Aula 6 · 25 min
Toda vez que alguém cola uma conversa de cliente numa IA, um dado pessoal viaja: sai da empresa, passa por um fornecedor, às vezes cruza a fronteira e às vezes vira material de treino. Nesta aula você segue o caminho do dado, confere a base legal e o contrato e preenche a ficha do fornecedor, inclusive de modelos abertos.
Começar a aula
Objetivo: mapear para onde vai o dado pessoal, conferir base legal, contrato e transferência internacional e preencher a ficha de cada fornecedor de IA.
Cinco paradas. Em cada uma há uma pergunta. Clique para ver.
Você aponta o risco com evidência. Dizer se o uso é ilegal é parecer jurídico: fica com o advogado da empresa.
O tipo de modelo muda as perguntas da ficha.
Modelo de empresa (por API ou app): o dado sai da empresa a cada uso. As perguntas centrais são contrato, país, retenção e uso para treino.
Plano empresarial costuma ter termo de dados; plano gratuito em conta pessoal, quase nunca.
F10: o resumo de atendimento manda conversas a um servidor fora do Brasil, sem contrato, com termos que permitem treinar com os dados.
Modelo de pesos abertos rodando num computador da empresa: o dado não sai. Em 2026 já há modelos abertos que rodam num notebook bem equipado.
As perguntas mudam: qual a licença, de onde veio o arquivo do modelo e quem mantém a máquina atualizada.
Qwen3.8-27B (Alibaba): pesos publicados sob licença Apache 2.0; versão comprimida de cerca de 17 GB (TNW, 19/08/2026).
Categorias para a ficha: permissiva (MIT, Apache 2.0), licença própria com restrições, limite por receita ou número de usuários, só pesquisa ou não comercial.
Não suponha: abra o arquivo de licença do modelo e anote a categoria e o trecho que importa.
Licença: Apache 2.0 (arquivo LICENSE no repositório oficial, conferido em ).
Baixe só do repositório oficial do fabricante e anote versão e data. Arquivo de origem desconhecida pode estar alterado.
Registre também o contexto: em 08/09/2026, NSA, CISA e FBI acusaram empresas chinesas de IA de "destilação em escala" de modelos americanos. É risco de reputação e de regra futura a anotar, não proibição.
Procedência: repositório oficial; alerta AA26-251A citado como risco regulatório a acompanhar.
Uma ficha por fornecedor ou modelo. O mapa do dado vai junto, uma linha por fluxo.
FICHA DE FORNECEDOR DE IA · <data> · avaliador: <nome>
1. IDENTIFICAÇÃO
Fornecedor / modelo: <nome e versão>
Tipo: [ ] fechado por API/app [ ] aberto rodando local [ ] aberto hospedado por terceiro
Usado em: <itens do inventário> Dono interno: <pessoa>
Plano: [ ] gratuito [ ] pago pessoal [ ] empresarial
2. DADOS
Que dados recebe: <...> Pessoal? [ ] sim [ ] não Sensível? [ ] sim [ ] não
Minimização: os dados são anonimizados/reduzidos antes de enviar? <...>
Base legal indicada pela empresa (art. 7º / 11): <...> (a confirmar pelo jurídico)
3. PARA ONDE VAI
País do processamento/servidor: <...>
Transferência internacional? [ ] sim [ ] não Instrumento (arts. 33-36, Res. ANPD 19/2024): <...>
4. CONTRATO
Contrato/termo de dados (DPA) assinado? [ ] sim [ ] não Evidência: <...>
Usa os dados para treinar? [ ] não [ ] sim [ ] não diz
Retenção: <prazo> Como apagar: <...>
Subprocessadores listados? [ ] sim [ ] não
5. MODELO ABERTO (se for o caso)
Licença: [ ] permissiva (MIT/Apache) [ ] própria com restrições
[ ] limite por receita/usuários [ ] só pesquisa/não comercial
Trecho da licença que importa: <...>
Procedência: <repositório oficial, versão, data do download>
Quem atualiza a máquina/modelo: <pessoa>
6. RISCO DO FORNECEDOR
Dependência (dá para trocar?): <...>
Alertas públicos (regulatório, segurança, reputação) com fonte: <...>
Transparência sobre o modelo (documento de segurança/system card)? <link>
7. CONCLUSÃO DA TRIAGEM
Categoria/nota (aula 3): <...> Prazo: <...>
Recomendação: <manter / manter com condições / trocar / parar de usar>
Não verificado (com motivo): <...>fluxo;origem;dado;pessoal/sensível;destino (fornecedor);país;contrato?;treina com o dado?;retenção;base legal indicada;minimização;evidência;achado resumo de atendimento;conversas do WhatsApp;nome, telefone, texto da conversa;pessoal;<API do resumo>;fora do Brasil;não;sim (termos);<?>;não indicada;não;fluxo.json passo 2;F10 planilha de clientes;cadastro comercial;CPF, telefone;pessoal;planilhas na nuvem;<?>;<?>;—;—;<?>;não (CPF sem necessidade);compartilhamento.json;F8
Na empresa-laboratório. Falhas desta aula: F8 (planilha pública) e F10 (resumo por API estrangeira).
Abra a planilha de clientes (compartilhamento.json, clientes.csv) e o resumo de atendimento (fluxo.json). Preencha o mapa do dado para os dois fluxos.
Pronto quando: o mapa tem as duas linhas completas, F8 e F10 aparecem como achados com evidência e cada um tem uma correção sugerida (restringir e minimizar; contrato, anonimização e cláusulas de transferência).
Preencha a ficha para dois casos: (a) a API do resumo de atendimento do laboratório (fechado, fora do Brasil); (b) um modelo aberto chinês rodando local, como o Qwen3.8-27B. Leia a licença no repositório oficial do modelo.
Pronto quando: as duas fichas têm as 7 partes preenchidas (ou "não verificado" com motivo) e a ficha (b) cita a licença com o trecho e a data da leitura.
A explicação aparece depois da sua resposta.
Pergunta 1 de 4
O resumo de atendimento envia conversas de clientes a um servidor fora do Brasil, sem contrato. Como você escreve no relatório?competência
Pergunta 2 de 4
Um modelo aberto rodando num computador da empresa. Qual pergunta perde força e qual ganha?competência
Pergunta 3 de 4
A planilha com CPF e telefone está aberta a "qualquer pessoa com o link". Além de restringir o acesso, o que você sugere?
Pergunta 4 de 4
Você descobre que a planilha aberta já foi baixada por gente de fora. O que faz?
Escolha uma alternativa. A explicação aparece depois da sua tentativa.