A Governança de Inteligência Artificial está deixando de ser apenas uma discussão sobre políticas internas, ética ou uso consciente de ferramentas pelos colaboradores. Ela começa a chegar também aos contratos de tecnologia e à relação entre clientes e fornecedores.

Um exemplo importante desse movimento é a Portaria SGD/MGI nº 5.921, de 22 de julho de 2026, que entrou em vigor em 1º de setembro de 2026 e atualizou o modelo federal de contratação de serviços de operação de infraestrutura e atendimento a usuários de TIC. A regra alcança os órgãos e entidades integrantes do Sistema de Administração dos Recursos de Tecnologia da Informação (SISP).

Segundo o próprio Ministério da Gestão e da Inovação em Serviços Públicos, o SISP reúne aproximadamente 250 órgãos públicos. Entre as mudanças, a nova Portaria introduziu orientações específicas para o uso de ferramentas de IA pelas empresas contratadas para operar e sustentar ambientes tecnológicos.

O que muda para o uso de IA por fornecedores de TI?

A mudança mais interessante está no princípio estabelecido para o uso de Inteligência Artificial durante a execução do contrato.

De acordo com a comunicação oficial da Secretaria de Governo Digital, as regras para uso desses recursos devem estar expressamente previstas no Termo de Referência ou em uma política de Governança de IA do órgão indicada no edital.

Na prática, isso muda uma premissa importante: utilizar IA durante a prestação de um serviço tecnológico deixa de ser apenas uma decisão operacional do fornecedor.

A organização contratante pode estabelecer como, quando e em quais condições essas ferramentas podem ser utilizadas.

Governança de IA começa a chegar à cadeia de fornecedores

Esse talvez seja o aprendizado mais relevante da nova regra para empresas privadas.

Grande parte das discussões atuais sobre Governança de IA concentra-se nos colaboradores: quais ferramentas podem usar, quais dados podem inserir em um prompt, como evitar Shadow AI e como proteger informações pessoais ou confidenciais.

Mas as organizações dependem também de terceiros: software houses, provedores de outsourcing, MSPs, consultorias, fornecedores de cloud, equipes de sustentação, empresas de suporte e inúmeros serviços SaaS. Esses fornecedores também utilizam (ou podem utilizar) Inteligência Artificial.

Um desenvolvedor terceirizado pode utilizar uma ferramenta de geração de código. Um analista de suporte pode enviar logs para uma IA generativa. Um fornecedor pode empregar agentes para automatizar análise de incidentes ou manutenção da infraestrutura.

A questão deixa então de ser somente “como nossos funcionários utilizam IA?” e passa a incluir “como nossos fornecedores utilizam IA quando processam nossos dados, acessam nossos sistemas ou desenvolvem nossos produtos?”.

Vendor Assessment também precisa considerar Inteligência Artificial

Esse cenário reforça a necessidade de incorporar IA aos processos de due diligence e avaliação de fornecedores.

Uma empresa pode começar a perguntar aos seus terceiros quais ferramentas de IA são utilizadas, quais dados podem ser processados, se informações são utilizadas para treinamento de modelos, quais controles de acesso existem, se há revisão humana e como incidentes relacionados à IA são tratados.

Esse tipo de avaliação se conecta diretamente aos processos já utilizados em segurança da informação, LGPD e gestão de terceiros.

Na Macher Tecnologia, temos abordado essa lógica também dentro de modelos contínuos de PrivacyOps, nos quais novos fornecedores, sistemas, aplicações e mudanças relevantes são avaliados como parte da operação cotidiana de privacidade.

O impacto para outsourcing, MSPs e software houses

Para fornecedores de tecnologia, o movimento também merece atenção.

Empresas de tecnologia que prestam serviços ao Governo provavelmente precisarão aumentar a transparência sobre a forma como suas equipes utilizam Inteligência Artificial.

Isso pode envolver o desenvolvimento de políticas internas, ter um inventário completo de ferramentas chanceladas, oferecer treinamento aos colaboradores, manter controles técnicos e evidências de que práticas de segurança continuam sendo aplicadas mesmo quando IA é utilizada para acelerar tarefas.

No desenvolvimento de software, por exemplo, ferramentas de geração de código não eliminam a necessidade de revisão, testes de segurança ou processos que garantam o “Privacy by Design“. A Macher Tecnologia discute esse risco em seu conteúdo sobre LGPD, cibersegurança e Vibe Coding.

Por que essa tendência provavelmente chegará às empresas privadas?

A Portaria se aplica ao ambiente federal do SISP, mas sua lógica é relevante muito além do setor público.

Empresas do segmento enterprise já realizam avaliações de segurança, privacidade, continuidade, SOC 2, ISO 27001 e risco de terceiros antes de contratar fornecedores relevantes.

É razoável esperar que perguntas sobre uso de Inteligência Artificial sejam progressivamente incorporadas a questionários, processos de procurement e cláusulas contratuais.

Isso ocorre porque o risco não muda de proprietário quando uma atividade é terceirizada. Se um fornecedor utiliza IA de maneira inadequada ao prestar um serviço, o contratante pode continuar exposto a riscos de privacidade, propriedade intelectual, segurança e reputação.

Governança de IA precisa conectar negócio, tecnologia, segurança e privacidade

Uma política isolada dificilmente resolve esse problema.

A organização precisa saber quais ferramentas existem, quais processos utilizam IA, quais terceiros participam desse ecossistema e quais riscos precisam ser tratados.

Isso exige uma abordagem multidisciplinar envolvendo áreas de negócio, Tecnologia, Segurança da Informação, Jurídico, Procurement e DPO.

Essa integração é especialmente relevante quando dados pessoais estão envolvidos. Serviços de DPO-as-a-Service podem ajudar a aproximar governança de privacidade, avaliação de fornecedores, gestão de riscos e projetos tecnológicos.

Como a Macher Tecnologia pode ajudar

Desde 2018, a Macher Tecnologia atua integrando tecnologia, privacidade, proteção de dados, cibersegurança e gestão.

Podemos apoiar empresas na criação e revisão de políticas de Governança de IA, inventário de ferramentas, avaliação de riscos, Vendor Security Assessment, LGPD, PrivacyOps, DevSecOps, desenvolvimento seguro e treinamento de colaboradores e times técnicos.

Também incorporamos estas avaliações a projetos de adequação à LGPD e nosso DPO-as-a-Service.

A Portaria SGD/MGI nº 5.921/2026 traz um sinal importante para o mercado: Governança de IA começa a deixar de ser apenas uma política interna e passa a fazer parte também da governança contratual.

Para fornecedores de tecnologia e para empresas que contratam serviços críticos de TI, preparar-se agora pode representar não apenas redução de riscos, mas também uma vantagem competitiva em futuras relações comerciais.

Sobre a Macher Tecnologia

A Macher Tecnologia é uma empresa especializada em soluções Digital, focada em privacidade e proteção de dados. No mercado desde 2018, suporta clientes de diferentes indústrias em suas jornadas de conformidade, de forma multidisciplinar e hands-on.

Com uma abordagem inovadora, a Macher Tecnologia auxilia empresas na implementação de estratégias eficazes de conformidade com LGPD e GDPR, fornecendo consultoria, treinamento e ferramentas tecnológicas para gestão de riscos e proteção de dados corporativos.

Entre em contato e saiba como podemos ajudar sua organização hoje mesmo!