Como escolher uma empresa de desenvolvimento na era da IA: guia para evitar riscos e contratar com segurança

A popularização da inteligência artificial tornou mais fácil criar demonstrações visualmente impressionantes, protótipos rápidos e apresentações persuasivas. Isso é positivo para acelerar a exploração de ideias, mas traz um desafio para empreendedores: uma boa demo não comprova capacidade de entregar um sistema seguro, estável, mantível e alinhado ao negócio.

Desenvolvimento de software envolve muito mais do que gerar telas, conectar uma API ou escrever prompts. Envolve arquitetura, segurança, qualidade, dados, integrações, testes, operação, manutenção e responsabilidade sobre o que será entregue. Em projetos com IA, há ainda riscos específicos de respostas incorretas apresentadas com confiança, uso inadequado de dados e falta de controle sobre decisões automatizadas.

Este guia mostra como avaliar empresas e profissionais de desenvolvimento com critérios práticos, mesmo que você não seja técnico.

Não contrate “IA”: contrate a solução para um problema mensurável

O primeiro erro de uma contratação é começar pela tecnologia. “Precisamos colocar IA no atendimento” parece uma direção, mas não define o problema, o resultado esperado nem os limites da solução.

Antes de falar com fornecedores, transforme a necessidade em um briefing objetivo. Isso reduz propostas vagas, evita escopos inflados e ajuda a comparar candidatos de forma justa.

Defina o problema antes da ferramenta

Registre, pelo menos, os seguintes pontos:

• Processo atual: qual atividade precisa melhorar?
• Impacto: onde há demora, retrabalho, erro, custo ou risco?
• Resultado esperado: como será possível identificar que o projeto funcionou?
• Dados envolvidos: haverá dados de clientes, colaboradores, contratos ou informações sensíveis?
• Limites: quais decisões não podem ser tomadas automaticamente?
• Responsável interno: quem validará regras de negócio, entregas e prioridades?

Compare estes dois pedidos:

• Pedido fraco: “Precisamos de uma IA para atender clientes.”
• Pedido melhor: “Queremos reduzir o tempo de triagem de solicitações de atendimento, com encaminhamento automático por categoria. A ferramenta não poderá responder de forma autônoma sobre preços, contratos, crédito, saúde ou questões jurídicas.”

No segundo caso, há um objetivo, um contexto operacional e limites de risco. Isso permite avaliar se IA é realmente necessária ou se automação convencional, integrações e melhoria de processo podem resolver parte relevante do problema.

Por que uma demo não é prova de competência técnica

Ferramentas de IA podem acelerar a criação de interfaces, fluxos e códigos iniciais. Porém, um protótipo funcional não responde perguntas fundamentais: o sistema suporta uso real? Os dados estão protegidos? O código poderá ser mantido? Há testes? Existe um plano para falhas? A empresa terá controle sobre seus ativos?

Em aplicações de IA, o risco é ainda mais claro. O NIST descreve a confabulation como a geração de informações falsas ou erradas apresentadas de forma confiante. Em outras palavras, uma resposta convincente não é necessariamente uma resposta correta. Por isso, fornecedores sérios não prometem que a IA “acerta tudo”: eles explicam limites, cenários de falha, testes, revisão humana e monitoramento.

O próprio NIST aponta que a gestão de IA generativa exige avaliação, governança e mitigação de riscos, não apenas a conexão com um modelo de linguagem. Consulte a orientação do NIST sobre riscos em IA generativa.

Como validar experiência além do portfólio visual

Um portfólio pode mostrar bom design e boas ideias, mas não revela automaticamente quem desenvolveu o projeto, quais desafios existiram, como a solução foi operada ou se gerou resultado sustentável. A avaliação precisa buscar evidências verificáveis.

Peça referências e converse com clientes anteriores

Solicite dois ou três contatos de clientes atendidos em projetos semelhantes. Ao falar com essas referências, vá além da pergunta “você gostou?”. Pergunte:

• O fornecedor cumpriu prazos e combinados?
• A comunicação foi clara durante mudanças de escopo?
• Houve problemas em produção? Como a equipe respondeu?
• O cliente recebeu acesso ao código, documentação e infraestrutura?
• O sistema continuou sendo mantido após a entrega?
• Você contrataria a mesma empresa novamente?

Uma referência não precisa expor informações confidenciais para ser útil. A qualidade da resposta sobre processo, transparência e capacidade de resolução de problemas costuma dizer mais do que uma apresentação comercial.

Peça contexto, não apenas uma lista de logos

Para cada caso apresentado, peça que o fornecedor explique:

• qual era o problema de negócio;
• qual foi o papel real da equipe;
• quais tecnologias e integrações foram usadas;
• quais dificuldades surgiram;
• como foram resolvidas;
• quais critérios foram usados para considerar a entrega aprovada.

Uma equipe experiente consegue falar com objetividade sobre decisões difíceis, concessões técnicas e aprendizados. Respostas genéricas, promessas absolutas ou falta de clareza sobre quem executou o trabalho são sinais para aprofundar a validação.

Confirme quem executará o projeto

É comum que a pessoa que vende seja diferente da equipe que entrega. Isso não é necessariamente um problema, desde que seja transparente. Peça os nomes, papéis e disponibilidade das pessoas que atuarão no projeto.

Entenda quem será responsável por arquitetura, desenvolvimento, qualidade, segurança, gestão de projeto e suporte. Se houver terceirizados, isso também deve estar claro no contrato e na gestão de acessos.

Perguntas que separam uma demo de engenharia de software

Você não precisa aprender a programar para conduzir uma boa contratação. O objetivo das perguntas abaixo não é testar conhecimento técnico por conta própria, mas verificar se o fornecedor possui processo, consegue explicar suas escolhas e assume responsabilidades concretas.

Perguntas para qualquer projeto de software

• Onde ficarão o código, a documentação, o domínio, o banco de dados e as contas de nuvem?
• A empresa contratante terá acesso administrativo desde o primeiro dia?
• Como funcionam revisão de código, testes, homologação e publicação?
• Quais são os critérios de aceite de cada entrega?
• Como vulnerabilidades serão identificadas, priorizadas e corrigidas?
• Quais bibliotecas, serviços externos e licenças serão utilizados?
• Como a equipe controla dependências desatualizadas ou vulneráveis?
• Qual será o plano de manutenção após o lançamento?
• Qual o prazo de resposta para falhas críticas?
• Como será feita a documentação para continuidade com outra equipe, se necessário?

Essas perguntas estão alinhadas com práticas de desenvolvimento seguro. O Secure Software Development Framework (SSDF), do NIST, foi criado justamente para reduzir vulnerabilidades e criar um vocabulário comum entre compradores e fornecedores de software.

Também vale atenção à cadeia de suprimentos de software. Bibliotecas sem manutenção, dependências vulneráveis, alterações maliciosas e falhas no processo de construção podem transformar um sistema aparentemente funcional em um passivo técnico e financeiro. A OWASP inclui falhas nessa cadeia entre os riscos críticos de aplicações. Veja a orientação da OWASP sobre cadeia de suprimentos de software.

Perguntas adicionais para projetos com IA

• Qual problema a IA resolve melhor do que automação tradicional?
• Qual modelo ou provedor será utilizado e por quê?
• Quais dados serão enviados ao modelo?
• Os dados poderão ser retidos, compartilhados ou usados para treinamento?
• Como serão medidos precisão, erros, custo por uso, tempo de resposta e qualidade?
• Quais situações exigirão revisão humana?
• Como o sistema será testado contra respostas inventadas, vieses, vazamento de dados e instruções maliciosas?
• Como será feita a monitoração após a implantação?
• O que acontece se o provedor de IA alterar preços, limites de uso ou funcionalidades?
• Existe alternativa técnica ou plano de contingência para indisponibilidade do provedor?

Um bom fornecedor não precisa afirmar que todos os riscos desaparecerão. Ele precisa demonstrar que identificou riscos relevantes, definiu controles e sabe como reagir quando algo sair do esperado.

Proteja dados, infraestrutura e propriedade do projeto

Entregar dados e acessos a um fornecedor sem regras claras pode gerar dependência, exposição indevida e dificuldade de continuidade. Esse cuidado é indispensável em qualquer software e ainda mais importante quando há IA, dados pessoais ou informações estratégicas.

Dados pessoais exigem atenção desde o início

De acordo com a ANPD, dados pessoais podem estar presentes ao longo de todo o ciclo de vida de sistemas de IA generativa, inclusive em arquivos compartilhados e nas próprias respostas produzidas pela ferramenta. A Autoridade destaca riscos como uso para finalidade incompatível, falta de transparência e vieses discriminatórios.

Não envie bases de clientes, documentos internos, dados de colaboradores ou dados sensíveis para ferramentas de IA sem saber onde essas informações ficarão, quem poderá acessá-las, por quanto tempo serão retidas e quais regras se aplicam ao seu uso. Leia as orientações da ANPD sobre IA e proteção de dados.

A terceirização não elimina a responsabilidade da empresa

Ao terceirizar desenvolvimento ou operação de TI, sua empresa não deve tratar a proteção de dados como um problema exclusivo do fornecedor. A ANPD recomenda que contratos contemplem cláusulas de segurança da informação, regras para fornecedores, compartilhamentos e definição das responsabilidades entre controlador e operador.

O contrato também deve prever o procedimento para incidentes. Em situações relevantes que envolvam dados pessoais, o controlador tem prazo de três dias úteis para comunicar a ANPD e os titulares, salvo regra específica aplicável. O operador deve informar o controlador sem demora injustificada e fornecer as informações necessárias. Confira as orientações da ANPD sobre comunicação de incidentes.

Os ativos devem estar sob controle da contratante

Uma regra simples reduz grande parte da dependência indevida: repositório de código, domínio, contas de nuvem, banco de dados, ferramentas de monitoramento e serviços contratados devem pertencer à empresa contratante.

O fornecedor recebe os acessos necessários para trabalhar, mas a propriedade e o controle administrativo permanecem com quem contratou. Em plataformas como o GitHub, o proprietário do repositório controla conteúdo, permissões, configurações, issues e solicitações de alteração. A documentação do GitHub explica os controles do proprietário do repositório.

O que precisa constar na proposta e no contrato

Contrato não é burocracia de última hora. É o instrumento que transforma promessas em responsabilidades verificáveis. Uma proposta bem feita também protege o fornecedor sério, porque reduz ambiguidades sobre escopo, prioridades e aprovação.

Itens essenciais para revisar

• Escopo: o que será entregue e o que está fora da contratação.
• Fases e cronograma: marcos de entrega, validação e dependências do cliente.
• Critérios de aceite: como cada entrega será testada e aprovada.
• Responsabilidades: o que cabe à contratante e ao fornecedor.
• Propriedade intelectual: quem será dono do código, documentação e artefatos produzidos.
• Acessos e infraestrutura: quais contas serão usadas e quem terá controle administrativo.
• Proteção de dados: finalidade do tratamento, medidas de segurança, subfornecedores e regras de compartilhamento.
• Suporte e manutenção: prazos de resposta, cobertura, correções e valores após a entrega inicial.
• Gestão de mudanças: como novas solicitações afetarão prazo, custo e escopo.
• Encerramento: entrega de código, documentação, credenciais, dados e transição para outra equipe.

Também prefira propostas vinculadas a entregas e critérios claros, em vez de comprar apenas “um desenvolvedor por mês” sem resultados definidos. O modelo federal de contratação de desenvolvimento de software recomenda perfis mínimos, avaliações técnicas objetivas e remuneração relacionada a resultados e níveis de serviço. Veja o modelo de desenvolvimento de software do Governo Federal.

Faça uma checagem básica da empresa antes de assinar

Capacidade técnica não é comprovada apenas por formalização, mas identidade e situação cadastral são verificações básicas. Antes de contratar uma empresa, consulte o CNPJ, confirme razão social, situação cadastral e informações de administradores e quadro societário quando disponíveis.

Essa verificação não substitui referências, análise técnica e contrato, mas ajuda a evitar iniciar uma relação comercial sem dados mínimos de identificação. Consulte o cadastro nacional de pessoas jurídicas.

Checklist: como escolher um fornecedor de desenvolvimento

Use esta lista antes de fechar a contratação:

• Defini o problema de negócio, o resultado esperado e os limites da solução?
• Se houver IA, está claro por que ela é necessária em vez de uma automação convencional?
• Pedi referências de clientes e conversei com elas?
• Entendi quem executará o trabalho no dia a dia?
• Recebi exemplos comparáveis com contexto, desafios e resultados?
• O fornecedor explicou como testa, revisa e publica o software?
• Há plano para vulnerabilidades, dependências e manutenção?
• Se houver IA, existem métricas de qualidade, limites de uso e revisão humana quando necessária?
• Os dados pessoais terão finalidade, acesso, retenção e medidas de segurança definidos?
• Existe procedimento de resposta a incidentes?
• O repositório, a nuvem, o domínio e as contas de serviço pertencem à minha empresa?
• A proposta possui escopo, marcos, critérios de aceite e gestão de mudanças?
• O contrato prevê propriedade intelectual, confidencialidade, proteção de dados e transição ao final?
• Verifiquei a identidade e a situação cadastral da empresa?

Conclusão: escolha evidências, não promessas

A IA pode acelerar descobertas e ampliar a capacidade de uma empresa, mas não elimina a necessidade de engenharia, governança e responsabilidade. O melhor parceiro de desenvolvimento não é o que faz a promessa mais grandiosa ou apresenta a demo mais chamativa. É o que entende seu problema, explicita riscos, trabalha com método, entrega evidências e mantém sua empresa no controle dos ativos e dos dados.

Ao avaliar processo, referências, segurança, propriedade, contrato e capacidade de continuidade, você reduz o risco de transformar uma iniciativa promissora em prejuízo técnico, operacional ou financeiro.

Na INOVATI, ajudamos empresas a transformar objetivos de negócio em soluções digitais estruturadas, com clareza de escopo, segurança e foco em entregas sustentáveis. Se você está avaliando um projeto de software ou IA, fale com nossa equipe para discutir os critérios técnicos e estratégicos da sua contratação.