Comprar uma ferramenta de IA em 2026 é fácil demais. Cartão de crédito, cadastro em dois minutos, valor mensal baixo o suficiente para não passar por aprovação. É exatamente por isso que tanta empresa descobre, no inventário, provedores em produção que nunca foram avaliados.
Este é o conjunto de perguntas que separa fornecedor maduro de demonstração bonita — organizadas por tema, com o que a resposta ruim costuma parecer.
Dados
- O que acontece com o conteúdo que enviamos? É usado para treinar modelo? A resposta precisa estar no contrato, não no site. Verifique também se o plano contratado é o corporativo: os termos da versão de consumidor costumam ser diferentes justamente aqui.
- Por quanto tempo o conteúdo fica retido, e podemos definir esse prazo?
- Onde o processamento ocorre? Se o seu setor exige residência de dado no Brasil, essa pergunta decide a viabilidade antes de qualquer discussão de funcionalidade.
- Há subcontratados? Quais, para quê, e como somos avisados quando a lista muda.
- Como atendem a um pedido de eliminação vindo de um titular de dados?
Sinal de alerta: resposta que trata a pergunta como detalhe técnico a ser resolvido depois. Se não está no contrato, não existe.
Segurança
- Que certificações vocês têm, e podemos ver o certificado? Atenção à diferença entre "somos certificados", "estamos em processo" e "seguimos as práticas de". As três são respostas legítimas; confundi-las de propósito não é.
- Fazem teste de intrusão por terceira parte? Quando foi o último e qual foi o escopo. Resumo executivo sob NDA é resposta razoável; não ter o que mostrar, não.
- Como funciona o controle de acesso interno? Quem, do lado do fornecedor, consegue ver o nosso conteúdo, e isso fica registrado.
- Qual o processo de resposta a incidente e em quanto tempo seremos notificados?
Continuidade
- Qual o SLA e o que acontece quando ele não é cumprido?
- Existe página de status pública com histórico? Histórico visível de incidentes é sinal de maturidade, não de fragilidade.
- Se vocês encerrarem o serviço, o que levamos? Formato, prazo e assistência na saída. Fornecedor que nunca pensou nisso está dizendo algo.
- Qual a dependência de um único provedor de modelo? Se o provedor por trás mudar preço ou política, o que muda para nós.
Contrato
- Cláusula de tratamento de dados compatível com a LGPD, com papéis de controlador e operador definidos.
- Previsão de auditoria ou, no mínimo, de fornecimento de evidência.
- Regras claras de reajuste e de mudança unilateral de termos.
- Propriedade sobre o que é produzido com a ferramenta.
- Responsabilidade e limites em caso de incidente.
Evidência: a pergunta que resume todas
Depois do questionário, há uma pergunta que revela mais que o restante somado: "se o nosso auditor pedir, em seis meses, prova de como esta ferramenta foi usada e protegida, o que vocês entregam?"
Fornecedor maduro responde com o que consegue gerar. Fornecedor imaturo responde com o que acredita. A diferença aparece na hora da pergunta, não depois.
Do outro lado do balcão
Vale inverter o exercício: se o seu cliente aplicasse este questionário à sua empresa, o que você entregaria hoje? Foi por isso que publicamos as políticas e o canal de solicitação de documentos no Trust Center da NOBUG — a mesma exigência que recomendamos, aplicada a nós.
E para organizar as ferramentas que já estão em uso sem terem passado por rito nenhum, o caminho costuma ser o licenciamento corporativo, que traz contrato, nota fiscal e controle de acesso para o que hoje é assinatura pessoal.
