninguém perceba até o incidente. A cláusula de auditoria contínua transforma a due diligence inicial em garantia permanente, não fotografia de um dia.

Como funciona a auditoria contínua na prática

Ter a cláusula no papel não basta se ninguém a executa. A cadência que funciona, calibrada por criticidade — a mesma lógica de classificação detalhada em gestão de risco de fornecedores de IA — é:

• Fornecedor de risco baixo: checagem documental anual, sem auditoria formal.
• Fornecedor de risco médio: auditoria semestral com checklist estruturado — certificações ainda válidas, incidentes reportados, mudança de subprocessador.
• Fornecedor de risco alto: auditoria trimestral ou a cada mudança relevante de produto, com acesso a log, relatório de performance e evidência de teste de viés.

A execução técnica desse ciclo — o que auditar, com que profundidade, quem dentro da empresa conduz — é o mesmo processo descrito em auditoria de IA: guia técnico para C-level e compliance, aplicado especificamente ao fornecedor em vez de aos sistemas internos. O ponto prático que muitos contratos ainda erram: a cláusula de auditoria precisa nomear quem paga pela auditoria (o comprador tem o direito, mas o custo recai sobre quem?) e o que acontece se o fornecedor falhar na auditoria — suspensão de uso, prazo de remediação, ou rescisão. Cláusula de auditoria sem consequência definida é cláusula decorativa.

Quem redige e aprova essas cláusulas

A cláusula de governança de IA não deveria sair só do jurídico copiando um modelo genérico, nem só de TI aprovando sem entender a exposição legal. A divisão que funciona:

Papel	Responsabilidade
Jurídico	Redige e negocia a cláusula; define o que acontece em caso de descumprimento
Compliance	Mantém o registro de quais fornecedores têm cláusula de auditoria contínua ativa e a trilha de execução
Segurança da informação	Define o escopo técnico da auditoria — o que precisa ser auditável, com que profundidade
Procurement	Garante que a cláusula entra no contrato antes da assinatura, não como aditivo depois
C-level / diretoria de risco	Aprova o nível de exigência para fornecedores de criticidade alta e responde pela decisão perante o board

O comitê de ética de IA já existente no hub de governança é o fórum natural para decidir o nível de exigência em casos-limite — fornecedor com produto crítico, mas sem certificação ainda, por exemplo.

Como a Jetpacks apoia essa mudança de exigência

Dentro do método Flight Plan, a cláusula de governança de IA em contrato com fornecedor entra como parte do desenho de governança, não como aditivo jurídico isolado. O Launchpad mapeia quais contratos de fornecedor já em vigor não têm cláusula de auditoria contínua; o Flight Plan desenha, por área, o texto-padrão de cláusula e o nível de exigência proporcional à criticidade de cada fornecedor; o Booster capacita jurídico, procurement e segurança da informação a negociar e fiscalizar essa cláusula no dia a dia; e o Mission Control entrega a trilha de evidência — quantos contratos com cláusula ativa, quantas auditorias executadas no prazo — que compliance leva ao board. Como parceira oficial da Replit no Brasil, a Jetpacks já aplicou essa abordagem de governança contratual em empresas como Hypera Pharma, Volvo, BMR Medical e C12 Brasil.

FAQ

O que é uma cláusula de governança de IA em contrato com fornecedor?

É a disposição contratual que obriga o fornecedor a manter, durante toda a vigência do contrato, transparência sobre o modelo e os dados usados, direito de auditoria periódica, notificação de incidente em prazo definido e evidência de certificação de governança — diferente da due diligence feita antes de assinar, que avalia se o fornecedor deve ser contratado.

A Portaria SGD/MGI nº 5.921/2026 se aplica a empresas privadas?

Diretamente, não — ela regula contratos de TI dos cerca de 250 órgãos do governo federal integrantes do SISP. Mas o padrão que ela formaliza (governança de IA auditável como condição contratual) já está migrando para contratos privados, exigido por compradores corporativos como cláusula negociada, sem que exista ainda uma norma única obrigando isso fora do setor público.

Qual a diferença entre due diligence de fornecedor de IA e cláusula de auditoria contínua?

Due diligence acontece antes da assinatura e decide se o fornecedor deve ser contratado, com classificação de criticidade e avaliação de segurança. A cláusula de auditoria contínua entra em vigor depois da assinatura e garante que a governança avaliada na contratação continua válida durante toda a relação comercial — não é uma fotografia única.

O que é auditoria contínua de governança de IA em contrato?

É o direito contratual, com frequência definida (trimestral a anual, conforme criticidade) e gatilhos específicos (mudança de versão do modelo, novo subprocessador, incidente reportado), de pedir ao fornecedor evidência — logs, relatórios de performance, teste de viés — de que a governança prometida no contrato continua sendo praticada.

Preciso exigir certificação ISO/IEC 42001 do fornecedor?

Não é obrigatório por lei, mas é o proxy mais objetivo disponível hoje de maturidade de governança de IA de um fornecedor. Exigir a certificação, ou evidência de processo de certificação em andamento, reduz a dependência de autodeclaração do vendedor.

O que é SLA de explicabilidade num contrato de IA?

É o compromisso contratual de que o fornecedor entrega, dentro de um prazo de resposta acordado, justificativa do resultado gerado por decisões de maior impacto — em vez de tratar o modelo como caixa-preta cuja lógica não pode ser questionada pelo cliente.

Contratos de fornecedor de IA já assinados precisam ser renegociados?

Depende da criticidade do fornecedor e do que já está previsto. Para fornecedores de risco alto sem nenhuma das cláusulas do checklist deste guia, sim — vale abrir renegociação ou aditivo antes da próxima renovação, em vez de esperar um incidente forçar a conversa.

Conclusão: a cláusula que faltava não é jurídica, é de governança

O contrato de fornecedor de IA que só cobre propriedade intelectual, SLA de disponibilidade e limitação de responsabilidade está incompleto para o padrão que o mercado já está adotando. A peça que falta é a cláusula de governança contínua — auditoria com frequência definida, transparência de modelo, notificação de desvio, certificação exigida e plano de continuidade — porque due diligence na contratação, sozinha, não garante que o fornecedor continua governado seis meses depois.

Se sua empresa quer revisar os contratos de fornecedor de IA já em vigor e desenhar o texto-padrão de cláusula proporcional a cada nível de criticidade, o diagnóstico gratuito da Jetpacks mapeia, em uma conversa de 30 a 45 minutos, os contratos que precisam de aditivo, e o business case para a liderança ajuda a levar essa prioridade ao board com a clareza de investimento que a diretoria espera.