- IA ajuda a ler rápido e padronizar a análise; você ainda valida pontos sensíveis
- Use um checklist único e force a IA a apontar “onde está” cada evidência no documento
- Separe o que é público do que é dado pessoal/sigiloso; trate LGPD desde o início
- Saída ideal: resumo executivo + matriz de risco + pendências para o fornecedor responder
1) Defina o escopo (o que você quer provar)
Antes de abrir o ChatGPT/Gemini/Claude, escreva em uma página o objetivo: homologação inicial? renovação? fornecedor crítico? O escopo define quais documentos pedir e quais riscos são inaceitáveis (ex.: ausência de DPA/contrato de operador, falta de plano de continuidade, subcontratação sem controle).
2) Monte o pacote mínimo de evidências
Peça só o necessário para decidir. Em geral: contrato/termos, política de privacidade (se aplicável), medidas de segurança (relatório resumido), arquitetura/integrações relevantes, SLA, plano de continuidade/backup (se existir), lista de suboperadores/subcontratados (quando houver), e respostas a um questionário curto. Se o fornecedor se recusar a entregar algo, registre como risco e trate como pendência.
3) Classifique dados e aplique “higiene LGPD” antes de usar IA
Separe materiais públicos (site, termos públicos) de materiais restritos (contratos, planilhas, tickets, dados pessoais). Remova CPF, e-mails pessoais, telefones, nomes desnecessários e qualquer dado sensível. Quando precisar manter referência, use placeholders (CLIENTE_A, FUNCIONARIO_1). Se a política interna exigir, use ferramentas com controles corporativos — e nunca envie base de clientes para “resumir”.
4) Padronize a análise com um prompt de checklist (com evidência)
Use um prompt que obrigue a IA a: (a) listar achados, (b) citar trechos, (c) marcar lacunas, (d) sugerir perguntas ao fornecedor. Trabalhe por documento (um de cada vez) para reduzir confusão. Se possível, cole trechos relevantes em vez do contrato inteiro, e indique a seção.
5) Gere uma matriz de risco acionável (não um texto bonito)
Transforme a leitura em uma tabela: risco, evidência, impacto, probabilidade, criticidade, mitigação, responsável e prazo. O objetivo é permitir decisão (aprovar, aprovar com ressalvas, reprovar) e abrir um plano de ação com pendências objetivas.
6) Faça “sanity check” humano e registre trilha de auditoria
Revise os itens de maior criticidade diretamente no documento original. Guarde: versão do documento, data, prompt usado, resposta da IA e decisão humana. Isso evita que um erro de interpretação vire um problema contratual depois.
O que a IA faz bem (e o que ela não deveria fazer) na due diligence
Ela faz bem: resumir documentos, comparar cláusulas com um padrão interno, extrair pontos de atenção (prazo, multa, subcontratação, foro), transformar respostas longas em itens de checklist, e montar perguntas de follow-up.
Ela não deveria fazer sozinha: afirmar conformidade (“está 100% LGPD”), concluir que um controle existe sem evidência, ou decidir pela aprovação. Modelos podem interpretar errado uma cláusula, especialmente quando o texto é ambíguo ou quando você envia trechos incompletos.
- Use IA como analista junior rápido: ela rascunha; você assina
- Peça sempre: achado + evidência + incerteza + próximo passo
- Quando faltar documento, trate como risco, não como “não aplicável”
Checklist enxuto de riscos para mapear (com perguntas típicas)
A seguir está um conjunto prático de categorias que costumam aparecer na homologação de fornecedores. Ajuste para seu setor (saúde, financeiro, educação, etc.). O valor aqui é padronizar: cada fornecedor passa pelo mesmo funil.
| Categoria | O que verificar | Pergunta que destrava |
|---|---|---|
| LGPD e dados | Papel (controlador/operador), base legal e tratamento, suboperadores, retenção | Vocês atuam como operador? Quais suboperadores acessam dados e como comunicam mudanças? |
| Segurança | Criptografia, controle de acesso, logs, resposta a incidente | Existe processo de resposta a incidente com prazos e responsáveis? Como é notificado o cliente? |
| Disponibilidade e continuidade | SLA, backups, RTO/RPO (se houver), testes de contingência | Qual o SLA real e onde ele está documentado? Vocês testam restore de backup com que frequência? |
| Contrato e responsabilidade | Limites de responsabilidade, multas, rescisão, foro, subcontratação | Há cláusula permitindo subcontratação sem aviso? Qual o gatilho de rescisão por falha crítica? |
| Compliance e ética | Anticorrupção, conflitos, canal de denúncias | Existe política anticorrupção aplicável a terceiros e treinamento mínimo? |
| Financeiro e operacional | Dependência de terceiros, maturidade do suporte, prazos de entrega | Qual o tempo médio de resposta do suporte e o canal oficial para chamados críticos? |
Prompt pronto (anti-alucinação) para analisar um contrato de fornecedor
Cole abaixo o trecho do contrato (ou uma seção por vez). Se o contrato for grande, comece por: objeto, confidencialidade, proteção de dados, subcontratação, SLA, rescisão e responsabilidade.
Prompt:
- Você é um analista de due diligence de fornecedores. Vou colar TRECHOS de um contrato. Sua tarefa é extrair riscos e pendências SEM inventar nada.
- Regras: (1) Só conclua algo se houver evidência no trecho; (2) Para cada achado, cite o trecho (entre aspas) e a seção; (3) Se faltar informação, marque como “NÃO ENCONTRADO NO TRECHO” e proponha uma pergunta objetiva ao fornecedor; (4) Separe LGPD, segurança, SLA/continuidade, responsabilidade/rescisão e subcontratação.
- Saída em tabela com colunas: Categoria | Achado | Evidência (citação) | Severidade (Baixa/Média/Alta) | Pendência/Pergunta | Recomendação.
Como reduzir risco de vazamento ao usar IA nessa rotina
Due diligence lida com contratos, dados de contato e, às vezes, detalhes operacionais. Mesmo quando você usa ferramentas populares, a regra prática é: envie o mínimo necessário para a tarefa e evite dados pessoais identificáveis.
Se você precisa analisar um contrato inteiro, prefira recortar as cláusulas relevantes. Se precisa comparar versões, compare apenas as seções que mudaram. E quando surgir dúvida, volte ao documento original: não tente “forçar” a IA a decidir.
- Anonimize: nomes, e-mails pessoais, telefones, CPFs — substitua por placeholders
- Trabalhe por partes: cláusula por cláusula reduz interpretações erradas
- Exija evidência: citação literal + seção
- Registre versões: documento, data, prompt e resultado para auditoria interna
Perguntas frequentes
Posso fazer due diligence só com informações públicas e IA?
A IA consegue dizer se um fornecedor está “em conformidade com a LGPD”?
Qual é o maior erro ao usar IA para revisar contratos de fornecedores?
Como lidar quando o fornecedor não envia documentos de segurança?
Leia também
Como anonimizar dados para usar IA no negócio (sem tropeçar na LGPD)
Passo a passo para anonimizar e pseudonimizar dados antes de enviar para IA: o que remover, como mascarar, checklist de risco e exemplos práticos para usar no dia a dia com mais segurança.
Ler →
Como usar IA para revisar contratos sem vazar dados (checklist prático)
Aprenda um fluxo seguro para usar IA na revisão de contratos: o que pode ir para o modelo, como anonimizar, prompts prontos, checklist e limites. Foco em reduzir risco de vazamento e alucinação sem travar o trabalho.
Ler →
RAG vs Fine-tuning: quando usar cada um no negócio (sem jogar dinheiro fora)
Entenda a diferença entre RAG e fine-tuning, o que resolve melhor para dados internos, atendimento e textos da marca. Veja critérios práticos, riscos e um quadro de decisão.
Ler →
Como criar prompt com fontes e citações (de verdade) para reduzir alucinação na IA
Guia prático para pedir respostas com fontes verificáveis, citações rastreáveis e limitações claras. Inclui modelo de prompt, passos e checklist para evitar alucinação em ChatGPT e outras IAs.
Ler →