Checklist de segurança de QA com IA: TI, jurídico e compras

Um checklist de segurança de QA com IA é a lista de verificações que TI, jurídico e compras fazem antes que uma ferramenta de monitoria de qualidade com IA possa ler as suas conversas de atendimento. Ele cobre as auditorias e certificações do fornecedor, o acordo de tratamento de dados e os suboperadores, se os seus dados treinam modelos de IA, como os atendentes são avaliados segundo o GDPR (o RGPD europeu) e o Regulamento Europeu de IA (AI Act), e as condições de saída.

Em resumo

• Divida o checklist por responsável: TI fica com a segurança, o jurídico com a proteção de dados e as regras de IA, compras com o contrato e o pacote de documentos.
• QA com IA passa por uma revisão mais rigorosa do que a maioria das ferramentas de atendimento porque lê todas as conversas e avalia funcionários, muitas vezes com fornecedores de modelos de IA como suboperadores.
• As verificações de TI cobrem auditorias independentes, criptografia, acesso, registros, testes e resposta a incidentes.
• As verificações de proteção de dados seguem os artigos do GDPR que se aplicam: acordo com o operador, suboperadores, transferências, retenção, avaliações de impacto e decisões automatizadas.
• As verificações de IA cobrem treino de modelos, fornecedores de modelos, revisão humana e o enquadramento da ferramenta no AI Act, cujas regras para usos de alto risco valem a partir de 2 de dezembro de 2027.

Este checklist é para equipes que compram software de qualidade no atendimento que avalia conversas de suporte com IA. As referências legais foram conferidas com os textos oficiais em 4 de novembro de 2026. São um ponto de partida para a sua própria assessoria jurídica, não um substituto.

Como usar este checklist de segurança de QA com IA

Entregue cada parte do checklist à equipe responsável, envie todas as perguntas ao fornecedor de uma vez e peça documentos em vez de respostas em um formulário. A maioria das revisões de segurança emperra porque as perguntas chegam em três ondas, de três equipes.

Marque cada verificação como atendida, atendida com condição ou não atendida. Um “não atendida” nas verificações 1, 9, 10 ou 17 deve parar a compra até ser resolvido. Se você também está comparando funcionalidades, leia em paralelo nossa comparação de software de monitoria de qualidade.

Por que software de QA com IA precisa de uma revisão mais rigorosa

Software de QA com IA precisa de uma revisão mais rigorosa porque lê todas as conversas com clientes, dá nota aos funcionários que as atenderam e muitas vezes envia texto a fornecedores de modelos de IA. Dados de clientes, dados de funcionários e avaliação automatizada ficam em uma única ferramenta.

Três coisas o diferenciam de um complemento comum do helpdesk:

• Volume: um programa manual lê uma amostra, enquanto uma ferramenta de IA pode processar todas as conversas, incluindo números de cartão, dados de saúde ou reclamações digitadas por um cliente.
• Funcionários como titulares: as notas de qualidade são dados pessoais dos seus atendentes e podem pesar em decisões sobre remuneração, promoção ou desligamento. Isso aciona as regras do GDPR sobre decisões automatizadas e, no AI Act, a categoria de IA usada para avaliar trabalhadores.
• Fornecedores de modelos: a IA que escreve notas e feedback costuma ser hospedada por terceiros, que se tornam suboperadores dos seus dados.

Verificações de segurança de TI

As verificações de TI confirmam que um auditor independente testou os controles do fornecedor e que o básico de criptografia, acesso, registros e resposta a incidentes está no lugar. Peça os relatórios em si, sob NDA, e não um selo em um site.

1. Relatório de auditoria independente. Peça o relatório SOC 2 Type II mais recente e confira o período e o escopo. Os relatórios SOC 2, definidos pelo AICPA, cobrem controles de segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade. Um relatório Type II testa se os controles funcionaram ao longo de um período, não só se foram desenhados.
2. Certificado ISO 27001. Confira se o escopo do certificado cobre o produto que você compra, a data de validade e o organismo certificador.
3. Testes de intrusão. Pergunte com que frequência um terceiro testa a aplicação em produção e como os achados críticos são acompanhados até a correção.
4. Criptografia. Confirme que os dados são criptografados em trânsito e em repouso, e quem gerencia as chaves.
5. Controle de acesso. Pergunte como a equipe do fornecedor acessa dados de produção, se o acesso é restrito à necessidade e registrado, e como os seus próprios usuários fazem login.
6. Registros de auditoria. Confira se você consegue ver quem na sua empresa consultou ou alterou notas e configurações, e em qual plano.
7. Resposta a incidentes. Peça o plano de resposta a incidentes e pergunte em quanto tempo o fornecedor avisa você sobre um incidente que afete os seus dados.
8. Continuidade. Peça o plano de continuidade de negócios e recuperação de desastres, e pergunte se os dados de produção ficam fora dos ambientes de desenvolvimento e teste.

Verificações de proteção de dados e GDPR

As verificações do GDPR confirmam que o fornecedor atua como seu operador com um contrato conforme o artigo 28, que cada suboperador e cada transferência são conhecidos e que você fez a sua parte em relação aos funcionários. Leia as cláusulas ao lado do regulamento, não do resumo do fornecedor.

9. Um acordo de tratamento de dados conforme o artigo 28, n.º 3. O artigo 28, n.º 3, do GDPR lista o que o contrato precisa prever: tratamento apenas segundo as suas instruções documentadas, confidencialidade da equipe, as medidas de segurança do artigo 32, regras para suboperadores, apoio com os direitos dos titulares e com os artigos 32 a 36, exclusão ou devolução no fim e auditorias. Confira se o acordo cobre as funções de IA, não só o produto principal.
10. Suboperadores. Segundo o artigo 28, n.º 2, um operador precisa da sua autorização prévia por escrito para contratar outro operador e, com uma autorização geral, deve informar você sobre mudanças para que você possa se opor. Peça a lista com a função e a localização dos dados de cada suboperador, incluindo os que hospedam modelos de IA.
11. Transferências para fora da UE. Se um suboperador estiver fora do EEE, pergunte a base da transferência segundo o capítulo V do GDPR: uma decisão de adequação (artigo 45) ou garantias como cláusulas contratuais-tipo (artigo 46).
12. Retenção e exclusão. Pergunte por quanto tempo conversas, transcrições e notas são guardadas, se você pode definir o prazo e como os dados são devolvidos ou excluídos depois do contrato, como exige o artigo 28, n.º 3, alínea g.
13. Minimização de dados. Pergunte se é possível excluir filas, campos ou canais da avaliação, para que a ferramenta trate apenas o que a monitoria precisa (artigo 5, n.º 1, alínea c).
14. Notificação de violações. Segundo o artigo 33, n.º 2, um operador deve notificar você “sem demora injustificada” após tomar conhecimento de uma violação. Confira se o contrato traz um compromisso concreto, porque o seu próprio prazo de 72 horas para notificar a autoridade de controle, previsto no artigo 33, n.º 1, começa quando você fica sabendo.
15. A sua avaliação de impacto. O artigo 35 exige uma avaliação de impacto sobre a proteção de dados (DPIA) quando um tratamento puder resultar em alto risco, entre outros casos na avaliação sistemática e completa de pessoas baseada em tratamento automatizado que leve a decisões com efeitos jurídicos ou similares. As diretrizes do Grupo de Trabalho do Artigo 29 sobre a DPIA (2017, endossadas pelo Comitê Europeu de Proteção de Dados) tratam avaliação ou pontuação, monitoramento sistemático e funcionários como fatores e dizem que um tratamento que atenda a dois de seus critérios exigirá, na maioria dos casos, uma DPIA. Peça ao fornecedor as informações de que você precisa para redigi-la; o artigo 28, n.º 3, alínea f, obriga o operador a ajudar.
16. Decisões automatizadas sobre atendentes. O artigo 22 dá às pessoas o direito de não ficar sujeitas a uma decisão tomada exclusivamente com base em tratamento automatizado que produza efeitos jurídicos ou similares. Se as notas de qualidade pesam em decisões sobre atendentes, garanta que uma pessoa as revise e que os atendentes possam contestar uma nota. Confira também as normas trabalhistas nacionais: o artigo 88 permite que os Estados-Membros criem regras mais específicas para dados de funcionários, e pode ser preciso consultar os representantes dos trabalhadores.

Verificações específicas de IA

As verificações de IA descobrem o que acontece com os seus dados dentro das funções de IA, quem pode corrigir a IA e onde a ferramenta se enquadra no AI Act. Peça respostas por escrito que possam ser anexadas ao contrato.

17. Treino de modelos. Pergunte por escrito se as suas conversas são usadas para treinar ou ajustar algum modelo, pelo fornecedor ou pelos fornecedores de modelos dele.
18. Fornecedores de modelos. Pergunte quais fornecedores de IA tratam os seus dados, onde, e se as funções de IA podem ser desligadas ou exigem ativação expressa.
19. Revisão e correção humanas. Confira se um avaliador pode alterar qualquer nota ou feedback da IA, se a alteração fica registrada e se os atendentes podem contestar uma nota, como no nosso guia para desenhar um processo de contestação de notas da IA (em inglês). Essa também é a sua salvaguarda segundo o artigo 22.
20. Explicabilidade e testes. Pergunte se cada nota mostra a prova em que se baseia, como descreve nosso artigo sobre rastreabilidade de notas de QA (em inglês), e se você pode testar as notas da IA contra as dos seus avaliadores antes do go-live. Nosso protocolo para validar a avaliação por IA (em inglês) mostra como fazer esse teste.
21. Posição diante do AI Act. Pergunte como o fornecedor classifica o produto e o que ele entrega a você como responsável pela implantação. A tabela traz as datas.

A proibição e o ponto de alto risco vêm do Regulamento de IA, Regulamento (UE) 2024/1689, conferido com o texto consolidado. A data de alto risco passou de 2 de agosto de 2026 para 2 de dezembro de 2027 com o Regulamento (UE) 2026/1744, que o altera e está em vigor desde 27 de julho de 2026.

Segundo o artigo 3, ponto 39, o reconhecimento de emoções se baseia em dados biométricos, então a proibição atinge sobretudo funções de voz. Se uma ferramenta de qualidade se enquadra no ponto 4, alínea b, depende de como você usa as notas. Deixe que os seus advogados decidam para o seu caso.

Verificações de compras e contrato

As verificações de compras transformam as respostas em cláusulas do contrato e garantem uma saída limpa. Uma resposta de segurança que não está no contrato é uma promessa comercial.

22. Cláusulas do contrato. Leve para o contrato ou para o acordo de tratamento de dados as respostas às verificações 7, 10, 12, 14 e 17.
23. Saída. Combine quanto tempo você tem para exportar os dados depois do encerramento, em quais formatos e quando o fornecedor os exclui.
24. O pacote de documentos. Reúna em um só lugar: relatório de auditoria, certificados, acordo de tratamento de dados, lista de suboperadores, resumo do teste de intrusão, planos de incidentes e de continuidade, e qualquer questionário padrão que o fornecedor tenha preenchido, como um SIG Lite.

Como a Kaizo responde a este checklist

A Kaizo publica a maioria das respostas no seu Trust Center, com os relatórios disponíveis mediante solicitação. A tabela liga cada verificação ao que as páginas da Kaizo dizem hoje; se uma página não responde a uma verificação, pergunte a nós durante a revisão de segurança.

A Kaizo avalia as conversas depois que terminam. Ela não escuta ligações ao vivo, o que deixa o monitoramento em tempo real fora do escopo desta revisão.

Como fazer a revisão de segurança sem travar a compra

Comece a revisão de segurança na mesma semana das demos, não depois que a área de negócio já escolheu. Envie o checklist completo de uma vez, peça o pacote de documentos e comece a sua avaliação de impacto em paralelo.

Passo 1: Envie o checklist junto com o RFP

Perguntas de segurança, jurídicas e de compras enviadas com a primeira solicitação ao fornecedor são respondidas junto com as perguntas de produto. Enviadas depois de uma decisão, viram um segundo projeto.

Passo 2: Peça documentos e pergunte só o que eles deixam em aberto

Leia primeiro o relatório de auditoria, o acordo de tratamento de dados e a lista de suboperadores. Eles respondem à maioria das linhas de um questionário, e o resto vira uma lista curta para uma ligação.

Passo 3: Redija a DPIA enquanto o contrato é negociado

A sua avaliação de impacto precisa das respostas do fornecedor sobre fluxos de dados, suboperadores e retenção, que você já tem. Envolva cedo os representantes dos trabalhadores se as notas dos atendentes forem usadas em decisões de desempenho. Nosso guia para conduzir um programa de QA em que os atendentes confiam (em inglês) explica como apresentar a avaliação a eles.

Peça nosso pacote de segurança em uma demo ao vivo. Mostramos a Kaizo com dados de exemplo realistas e enviamos os documentos do Trust Center de que a sua equipe precisa. Agende uma reunião.

Perguntas frequentes

O que é um questionário de segurança de fornecedores?

Um questionário de segurança de fornecedores é uma lista padrão de perguntas que um comprador envia a um fornecedor para verificar os controles de segurança e privacidade dele antes de assinar. Os formatos mais comuns são o SIG e o SIG Lite da Shared Assessments e o CAIQ da Cloud Security Alliance. Muitos fornecedores já têm um preenchido, o que poupa semanas aos dois lados.

Conectar uma ferramenta de qualidade ao Zendesk afeta a conformidade com o GDPR?

Sim. Quando uma ferramenta de qualidade puxa conversas do Zendesk ou de qualquer helpdesk, o fornecedor da ferramenta trata esses dados pessoais em seu nome, então você precisa de um acordo de tratamento de dados com esse fornecedor. A conformidade do helpdesk não cobre uma ferramenta separada. Inclua o fornecedor no seu registro das atividades de tratamento.

Quais são os 7 princípios do GDPR?

O artigo 5 do GDPR define sete princípios: licitude, lealdade e transparência; limitação das finalidades; minimização dos dados; exatidão; limitação da conservação; integridade e confidencialidade; e responsabilidade. Para QA com IA, os que mais pesam são minimização e limitação da conservação: avalie só as filas de que precisa e não guarde conversas por mais tempo do que a finalidade de qualidade exige.

Software de QA com IA é de alto risco segundo o AI Act?

Pode ser. O Anexo III, ponto 4, alínea b, classifica como alto risco a IA destinada a monitorar e avaliar o desempenho e o comportamento de pessoas no trabalho, com obrigações a partir de 2 de dezembro de 2027. Uma ferramenta de qualidade que avalia atendentes pode se enquadrar, conforme a finalidade prevista e o uso que você faz dela. Peça um parecer jurídico para o seu caso.

Os atendentes precisam saber que a IA avalia as conversas deles?

Sim: segundo os deveres de transparência dos artigos 13 e 14 do GDPR, os atendentes precisam saber como os seus dados pessoais são tratados, incluindo a avaliação automatizada. Muitos países acrescentam regras trabalhistas, e os representantes dos trabalhadores podem ter voz. Informar cedo, inclusive sobre como contestar uma nota, também facilita a implantação.