Consultoria de IA: o que perguntar antes de contratar
DIX7 8 min de leitura atualizado em
Resposta direta
Antes de contratar uma consultoria de IA, pergunte o que será entregue em cada etapa, quais dados da sua empresa o fornecedor vai tocar e em que papel, quem opera depois e como o resultado será medido. Peça as respostas por escrito. Quem trabalha com método responde sem rodeio e não promete resultado certo de antemão.
Contratar uma consultoria de IA sem um roteiro de perguntas é assinar uma promessa. Quem já ouviu muito discurso sobre inteligência artificial sabe como é: a proposta é bonita, o prazo é curto e ninguém explica o que acontece com os dados da empresa.
Este roteiro serve para donos e gestores sem equipe técnica. Ele cobre o que você precisa saber antes de assinar, com a lei e as políticas dos fabricantes lidas em 23/10/2026. Se você ainda está decidindo por onde começar com IA, leia antes o guia completo de IA para empresas.
O que a consultoria de IA entrega em cada etapa?
Fornecedor sério descreve a entrega etapa por etapa, com o que você recebe ao final de cada uma. Se a resposta é "uma solução de IA para a sua empresa", falta método.
Peça por escrito:
Diagnóstico: o que será analisado, com quem a equipe conversa e que documento você recebe no fim.
Plano (roadmap): a ordem dos usos de IA, o que fica para depois e por quê.
Implementação guiada: o que será configurado ou construído, e o que fica por sua conta.
Monitoramento: o que é acompanhado depois do início e com que frequência.
Na DIX7, a consultoria em IA segue essas quatro etapas: diagnóstico, roadmap, implementação guiada e monitoramento. Não pedimos que você acredite: pedimos que compare com o que qualquer outro fornecedor escreve.
Quais dados da sua empresa o fornecedor vai tocar, e em que papel?
Pergunte quais dados ele vai acessar e se tratará esses dados em nome da sua empresa. Pela LGPD (Lei 13.709/2018, art. 5º), quem decide sobre o tratamento é o controlador, e quem trata dados pessoais em nome dele é o operador. Em geral, sua empresa é o controlador e o fornecedor, o operador. O papel de cada um, porém, depende do caso concreto.
O que a lei diz sobre esse papel, em termos práticos:
O operador trata os dados segundo as instruções do controlador, que verifica se elas são cumpridas (art. 39).
Os dois mantêm registro das operações de tratamento (art. 37).
Os dois devem adotar medidas de segurança técnicas e administrativas contra acesso não autorizado, perda e alteração (art. 46).
Quem causar dano em violação à lei deve repará-lo (art. 42), e o art. 43 prevê hipóteses em que não há responsabilização. O operador responde solidariamente se descumprir a lei ou as instruções lícitas do controlador (art. 42, §1º, I).
O Guia Orientativo da ANPD sobre definições dos agentes de tratamento e do encarregado, que não é vinculante, acrescenta duas pontas. O operador só pode tratar os dados para a finalidade que o controlador definiu. E, em regra, a responsabilidade principal é do controlador.
Na prática, na nossa leitura: contratar um terceiro não tira da sua empresa a responsabilidade pelos dados dos seus clientes.
Mais três perguntas curtas sobre dados:
O fornecedor usa subcontratados ou ferramentas de terceiros? Peça que isso conste por escrito, com o nome de cada um.
Onde os registros e acessos ficam guardados, e por quanto tempo?
O que acontece com os seus dados quando o contrato termina?
Para ir mais fundo no assunto, leia o nosso post IA e LGPD: posso colocar dados de clientes no ChatGPT?.
O fornecedor usa os meus dados para treinar modelos de IA?
Pergunte qual modelo ele usa e em qual plano ou produto. A resposta muda conforme o produto contratado, e as políticas mudam com o tempo. Duas leituras feitas em 23/10/2026:
Anthropic: segundo o Privacy Center (página datada de 18/08/2026), por padrão as entradas e saídas dos produtos comerciais (Claude for Work, API e Claude Gov) não são usadas para treinar modelos, salvo autorização expressa (opt-in), como o envio de feedback. Planos Free, Pro e Max são tratados em outro artigo, que não lemos.
OpenAI, API: a documentação diz que, desde 01/03/2023, dados enviados à API não são usados para treinar ou melhorar modelos, salvo autorização expressa (opt-in). Os registros para monitorar abuso ficam retidos por até 30 dias por padrão. Clientes aprovados pela OpenAI podem pedir retenção zero de dados ou monitoramento de abuso modificado.
Essas regras valem para os produtos citados. Se o fornecedor usa outro plano, a resposta dele precisa vir com o nome do plano e o link da política.
Quem opera e evolui a solução depois da entrega?
Uma solução de IA precisa de cuidado depois de entregue: o processo da empresa muda, os modelos mudam, os erros aparecem no uso. Pergunte quem acompanha, quanto tempo leva para corrigir e se o suporte é um serviço separado, com escopo escrito.
Pergunte também se você consegue operar sozinho depois. Documentação, acessos em nome da sua empresa e treinamento da equipe são, na nossa leitura, sinais de que o fornecedor quer que você consiga seguir sem ele.
Como o resultado será medido, e o que o fornecedor não promete?
Pergunte qual número vai mudar, medido por quem e de onde para onde. "Mais eficiência" não é medida. "Tempo médio de resposta ao cliente, hoje e daqui a 60 dias, medido no seu sistema de atendimento" é.
Nossa leitura: desconfie de três promessas:
A garantia de resultado.
A troca da sua equipe por IA.
O "é só ligar e funciona".
Quem promete isso vende certeza que nenhum projeto de IA pode dar de antemão.
Nossa leitura também: um selo sozinho não substitui as perguntas. O NIST AI RMF 1.0, lançado em 26/01/2023, é uma referência de uso voluntário para gerir riscos de IA e está em revisão, segundo a página do NIST. Serve para perguntar se o fornecedor segue algum critério de governança, não para exigir certificado.
Exemplo ilustrativo: duas propostas, duas respostas
Exemplo ilustrativo (situação hipotética, não é caso de cliente). Uma distribuidora com equipe comercial pequena recebe duas propostas de consultoria de IA. As duas prometem "automatizar o atendimento".
A dona manda as mesmas perguntas por escrito. A primeira proposta responde em duas páginas: etapas, quem acessa a base de clientes, qual plano de modelo usa, quem opera depois e qual métrica acompanhar. A segunda responde que "isso é detalhe técnico". A comparação deixa de ser sobre preço e passa a ser sobre clareza.
Próximo passo
Se quiser aplicar este roteiro à sua empresa, peça o diagnóstico da DIX7: é a análise do seu negócio para apontar onde a IA faz sentido antes de qualquer implantação. Depois que você enviar o pedido pela página de contato, respondemos em até 24 horas.
Fontes
Lei 13.709/2018 (LGPD), Planalto: http://planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm (lida em 23/10/2026; texto com redações posteriores).
Guia Orientativo para definições dos agentes de tratamento de dados pessoais e do encarregado, ANPD: https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia-orientativo-para-definicoes-dos-agentes-de-tratamento-de-dados-pessoais-e-do-encarregado (página publicada em 22/11/2024; o guia é a 2ª edição, de abril de 2022; lido em 23/10/2026).
Is my data used for model training?, Anthropic Privacy Center: https://privacy.claude.com/en/articles/7996868-is-my-data-used-for-model-training (página datada de 18/08/2026; lida em 23/10/2026).
Your data, OpenAI (documentação da API): https://developers.openai.com/api/docs/guides/your-data (lida em 23/10/2026).
AI Risk Management Framework, NIST: https://www.nist.gov/itl/ai-risk-management-framework (lida em 23/10/2026).
Perguntas frequentes
Preciso de contrato específico sobre dados com a consultoria de IA?
A LGPD não manda expressamente um contrato entre quem decide sobre os dados (controlador) e quem os trata em seu nome (operador). O Guia Orientativo da ANPD sobre agentes de tratamento, que não é vinculante, trata o contrato como boa prática, porque impõe limites e distribui responsabilidades. Vale pedir, e um advogado deve revisar.
A consultoria de IA pode ser responsabilizada se houver vazamento?
O art. 42 da LGPD diz que o controlador ou o operador que causar dano em violação à lei deve repará-lo, e o art. 43 prevê hipóteses em que eles não são responsabilizados. O §1º, inciso I, prevê que o operador responde solidariamente se descumprir a lei ou não seguir as instruções lícitas do controlador. Isso não é parecer jurídico: para o seu caso, consulte um advogado.
Existe certificação que prove que uma consultoria de IA é séria?
Na nossa leitura, um selo sozinho não substitui as perguntas. O NIST AI RMF 1.0, lançado em 26/01/2023, é uma referência de gestão de riscos de IA de uso voluntário e, segundo a página do NIST, está em revisão. Serve para perguntar se o fornecedor trabalha com algum critério de governança.
Posso usar essa lista de perguntas com qualquer fornecedor?
Sim. As perguntas valem para qualquer consultoria, agência ou freelancer de IA, inclusive concorrentes da DIX7. Compare as respostas por escrito e desconfie de quem foge delas.
Quem escreve
DIX7
Blog da DIX7 sobre Inteligência Artificial para empresas: como implantar IA, agentes, automação e LGPD, com fontes oficiais e linguagem clara.