TPRM na era da IA: o novo mapa de risco de terceiros

TPRM (Third-Party Risk Management) é o conjunto de processos usado para identificar, avaliar e monitorar os riscos que fornecedores, parceiros e prestadores de serviço trazem para uma organização. Com a IA generativa entrando na cadeia de fornecimento, esse mapa mudou: já não basta avaliar o fornecedor, é preciso avaliar os modelos, os subfornecedores e os dados que ele movimenta.

Até pouco tempo, um questionário de due diligence de terceiros perguntava sobre certificações, política de backup, criptografia em trânsito. Isso continua valendo. Mas agora o fornecedor pode ter um chatbot rodando em cima de um modelo de terceiro, treinado com dados que ninguém documentou, tomando decisões que impactam diretamente o seu cliente final. E o questionário tradicional não pergunta nada disso.

É esse o gap que motivou o webinar “TPRM com IA”, que a QOD promove em parceria com a OneTrust no dia 29 de julho. Este artigo cobre a base do que muda na prática, para quem gerencia risco de terceiros e precisa atualizar o processo antes que um incidente force essa atualização.

---

O que muda no TPRM quando o fornecedor usa IA

O TPRM tradicional foi desenhado para um mundo de contratos estáveis: um fornecedor, um serviço, uma superfície de risco relativamente previsível. A IA generativa quebra essa previsibilidade em três frentes específicas.

Opacidade do modelo

Um fornecedor pode garantir contratualmente que protege seus dados e, ainda assim, não conseguir explicar por que o modelo de IA que ele usa chegou a uma determinada decisão. Isso é um problema novo de risco, não um detalhe técnico. Se o seu cliente contesta uma decisão automatizada (negativa de crédito, triagem de currículo, score de fraude) e o fornecedor não consegue documentar a lógica por trás dela, o risco reputacional e regulatório é seu, não dele.

Concentração de fornecedores de IA

Boa parte do mercado de IA generativa roda sobre um número pequeno de provedores de modelo. Isso significa que dezenas de fornecedores diferentes na sua cadeia podem, na prática, depender do mesmo ponto único de falha. Um incidente, uma mudança de política de uso ou uma indisponibilidade nesse provedor de base afeta todos eles ao mesmo tempo, mesmo que o seu contrato de TPRM trate cada fornecedor como um risco isolado.

Agentes autônomos agindo em nome do fornecedor

Agentes de IA já executam tarefas sem supervisão humana direta: respondem clientes, processam documentos, tomam decisões de roteamento. Quando esse agente pertence a um fornecedor terceirizado, a pergunta de TPRM deixa de ser só “quem tem acesso aos meus dados” e passa a ser “o que esse agente tem permissão de fazer, e quem revisa o que ele fez”.

---

Checklist prático: 7 passos para atualizar seu TPRM para IA

Não é preciso reconstruir o programa de TPRM do zero. Na maioria dos casos, dá para adaptar o processo existente adicionando estes 7 pontos de verificação.

1. Mapeie onde a IA já entrou. Pergunte diretamente a cada fornecedor ativo se algum produto ou serviço prestado a você usa IA generativa, mesmo que de forma indireta (um chatbot de suporte, por exemplo).
2. Identifique o provedor de modelo por trás do fornecedor. Saber que o fornecedor “usa IA” não é suficiente. É preciso saber qual modelo, de qual provedor, e se esse provedor está na sua lista de risco de concentração.
3. Exija documentação de treinamento e uso de dados. Que dados alimentaram o modelo, se dados seus entraram nesse treinamento, e sob que base legal.
4. Avalie o nível de autonomia do sistema. O modelo sugere uma ação para um humano aprovar, ou executa sozinho? Quanto mais autônomo, maior o nível de controle exigido no contrato.
5. Atualize a cláusula contratual de subcontratação. O fornecedor não pode trocar de provedor de IA sem avisar. Essa cláusula, hoje, muitas vezes nem existe nos contratos de TPRM assinados antes de 2023.
6. Defina o ritmo de reavaliação. Um fornecedor de IA muda de modelo, de política de dados e de capacidade com uma frequência maior do que um fornecedor de infraestrutura tradicional. A reavaliação anual, sozinha, não é suficiente.
7. Documente tudo em formato auditável. Reguladores e clientes vão pedir evidência, não intenção. Um programa de TPRM que existe só como política interna, sem registro de execução, não passa em auditoria.

---

O que já é exigido por lei no Brasil

Para instituições financeiras, TPRM com foco em terceiros de tecnologia não é um exercício de boas práticas. É exigência regulatória, e o prazo de adequação mais recente já tem data marcada.

A Resolução BCB nº 4.557/2017 já obrigava instituições enquadradas nos segmentos S1 a S5 a manter estrutura de gerenciamento de riscos que cobre a contratação de serviços de terceiros. Em dezembro de 2025, o CMN e o BCB foram além: a Resolução CMN nº 5.274/2025 e a Resolução BCB nº 538/2025 atualizaram o arcabouço de segurança cibernética e passaram a exigir que os testes de intrusão anuais cubram não só os sistemas próprios da instituição, mas também os ativos de terceiros usados na infraestrutura, incluindo softwares fornecidos por parceiros. O prazo de adequação termina em 1º de março de 2026.

Do lado da LGPD, o art. 39 determina que o operador deve tratar dados pessoais seguindo as instruções do controlador, e o art. 42 estabelece responsabilidade civil solidária entre controlador e operador em caso de dano. Na prática: se o fornecedor terceirizado usa um modelo de IA que trata dados pessoais fora do que foi combinado, a responsabilidade não fica isolada nele.

---

TPRM com IA por setor

O peso do risco muda conforme o setor, e o programa de TPRM deveria refletir isso em vez de tratar todo fornecedor da mesma forma.

Instituições financeiras e fintechs lidam com o cronograma regulatório mais apertado (a adequação de março de 2026 citada acima) e com o maior volume de fornecedores de tecnologia por operação: gateways de pagamento, antifraude, scoring de crédito, atendimento automatizado. Cada um desses pontos de contato é candidato a usar IA em algum nível da cadeia.

Seguradoras e meios de pagamento enfrentam um risco parecido, mas concentrado em decisão automatizada: subscrição de apólice, análise de sinistro, aprovação de transação. Quando um modelo de IA participa dessa decisão, o TPRM precisa cobrir explicabilidade, não só segurança da informação.

Saúde e planos de saúde somam a exposição de dados sensíveis ao risco de decisão automatizada, o que eleva o padrão de due diligence exigido de qualquer fornecedor que processe prontuário, imagem médica ou dado de sinistro com apoio de IA.

---

TPRM tradicional x TPRM com IA

Dimensão	TPRM tradicional	TPRM com IA
Escopo da avaliação	Fornecedor direto	Fornecedor direto + provedor de modelo + subfornecedores de dados
Frequência de reavaliação	Anual	Trimestral ou por evento (mudança de modelo, nova funcionalidade)
Foco do questionário	Segurança da informação, backup, continuidade	Segurança da informação + origem dos dados de treinamento + nível de autonomia do sistema
Risco de concentração	Avaliado fornecedor a fornecedor	Avaliado também no nível do provedor de modelo, que pode ser comum a vários fornecedores
Evidência exigida	Certificações e políticas	Certificações, políticas e documentação de explicabilidade do modelo

---

Perguntas frequentes sobre TPRM e IA

O que significa TPRM?

TPRM significa Third-Party Risk Management, ou gestão de risco de terceiros: o processo de avaliar, monitorar e mitigar os riscos que fornecedores e parceiros trazem para a operação de uma empresa, desde segurança da informação até continuidade de negócio.

TPRM é obrigatório no Brasil?

Sim, para instituições financeiras e de pagamento reguladas pelo Banco Central, via Resolução BCB nº 4.557/2017 e, mais recentemente, pelas Resoluções CMN nº 5.274/2025 e BCB nº 538/2025. Para outros setores, não há uma lei específica de TPRM, mas a LGPD cria responsabilidade solidária entre controlador e operador que torna a gestão de terceiros uma exigência de fato.

Qual a diferença entre TPRM e RIPD?

O RIPD avalia o risco de uma operação de tratamento de dados específica, geralmente conduzida pela própria organização. O TPRM avalia o risco de contratar um terceiro para executar parte dessa operação. Os dois processos se complementam: um fornecedor de alto risco no TPRM costuma disparar a necessidade de um RIPD específico para aquela operação.

Como avaliar um fornecedor que usa IA generativa?

Peça três documentos além do questionário padrão de due diligence: a origem dos dados de treinamento do modelo, o nível de autonomia do sistema na tomada de decisão, e o plano de contingência caso o provedor de modelo por trás do fornecedor sofra um incidente ou mude sua política de uso.

---

Nenhum programa de TPRM precisa ficar perfeito antes de começar a se adaptar à IA. O erro mais comum não é a lentidão, é tratar fornecedor de IA como se fosse mais um item na mesma planilha de sempre. Comece pelo mapeamento (passo 1 do checklist), porque sem saber onde a IA já está na sua cadeia, qualquer controle novo vira teoria.

Para aprofundar, vale revisar como a governança de IA se conecta com o programa de TPRM, entender quando um RIPD é obrigatório, e revisitar os princípios de privacy by design aplicados à escolha de fornecedores.

Última atualização: Julho de 2026
Autor: Gabriel Faria – Diretor de Delivery da QOD