- Não comece pelo preço: comece pelo dado que vai entrar na IA
- Peça por escrito: retenção, uso para treino, suboperadores e localização de processamento
- Teste com um mini-benchmark do seu trabalho (sem dados pessoais) antes de comprar
- Governança vence “prompt bom”: controles de acesso, logs e política interna
1) Escreva o caso de uso em uma frase (e o que NÃO pode acontecer)
Exemplos úteis: “resumir e-mails de suporte sem expor dados pessoais” ou “ajudar vendas a rascunhar propostas sem inventar condições comerciais”. Liste 3 riscos inaceitáveis (ex.: vazar CPF, criar informação falsa em contrato, armazenar dados por tempo indefinido). Isso vira critério de veto.
2) Classifique os dados que vão para a ferramenta
Separe em: (a) público, (b) interno não sensível, (c) dados pessoais, (d) dados pessoais sensíveis, (e) segredo de negócio/PI (propriedade intelectual). Se a rotina envolve (c) ou (d), você já precisa de controles e cláusulas mais duras. Se envolve (e), trate como risco competitivo além de LGPD.
3) Faça o “triângulo LGPD”: papéis, base legal e contrato
Defina se sua empresa é controladora e o fornecedor é operador (na maioria dos casos, sim). Pergunte se existe DPA (aditivo de proteção de dados) e quais suboperadores participam. Mapeie a base legal do tratamento para aquele fluxo e registre internamente (não é burocracia: é rastreabilidade quando der problema).
4) Perguntas que precisam de resposta objetiva do fornecedor
Use perguntas fechadas e peça resposta por e-mail/documento: (1) O conteúdo enviado pode ser usado para treinar modelos? (2) Qual a política de retenção (prazos, logs, backups)? (3) Onde os dados são processados/armazenados (pode envolver transferência internacional)? (4) Há criptografia em trânsito e em repouso? (5) Existe SSO/MFA e controle por função? (6) Há auditoria/logs exportáveis?
5) Rode um mini-benchmark (qualidade + alucinação) antes de assinar
Monte 15–30 tarefas reais do seu time (mas sem dados pessoais): e-mails típicos, trechos de contrato fictício, tickets de suporte anonimizados, perguntas frequentes. Avalie com uma rubrica simples: precisão, completude, tom PT-BR, tendência a inventar, e tempo de revisão humana. O objetivo não é “qual IA é mais inteligente”, e sim “qual dá menos retrabalho no seu processo”.
6) Cheque governança e operação do dia a dia
Quem cria espaços/projetos? Dá para separar times? Existe gestão de permissões, bloqueio de upload, mascaramento/anonimização, histórico com expiração? Uma IA ótima sem governança vira uso paralelo (shadow AI) e bagunça auditoria, compliance e padronização de resposta.
7) Compare custo do jeito certo (TCO), não só assinatura
Além do preço mensal: limites de uso, cobrança por assento, restrições de arquivos, custo de API (se existir), tempo economizado vs tempo revisando, necessidade de ferramenta extra (transcrição, RAG, base de conhecimento). Quando o fornecedor não for transparente, trate como risco e coloque margem de incerteza.
8) Defina política interna mínima antes do rollout
Dois parágrafos já ajudam: o que pode entrar (categorias de dado), o que é proibido, e como citar/validar informações quando a IA produzir texto “com cara de verdade”. Inclua um caminho de reporte de incidente (ex.: alguém colou dado sensível sem querer).
Checklist rápido (copiar e colar) para avaliação
Se você só tiver 20 minutos para filtrar fornecedores, foque nestes pontos. Eles eliminam a maior parte das ciladas sem virar uma auditoria completa.
- Dados: vou enviar dados pessoais ou segredos de negócio? (sim/não)
- Treinamento: o fornecedor usa meu conteúdo para treinar? (sim/não/depende do plano — exigir clareza)
- Retenção: existe prazo de retenção configurável e política de exclusão? (sim/não)
- Acesso: SSO/MFA e permissões por equipe? (sim/não)
- Logs: consigo auditar quem fez o quê? (sim/não)
- Qualidade: passou no mini-benchmark com menos retrabalho? (sim/não)
- Governança: há termos claros de suboperadores e tratamento de dados? (sim/não)
- Operação: suporte, SLA e canal de incidentes existem de verdade? (sim/não)
Perguntas que expõem respostas “nebulosas” (e por que isso importa)
Quando o fornecedor responde com marketing, normalmente é porque a regra muda por plano, região ou produto. E aí o risco cai no seu colo.
Use perguntas que forçam precisão e evitam a zona cinzenta.
| Pergunta direta | O que você quer ouvir | Sinal de alerta |
|---|---|---|
| “Meu conteúdo é usado para treinar modelos? Em quais condições?” | Resposta binária com exceções documentadas e opção de opt-out/contrato | “Seguimos as melhores práticas” sem dizer sim/não |
| “Qual o prazo de retenção de prompts/arquivos/logs? Posso configurar?” | Prazos claros + mecanismos de exclusão | Retenção indefinida ou não informada |
| “Quem são os suboperadores e onde processam dados?” | Lista atualizada + jurisdições + responsabilidade contratual | “Varia” sem transparência ou lista pública/contratual |
| “Tem SSO/MFA e controle granular por grupo?” | Controles por função, segregação de times e trilha de auditoria | Tudo compartilhado por conta única ou sem logs |
Como testar sem vazar dado: o benchmark “limpo” que funciona
Dá para medir qualidade sem mandar planilha real de cliente. O truque é usar material sintético, anonimizado ou já público — mas com a mesma estrutura do seu trabalho.
Três conjuntos de teste costumam revelar o essencial: (1) tarefas rotineiras, (2) casos-limite (ambíguos), (3) casos de alto risco (onde inventar é proibido).
- Rotina: 10 exemplos típicos (resumos, e-mails, textos curtos)
- Ambiguidade: 5 exemplos com informação incompleta (para ver se a IA “chuta”)
- Alto risco: 5 exemplos em que a resposta correta é “não sei / preciso de fonte”
O erro mais comum: comprar IA para resolver falta de processo
Se o time não tem padrão de resposta, não tem fonte “oficial” e não tem um jeito de revisar, a IA só acelera a bagunça. Ela entrega texto convincente — e isso é justamente o perigo.
Na Arena, a regra prática é: primeiro governança mínima e critérios de qualidade; depois você escolhe o modelo/ferramenta que encaixa.
Perguntas frequentes
Posso usar ferramenta de IA com dados pessoais de clientes sem problemas?
“Não usamos seus dados para treinar” resolve tudo?
Qual é o mínimo de segurança que eu deveria exigir?
Como comparar duas ferramentas se ambas parecem “boas” no demo?
Leia também
Política de uso de IA generativa na empresa (2026): modelo prático com foco em LGPD, segurança e qualidade
Guia direto para criar política interna de uso de IA generativa: o que permitir, o que proibir, como classificar dados, aprovar ferramentas, reduzir vazamentos e evitar alucinação. Com passos e checklist para times no Brasil, alinhado à LGPD.
Ler →
Como anonimizar dados antes de usar ChatGPT, Claude ou Gemini (2026): checklist sem vazar informação
Guia prático para anonimizar e minimizar dados antes de colar textos em ChatGPT, Claude ou Gemini. Checklist, exemplos do que remover, tabela de riscos e perguntas frequentes para evitar vazamentos e exposição de clientes, contratos e dados pessoais.
Ler →
Como saber se uma 'IA' é confiável ou golpe (checklist antes de pagar)
Checklist prático para separar ferramenta de IA legítima de golpe com fachada de “IA” e “renda”. Veja 6 sinais claros antes de pagar, com exemplos de red flags, como promessas de lucro e pedido de depósito.
Ler →
IA generalista ou especializada: quando vale pagar por uma IA de nicho
Guia de decisão: entenda quando uma IA generalista (ChatGPT/Claude/Gemini) basta e quando compensa pagar por IA especializada. A regra dos 3 muros: base de dados própria, conformidade e integração com sistema legado.
Ler →