O vazamento não foi na sua empresa — foi no seu fornecedor de IA. E agora?

O incidente muda de lado, a responsabilidade não

Nesta semana o setor discutiu um incidente de segurança envolvendo uma das maiores empresas de IA do mundo. O CEO da Hugging Face reagiu pedindo o que ele chamou de "radical transparency" no tratamento desses casos (TechCrunch, 26/07/2026).

Para quem dirige uma empresa de médio porte no Brasil, a manchete parece distante. Ela não é. A pergunta prática é curta: se o incidente acontece dentro do seu fornecedor de IA, quem explica isso para o seu cliente?

A resposta jurídica é desconfortável. Perante o titular do dado e perante a LGPD, quem coletou o dado continua respondendo por ele. O fornecedor é operador; a sua empresa segue sendo controladora. Terceirizar o processamento nunca terceirizou a responsabilidade — e é exatamente aí que a maioria dos contratos de IA assinados no Brasil está muda.

O problema não é o incidente. É a assimetria de informação

Todo sistema vai falhar em algum momento. O que separa uma empresa preparada de uma empresa exposta não é a ausência de incidente: é o tempo entre o incidente e a sua capacidade de agir.

Sem cláusula de notificação, você descobre pelo noticiário. Descobrindo pelo noticiário, você não sabe se os seus dados estavam no escopo, não sabe quais, não sabe desde quando — e ainda assim precisa responder ao seu cliente hoje. Esse intervalo de silêncio é o dano real, muito antes de qualquer multa.

E há um agravante silencioso: boa parte das empresas conectou IA a dados sensíveis por caminhos que ninguém documentou. Uma extensão aqui, um login pessoal ali, uma planilha exportada para um chat. Não existe cláusula de notificação para um acesso que a própria empresa não sabe que existe.

O que exigir antes de conectar qualquer IA aos seus dados

Este é o checklist que usamos ao desenhar a governança de um projeto. Ele não é jurídico-decorativo: cada item existe porque resolve uma pergunta que você vai ter que responder sob pressão.

1. Prazo de notificação em horas, não em "prazo razoável". Defina o número. Sem número, não há obrigação.
2. Escopo de dados por escrito. Quais campos, de quais bases, saem da sua infraestrutura. Se ninguém consegue listar, o projeto ainda não está pronto para produção.
3. Não-treinamento explícito. Seus dados não alimentam o treino de modelos de terceiros — e isso está no contrato, não só na página de marketing.
4. Sub-operadores declarados. O seu fornecedor usa qual nuvem, em qual região, com quais subcontratados? Cadeia não declarada é risco não gerenciado.
5. Direito de auditoria e evidência. Relatório de incidente, logs de acesso e prazo de retenção definidos.
6. Plano de saída. Como você recupera e apaga os dados se encerrar o contrato amanhã. Sem porta de saída, não é fornecedor: é dependência.
7. Alternativa técnica pronta. Se aquele modelo específico ficar indisponível ou perder a sua confiança, existe caminho para outro? Ser model-agnostic começa como decisão de arquitetura e termina como cláusula.

Onde isso entra no método

Na metodologia Growth Tech, isso não é um anexo do fim do projeto. Governança, guardrails e tratamento de dados entram na Fase 2 — Arquitetura e Prova de Valor — junto com o piloto. Antes de o sistema tocar produção, já está definido o que sai da empresa, para onde vai, quem é notificado e em quanto tempo.

Não é burocracia por gosto. É porque a Camada 3 do ambiente organizacional (Sistemas e Dados) só é gerenciável quando alguém desenhou o mapa: onde o dado nasce, por onde passa, onde para. Empresa que não tem esse mapa não consegue avaliar um incidente de fornecedor — ela só consegue torcer.

Vale lembrar um dado real do mercado brasileiro: 74% das empresas que priorizam IA não têm gestão de risco estruturada (Época Negócios, Moraes, 2026). A pressa em conectar tem andado bem mais rápido que o cuidado em delimitar.

IA não conserta caos — IA escala caos. E contrato mal-feito é caos com assinatura reconhecida.

Se a sua operação já conectou IA a dados de clientes sem essas respostas por escrito, fale com a AI Start no WhatsApp e veja em 15 minutos onde estão as brechas.