Contrato de implementação de IA: oito cláusulas ausentes no padrão de TI

Guia prático, redigido da perspetiva do fornecedor. Descreve soluções típicas, sem analisar casos individuais. Nas reuniões de pré-implementação em empresas de 50–250 pessoas surge regularmente a mesma tese: para implementar IA basta um contrato de implementação de TI padrão com uma adenda ao RGPD. Parece razoável. O contrato de TI padrão regula prazos, aceitação, penalizações, titularidade do código e subcontratação de dados. Sendo um chatbot ou a automatização documental apenas "mais um sistema", para quê criar novas cláusulas. Além disso, o próprio AI Act não impõe uma minuta contratual específica para sistemas de baixo risco.

O argumento mais forte da outra parte

O argumento tem fundamento. O contrato de TI habitual inclui normalmente um calendário de aceitação, penalizações contratuais, cessão de direitos de autor sobre o código, procedimento de reporte de erros e um acordo de subcontratação nos termos do artigo 28.º do RGPD. Numa implementação de ERP ou de comércio eletrónico, isso costumava bastar. Os fornecedores de sistemas de IA oferecem modelos com cláusulas gerais de segurança e proibição de treino com dados do cliente. As coimas do RGPD atingem 4% do volume de negócios anual, pelo que a adenda de subcontratação é vista como proteção suficiente. As coimas do AI Act, até 15 000 000 EUR ou 3% do volume de negócios global, incidem sobretudo em fornecedores de sistemas de alto risco, não em empresas que implementam um chatbot para apoio a encomendas.

AIImagem gerada por IA.

O que este argumento não cobre

O contrato de TI padrão não resolve quatro fatores críticos para o risco na IA. Primeiro, prompts e configuração: a qualificação como obra ao abrigo da lei dos direitos de autor depende do seu caráter criativo, mas a minuta raramente define a quem pertencem os direitos patrimoniais. No final do contrato, o fornecedor pode usar a mesma camada de prompts num concorrente. Segundo, controlo de versões do modelo: a OpenAI e a Anthropic descontinuam modelos com poucas semanas ou meses de aviso prévio, como detalhado na documentação de depreciação, e o contrato padrão não dá ao cliente o direito de bloquear a atualização automática antes dos testes de aceitação. Terceiro, exportação de dados: registos de conversação e embeddings vetoriais não são tabelas SQL comuns, tornando a cláusula "o fornecedor devolverá os dados" inoperante. Quarto, alucinações: a responsabilidade por "resultados erróneos" exige limiares métricos, caso contrário cada resposta incorreta gera um litígio. Acresce a distinção de papéis no AI Act: fornecedor do sistema de IA e utilizador profissional têm deveres distintos que os contratos de TI omitem; a partir de 2.08.2026, os chatbots passam a ter de informar a interação com IA e rotular o conteúdo gerado.

A nossa posição

Na nossa prática, um contrato de implementação de IA em produção inclui oito cláusulas ausentes num contrato de TI standard: direitos sobre prompts e configurações (cessão de direitos patrimoniais de autor ou licença irrevogável e perpétua com direito a modificação e sublicenciamento), pré-aviso de 60 dias para descontinuação de modelos e proibição de atualizações automáticas sem testes de aceitação, exportação de dados em 30 dias em formato JSON/CSV/JSONL, eliminação de cópias de segurança em 60 dias, limiar de alucinação ≤5% no conjunto de teste, limite de responsabilidade do fornecedor fixado em 12 meses de avenças, depósito de prompts e código em custódia notarial ou escrow, e assistência pós-saída durante 3 meses ao preço standard. No nosso caso, ao implementar um assistente de e-mail numa amostra de 500 mensagens, recebemos primeiro a ficha técnica do modelo com métricas, e os testes de aceitação nessa amostra definiram a versão final. Sem estas cláusulas, o cliente fica com um sistema funcional, mas sem estratégia de saída e sem limite de responsabilidade sobre as respostas geradas.

AIImagem gerada por IA.

O que fazer neste trimestre

Neste trimestre, antes de assinar, convém verificar se o fornecedor aceita negociar a exportação de dados em 30 dias e o teste de alucinação ≤5%. A recusa em ambos não inviabiliza o projeto, mas esclarece que riscos recaem sobre o cliente. Só mudaríamos de posição numa condição: se o fornecedor disponibilizasse uma instância local de um modelo open-source com ficha técnica auditada e acesso total aos pesos, tornando irrelevantes as cláusulas sobre a descontinuação de API externas. Até lá, tratamos o contrato de implementação de IA como um documento autónomo, não como uma adenda ao modelo de TI.