Contratos de serviço para Agentes de IA: como elaborar, cuidados e cláusulas essenciais

Escrito por Maria Andrade, advogada especialista em proteção de dados para empresas de tecnologia e fintechs na NDM Advogados.

Desde 2014 oferecemos assessoria jurídica e contábil completa para empresas tech crescerem com segurança e poderem focar no que importa.

Atualizado em 18/03/2026

O mercado de tecnologia atravessa sua maior transformação desde a invenção da internet comercial. O uso de Agentes de IA ou IA generativa durante a prestação de serviços, seja como automação, seja para apoio estratégico e produtividade, ou a sua inclusão como ferramenta ou funcionalidade em aplicativos e plataformas está cada vez mais comum.

No entanto, muitos empresários cometem o erro de prestar serviços com Agentes de IA, porém usando as mesmas minutas de contratos padrão de SaaS (Software as a Service), sem refletir os fluxos específicos da IA Generativa.

A transição do software determinístico (previsível e baseado em regras fixas) para o estocástico (probabilístico e estatístico) exige mudanças estratégicas nos contratos para a proteção da empresa e seus operadores. Nesse artigo, vamos te passar um roteiro estratégico de como elaborar contratos para serviços prestados com Agentes de IA ou IA Generativa, protegendo sua propriedade intelectual (PI), dados, privacidade e reputação.

1. Esclarecendo termos

Para começarmos a nossa conversa, precisamos esclarecer alguns termos:

• Software Determinístico: Sistemas baseados em regras fixas onde a mesma entrada sempre gera a mesma saída.
• Software Estocástico (IA): Sistemas probabilísticos onde o resultado é baseado em estatística, podendo variar mesmo com entradas idênticas.
• Alucinação de IA: Fenômeno onde o modelo gera informações factualmente incorretas ou sem sentido, apesar de gramaticalmente corretas.

Agentes de IA (Papéis Regulatórios) vs. Agente de AI (Tecnologia)

Conforme as diretrizes da ANBIMA e o cenário regulatório brasileiro, os Agentes de IA referem-se aos papéis de responsabilidade:

• Desenvolvedor: Quem cria ou customiza o sistema (ex: OpenAI, Microsoft ou sua equipe interna).
• Distribuidor: Quem disponibiliza ou licencia a solução no mercado.
• Aplicador: A sua empresa, que contrata e utiliza a IA para finalidades específicas.

Em contrapartida, Agentic AI é a tecnologia capaz de automatizar tarefas complexas de forma autônoma.

2. Decisões automatizadas x Decisões humanas

Todo contrato robusto deve prever as etapas do serviço que podem ser executadas por IA. Isso significa definir claramente o que é executado por um humano, por um motor de regras fixas ou pela IA. Essa distinção é a base da auditabilidade exigida por reguladores.

As IA utilizadas na prestação de serviços ou na plataforma, seus processos de decisão, critérios e procedimentos utilizados para a decisão automatizada devem ser rastreáveis, pois todo titular possui o direito, previsto no art. 20 da LGPD, de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses.

3. Propriedade Intelectual (PI): Quem é o dono de quê?

A PI em IA deve ser decomposta em três camadas para garantir a segurança dos ativos:

1. Modelo e Algoritmo (Back-end): Diferencie a engine base (LLM) da customização profunda (fine-tuning). Se a sua empresa paga por uma customização e processos internos exclusivos, o contrato deve garantir que esse “saber” não retorne ao fornecedor para beneficiar concorrentes.
2. Dados de Treinamento e Feedback (RLHF): O RLHF (Aprendizado por Reforço com Feedback Humano) utiliza o know-how da sua equipe. Exija o isolamento de dados para garantir que o aprendizado gerado com seus dados não influencie o output de outros clientes.
3. Output (Resultado Final): Visto que a legislação brasileira não reconhece máquinas como autoras, o contrato é a única ferramenta para garantir a Cessão de Direitos Patrimoniais do prestador para o cliente sobre relatórios, códigos ou artes geradas.

4. Alocação de responsabilidade: A proteção legal contra a “Alucinação”

Diferente de um erro de código comum, a IA pode “alucinar” (gerar fatos falsos) operando tecnicamente de forma correta.

A importancia da revisão humana

A revisão humana não é apenas uma medida de segurança, mas um escudo legal. Ele deve estar atrelado à Trilha de Auditoria. Isso permite rastrear como e por que uma decisão foi tomada, fornecendo a prova necessária para auditores e órgãos reguladores.

Cláusulas Indispensáveis:

• Exclusão de responsabilidade por alucinações: Desde que o modelo siga os padrões técnicos vigentes.
• Garantia contra vieses (bias): Obrigação do fornecedor de mitigar preconceitos algorítmicos no treinamento.
• Indenidade específica: Proteção contra violação de direitos autorais de terceiros no treinamento do modelo base.

5. Privacidade e LGPD: Como garantir a proteção de dados na IA

Privacy by design

Para empresas que constroem soluções de inteligência artificial, o Privacy by Design é o alicerce técnico-jurídico do produto. Isso significa que a privacidade precisa ser tratada como requisito de arquitetura, e não como “ajuste final” antes do lançamento.

Na prática, aplicar Privacy by Design ao desenvolvimento de IA envolve:

• testar alternativas para reduzir exposição do titular, como dados anonimizados ou modelos federados.
• integrar o Jurídico especializado em proteção de dados nas primeiras decisões de arquitetura;
• documentar a base de dados da IA, sua coleta e fluxos antes mesmo de iniciar o treinamento;
• avaliar impacto de privacidade a cada etapa do ciclo de vida da IA;

Como garantir a proteção de dados da sua IA de forma contínua?

a) Transparência técnica (explicabilidade do modelo)

A empresa deve ser capaz de explicar:

• quais dados influenciam a tomada de decisão;
• qual é a lógica geral do modelo;
• quais parâmetros são usados para classificar, recomendar ou prever;
• como contestar decisões automatizadas.

Isso não exige divulgar segredos industriais, mas exige sim documentação clara, verificável e acessível.

b) Transparência pública (Aviso de Privacidade da IA)

Para produtos de IA, o Aviso de Privacidade se torna peça central da comunicação com titulares e com o mercado.
Ele deve informar, de forma simples e completa:

• Quem é o responsável pelo tratamento dos dados pessoais.
• Como é feita a segurança dos dados.
• Quais dados são necessários para começar a usar a IA.
• Para quais finalidades esses dados são usados.
• Com quem os dados são compartilhados (incluindo APIs e provedores externos).
• Se registros de acesso serão coletados.
• Se dados pessoais podem ser coletados indiretamente (como cookies).
• Se os registros de comunicação serão armazenados.
• Quais são os direitos do titular e como ele pode exercê-los.
• Como funciona o cancelamento dos serviços e exclusão de dados.
• Como são feitas alterações no Aviso de Privacidade.
• Quais são os canais de comunicação e contato.

Esse documento aumenta a confiança do usuário, reduz riscos regulatórios e demonstra maturidade tecnológica, algo especialmente valorizado por investidores e clientes corporativos.

6. Métricas de desempenho do Agente de IA

Para agentes autônomos, o “Uptime” é insuficiente. Utilize métricas de qualidade e confiabilidade:

7. Infraestrutura e cadeia de provedores

A infraestrutura de IA envolve uma Cadeia de Provedores de Três Níveis:

1. Provedor de Infraestrutura (Cloud): Azure, AWS, Google Cloud.
2. Provedor de Modelo: OpenAI, Anthropic, Google Vertex.
3. Provedor de Plataforma: A empresa que orquestra o agente.

O contrato deve clarificar se os endpoints dos modelos estão no “Tenant do Cliente” (controle total e gestão direta de fornecedores) ou no “Tenant do Fornecedor” (risco de sub-processador e menor controle).

Checklist de governança para fornecedores

Utilize este checklist para avaliar a maturidade do seu fornecedor antes da assinatura:

• [ ] Políticas de Log: O registro (logging) de corpos de requisição/resposta está desativado em produção?
• [ ] Exclusão em Logs: Rastreamentos de pilha (stack traces) e logs de erro estão configurados para excluir conteúdo de prompts?
• [ ] Trilha de Auditoria: O fornecedor oferece uma Audit Trail detalhada para as decisões tomadas pelo agente?
• [ ] Separação de Ambientes: Ambientes de Dev e Staging utilizam exclusivamente dados sintéticos ou anonimizados?
• [ ] Treinamento Global: Existe proibição explícita do uso de dados do cliente para treinamento do modelo global do fornecedor?
• [ ] Portabilidade de Pesos: O contrato prevê o apagamento ou devolução de weights (pesos) resultantes de ajustes finos feitos com seus dados?
• [ ] Cadeia de Sub-operadores: Estão identificados todos os níveis (Infra, Modelo e Plataforma)?
• [ ] HITL e Decision Layer: O contrato ancora a supervisão humana vinculada à rastreabilidade técnica?

8. Conclusão

Na era da Inteligência Artificial, a segurança jurídica deve ser encarada como um facilitador de negócios que garante a escalabilidade e a confiança de parceiros e reguladores.

A blindagem da sua empresa exige uma defesa híbrida: a fusão do conhecimento sobre orquestração de redes neurais com a precisão estratégica do Direito Digital. Não permita que a inovação tecnológica ultrapasse sua segurança institucional.

9. FAQ (Perguntas frequentes sobre contratos para Agentes de IA)

1. Quem é o dono do conteúdo gerado por uma IA (Output)? No Brasil, a Lei de Direitos Autorais protege apenas criações humanas. Por isso, é vital que o contrato preveja a Cessão de Direitos Patrimoniais do prestador para o cliente, garantindo que a empresa possa usar e comercializar o resultado legalmente.

2. A empresa pode ser processada por uma “alucinação” da IA? Sim, especialmente se a decisão automatizada afetar direitos do consumidor ou dados pessoais. A melhor defesa é a Revisão Humana (Human-in-the-loop) e cláusulas contratuais que limitem a responsabilidade do desenvolvedor caso os padrões técnicos de mercado tenham sido seguidos.

3. O que é o direito à revisão de decisões automatizadas (Art. 20 LGPD)? É o direito do cidadão de pedir que um humano revise uma decisão tomada exclusivamente por algoritmos (como a negação de um crédito ou uma nota de prova). O contrato de prestação de serviços deve prever quem será o responsável por essa revisão.

4. Posso usar dados de clientes para treinar meu modelo de IA? Apenas se houver transparência e base legal (como o legítimo interesse ou consentimento). O ideal é utilizar dados anonimizados ou sintéticos para treinamento, evitando riscos de vazamento de dados pessoais sensíveis.