Antes de contratar, descubra quem realmente entregará, hospedará, treinará, avaliará, monitorará e apoiará a solução. Uma empresa de IA pode ser a contratada principal e ainda depender de afiliadas, pessoas contratadas, nuvem, APIs de modelos, provedores de dados, anotação, avaliação, observabilidade e integrações. Aprove somente quando os terceiros críticos, seus acessos, obrigações, evidências e caminhos de substituição estiverem documentados e proporcionais ao risco.
Não trate toda dependência como subcontratado. Software aberto, bibliotecas e modelos podem ser componentes sem relação contratual direta; ainda assim criam risco de versão, licença, vulnerabilidade, disponibilidade e manutenção. O objetivo é mapear a cadeia real de entrega e controle, não apenas coletar uma lista de empresas.
AI Delivery Chain Proof-8: matriz de 32 pontos
Pontue cada dimensão de zero a quatro: zero é desconhecida; um é declaração sem prova; dois é registro parcial; três é evidência atual, owner e controle contratual; quatro é controle testado com monitoramento e alternativa. Como corte ilustrativo, avance com 24 de 32, nenhum zero e nota mínima três para dados, segurança, continuidade e saída.
- Inventário e criticidade — todas as organizações, pessoas, serviços, modelos, dados e componentes relevantes estão identificados e classificados por impacto.
- Papéis e controle — contratada principal, afiliadas, subcontratados e cliente têm responsabilidades e decisões explícitas.
- Dados, acesso e localização — finalidade, categorias, ambientes, credenciais, retenção, exclusão e transferências estão mapeados.
- Diligência e evidência — seleção, segurança, capacidade, desempenho, conflitos, sanções e reavaliação são demonstráveis.
- Obrigações em cascata — privacidade, segurança, propriedade, confidencialidade, auditoria, incidentes e continuidade alcançam a cadeia crítica.
- Mudança e consentimento — entrada, troca e remoção de terceiros têm aviso, informação suficiente, direito de objeção ou aprovação proporcional.
- Monitoramento e ruptura — serviço, acesso, incidentes, concentração, mudanças e falhas são observados e escalados.
- Substituição e saída — dados, configuração, documentação, transição, assistência e alternativas evitam dependência irrecuperável.
Aplique seis filtros eliminatórios
- O fornecedor recusa identificar uma dependência que processará dados sensíveis ou executará função crítica.
- Não existe responsável por selecionar, monitorar e substituir um terceiro crítico.
- Obrigações essenciais não são repassadas à cadeia ou o contrato impede evidência suficiente.
- Um novo subcontratado pode entrar sem aviso adequado quando muda localização, acesso, risco ou finalidade.
- Não há contingência para indisponibilidade, mudança material de termos, encerramento ou incidente de um provedor crítico.
- O cliente não consegue obter dados, artefatos e assistência necessários para transição ou encerramento seguro.
Reprovar um filtro não significa necessariamente abandonar o caso. Pode exigir limitar dados e autonomia, trocar componente, realizar discovery controlado, impor condição precedente ou contratar diretamente a dependência crítica. O que não funciona é aceitar opacidade e tentar compensá-la com uma cláusula genérica.
Monte um registro de cadeia que permita comparar propostas
- Nome, entidade jurídica, país e relação com a contratada principal.
- Serviço ou componente fornecido e processos de negócio afetados.
- Dados acessados, finalidade, ambiente, localização, retenção e exclusão.
- Privilégios, identidades técnicas e possibilidade de ação autônoma.
- Criticidade, concentração, alternativa disponível e tempo estimado de substituição.
- Evidência de diligência, data, owner e próximo ciclo de revisão.
- Obrigações contratuais em cascata, auditoria e comunicação de incidentes.
- Dependências de quarto nível relevantes, inclusive modelos, nuvem e suporte.
- Métricas, alertas, mudanças recentes e exceções aceitas.
- Direitos de aviso, objeção, aprovação, suspensão e término.
- Plano de continuidade, exportação, transferência e exclusão verificável.
- Risco residual, aprovador e prazo para tratamento.
Peça um pacote de evidências proporcional
Para cada terceiro crítico, peça o registro de seleção e risco, arquitetura e fluxo de dados, matriz de acessos, controles e relatórios relevantes, termos aplicáveis, histórico material de incidentes, monitoramento, continuidade e plano de substituição. Evidência pode ser protegida por confidencialidade e apresentada por amostra; não precisa significar acesso irrestrito à empresa. Porém, certificação, contrato padrão ou promessa comercial não substituem evidência ligada ao uso proposto.
Faça um teste de ruptura de 90 minutos
Entregue aos finalistas o mesmo cenário: o provedor do modelo muda termos e região; o serviço de anotação sofre incidente; uma integração perde acesso; o fornecedor de observabilidade encerra o produto. Peça que mostrem detecção, responsável, comunicação, isolamento, continuidade, troca, impacto em dados, custo e prazo e atualização do registro. Avalie se a contratada controla a cadeia ou apenas repassa dependências ao cliente.
Negocie transparência sem inviabilizar a entrega
Aprovação prévia para qualquer ferramenta pode paralisar equipes; aviso genérico depois da mudança protege pouco. Use níveis: consentimento para terceiros que acessam dados sensíveis ou executam funções críticas; aviso prévio e direito de objeção para mudanças materiais; registro atualizado para componentes comuns; resposta emergencial com comunicação e revisão posterior. Mantenha a contratada principal responsável pelo resultado e pelas obrigações assumidas.
Contexto brasileiro
No Brasil, os rótulos controlador, operador e suboperador dependem das decisões e fatos do tratamento, não apenas do nome no contrato. Mapeie finalidade, instruções, transferências internacionais, bases e salvaguardas aplicáveis, retenção, segurança, incidentes e atendimento a titulares. Combine LGPD, regras setoriais, propriedade intelectual, tributação e jurisdição com a cadeia técnica real; obtenha revisão jurídica local antes de transformar o framework em cláusulas.
Conecte a cadeia às demais diligências
Use https://makinai.co/insights/pt/due-diligence-seguranca-contratar-empresa-ia para aprofundar controles, https://makinai.co/insights/pt/avaliar-proposta-arquitetura-ia-antes-contratar para testar componentes, https://makinai.co/insights/pt/avaliar-estabilidade-financeira-continuidade-empresa-ia para continuidade e https://makinai.co/insights/pt/responsabilidade-garantias-indenizacoes-contrato-ia para alocar riscos.
Quando envolver a MAKINAI
A MAKINAI pode normalizar cadeias de entrega de propostas concorrentes, conduzir o teste de ruptura e converter dependências em controles, critérios de aceite, condições contratuais e plano de saída. Conheça https://makinai.co/services/pt/consultoria-estrategia-ia-transformacao.