Seu fornecedor de IA pode estar treinando o modelo com os dados da sua empresa 

O que os termos de uso geralmente não deixam claro e o que o seu contrato precisa exigir 

Contratar uma ferramenta de inteligência artificial virou rotina nas empresas. Assistentes de atendimento, plataformas de CRM com sugestões automatizadas, ferramentas de produção de conteúdo, sistemas de análise de contratos. O mercado de SaaS com componente de IA cresceu mais rápido do que a capacidade dos departamentos jurídicos de acompanhar o que está escrito nos termos de uso. 

Um dos riscos mais subestimados nesse cenário não vem de um ataque externo. Vem de uma cláusula que o fornecedor inseriu com toda a transparência, mas que ninguém leu antes de clicar em aceitar. 

O problema que está nos termos de uso 

Plataformas de IA precisam de dados para melhorar. Modelos de linguagem, sistemas de recomendação e ferramentas de classificação ficam mais precisos conforme são expostos a mais exemplos reais de uso. O problema é que, em muitos casos, os exemplos reais de uso são os dados que a sua empresa inseriu na plataforma. 

Cláusulas como “podemos usar os dados inseridos para melhorar nossos serviços e modelos” aparecem em contratos de SaaS com uma frequência que não corresponde ao nível de atenção que recebem. O texto é tecnicamente claro. O impacto operacional e jurídico, não. 

Vale um esclarecimento importante: nem todo fornecedor de IA opera dessa forma. Grandes players como OpenAI, Microsoft e Google adotam políticas distintas para usuários gratuitos e clientes corporativos em planos de API ou Enterprise. Em geral, contratos empresariais preveem que os dados não serão usados para retreinamento. O ponto crítico é que essa garantia precisa estar no contrato e não apenas pressuposta. Sem revisão cláusula por cláusula, não há como saber. 

Isso significa que prompts enviados a um assistente de IA, contratos carregados para análise automatizada, dados de clientes usados para treinar um modelo de segmentação ou históricos de atendimento processados por um chatbot podem estar sendo incorporados ao modelo base do fornecedor. E, com eles, dados pessoais dos titulares que a sua empresa se comprometeu a proteger. 

O que treinamento com seus dados significa na prática 

Nem todo uso de dados por um fornecedor de IA é equivalente. Há diferença entre cenários com implicações jurídicas distintas. 

No fine-tuning com dados do cliente, o fornecedor usa especificamente os dados da sua empresa para ajustar o comportamento do modelo. Os dados ficam incorporados ao modelo treinado. No uso agregado para melhoria do modelo base, os dados de múltiplos clientes são combinados para retreinar o modelo geral da plataforma. O dado individual perde o rastro, mas continua participando do treinamento. No armazenamento de prompts e outputs para análise, os dados não são usados diretamente para treinar, mas são retidos para avaliação de qualidade ou auditoria interna do fornecedor. 

Em todos esses cenários, há uma operação de tratamento de dados pessoais que vai além da finalidade original para a qual os dados foram coletados. É aqui que a Lei Geral de Proteção de Dados Pessoais (LGPD) entra com peso. 

Onde a LGPD entra nessa equação 

A base legal que não sustenta o treinamento 

A empresa que contrata o SaaS é, na relação com os titulares cujos dados são inseridos na plataforma, a controladora. Ela definiu a finalidade do tratamento, os meios utilizados e as obrigações assumidas perante os titulares. 

Quando um colaborador insere dados de clientes em uma ferramenta de IA para executar uma tarefa operacional, os titulares não consentiram com o uso desses dados para treinar o modelo de um terceiro. A finalidade declarada era outra. Usar o interesse legítimo do fornecedor como base legal para esse tratamento é um argumento frágil: o interesse legítimo do controlador precisa ser ponderado contra os direitos e expectativas razoáveis dos titulares, e dificilmente esse teste vai sustentar o retreinamento de modelo com dados de terceiros sem ciência dos envolvidos. 

O risco de autuação pela Autoridade Nacional de Proteção de Dados (ANPD), de ação civil pelos titulares afetados e de responsabilização solidária com o fornecedor é real. 

O fornecedor como operador e os limites do art. 37 

Na arquitetura da LGPD, o fornecedor de SaaS que processa dados em nome da empresa contratante é um operador. O art. 37 da LGPD estabelece que o controlador deve manter registro das operações de tratamento que realizar e que o operador deve fazer o mesmo nas hipóteses em que o encarregado ou a ANPD exigir. 

A ANPD publicou o Guia de Boas Práticas para Registro de Operações de Tratamento (ROPA), que orienta como estruturar esse registro. Além do registro, a relação entre controlador e operador precisa estar formalizada em contrato ou instrumento equivalente, com definição do escopo do tratamento autorizado, as finalidades permitidas, as obrigações de segurança e o que acontece com os dados ao fim da relação contratual. 

Um fornecedor que usa os dados do cliente para retreinar seu próprio modelo está, na prática, agindo fora do escopo autorizado pelo controlador. A ausência de cláusula proibitiva não é autorização tácita. É descumprimento de obrigação legal. 

O que revisar antes de assinar 

A revisão de um contrato com fornecedor de IA precisa endereçar pontos específicos que os contratos padrão frequentemente ignoram ou deixam em aberto de forma conveniente para o fornecedor. 

• Finalidade do uso dos dados: o contrato precisa restringir o uso dos dados inseridos estritamente à prestação do serviço contratado, vedando expressamente o uso para treinamento, fine-tuning ou melhoria de modelos. 

• Vedação ao compartilhamento com terceiros: incluindo outras empresas do grupo econômico do fornecedor e parceiros de infraestrutura que possam ter acesso aos dados processados. 

• Localização e retenção dos dados: onde os dados são processados e armazenados, por quanto tempo e com base em qual justificativa. 

• Direito de exclusão após rescisão: o contrato deve prever a eliminação dos dados pelo fornecedor em prazo definido após o encerramento da relação, com confirmação formal. 

• Auditabilidade: o controlador deve ter o direito de auditar ou exigir relatório sobre as operações de tratamento realizadas pelo fornecedor, especialmente em caso de suspeita de uso indevido. 

Quando o fornecedor não aceita negociar esses pontos, isso é informação. A recusa em assumir obrigações básicas de operador é um sinal que precisa entrar na avaliação de risco da contratação. 

O que fazer com os contratos que já estão vigentes 

Boa parte das empresas já tem contratos com fornecedores de IA assinados. A pergunta não é só o que fazer na próxima contratação, mas o que fazer agora. 

O primeiro passo é o inventário. Mapear quais ferramentas com componente de IA estão em uso, quais dados são inseridos em cada uma e o que os termos de uso ou contratos vigentes dizem sobre o tratamento desses dados. Esse levantamento pode ser feito como parte de uma revisão de ROPA (Registro das Operações de Tratamento de Dados Pessoais) ou como uma auditoria específica de fornecedores. 

Identificado o risco, há três caminhos possíveis: negociar aditivo contratual que incorpore as restrições necessárias, substituir o fornecedor por um que aceite assinar instrumento adequado, ou encerrar o uso da ferramenta se nenhuma das duas opções for viável antes da próxima renovação. 

A inação não é neutra. Manter contratos com risco identificado sem qualquer providência é argumento que pode agravar a responsabilização do controlador em caso de incidente ou autuação. 

A revisão de contratos com fornecedores de IA não é uma tarefa pontual de compliance: é parte estrutural de qualquer programa sério de adequação à LGPD. Se a sua empresa já usa ferramentas de IA e ainda não passou por essa revisão, o risco já existe. 

O escritório SMN Advogados atua na revisão e negociação de contratos com fornecedores de tecnologia e no serviço de Encarregado de Dados (DPO) externo para empresas que precisam estruturar sua governança de privacidade. Entre em contato para avaliar a situação da sua empresa.