Uma empresa de IA não é uma boa escolha apenas por ser europeia. O comprador precisa de identificar a entidade jurídica e a cadeia contratual, saber onde os dados são tratados, conhecer os subcontratantes e a infraestrutura, avaliar as provas e os controlos de segurança disponíveis, perceber como o caso de uso é governado e preparar a saída do workflow ou a mudança de fornecedor. A geografia é um conjunto de perguntas, não um selo de qualidade.

Matriz de decisão para escolher uma empresa europeia de IA

A minha opinião: comece pelo workflow e pelas provas exigidas. Depois, verifique a empresa. Não faça o caminho inverso.

Esta abordagem evita dois atalhos. Uma sede europeia não demonstra que toda a cadeia técnica está na Europa. Uma declaração de conformidade também não prova que o serviço é adequado a um caso de uso específico. A análise jurídica, de privacidade e de segurança depende sempre do uso e dos contratos. Este artigo não constitui aconselhamento jurídico.

O que é uma empresa europeia de IA?

A resposta útil começa com outra pergunta: europeia em que sentido? Uma empresa pode estar constituída num país europeu, contratar através de outra entidade, tratar alguns dados noutro local e depender de várias camadas de infraestrutura. A palavra «europeia» não descreve, por si só, o produto comprado.

Numa decisão de compra, separo pelo menos quatro elementos:

a entidade que assina o contrato e as restantes entidades envolvidas;
o serviço efetivamente prestado, incluindo o suporte e os modelos utilizados;
o percurso dos dados, registos e cópias de segurança;
as responsabilidades quando o workflow produz, recomenda ou desencadeia uma ação.

A União Europeia apresenta a sua abordagem à IA em torno da excelência e da confiança, combinando capacidade de investigação, inovação e regras. As suas fábricas de IA também usam a capacidade de supercomputação EuroHPC para apoiar o desenvolvimento e a inovação em IA. Este é um contexto relevante para o ecossistema, mas não uma prova sobre qualquer empresa específica (Comissão Europeia).

Para comprar, convém adotar uma definição operacional: a empresa é uma parte de uma cadeia que tem de ser verificável. A localização é apenas um dos atributos dessa cadeia.

Porque é que a sede social não é suficiente?

A sede responde a «onde está estabelecida esta sociedade?». Não responde necessariamente a «quem trata o quê, onde, com que acesso e ao abrigo de que contrato?».

Um serviço de IA pode juntar uma interface, um modelo, um fornecedor de alojamento, ferramentas de observabilidade, suporte humano e cópias de segurança. Cada camada pode alterar a exposição dos dados ou as condições de saída. O modelo multicamada da ENISA apoia uma análise da cibersegurança ao longo das várias camadas de um sistema de IA, em vez de tratar o rótulo de um fornecedor como prova suficiente (ENISA).

Por isso, peço respostas documentadas, não apenas uma afirmação genérica sobre soberania. Esta tabela ajuda a passar da conversa comercial para a decisão de compra.

Pergunta	Prova a solicitar	Resposta fraca	Consequência para a compra
Que entidade assina e quem presta realmente o serviço?	Contrato, identificação da entidade e funções das partes	«Somos europeus»	A cadeia de responsabilidade fica por esclarecer
Por onde passam e onde ficam dados, registos e cópias?	Diagrama de fluxos, regiões de tratamento e regras de retenção	«Alojado na Europa» sem âmbito definido	O perímetro do piloto não pode ser avaliado
Que subcontratantes e componentes estão envolvidos?	Lista atual, função de cada um e mecanismo de aviso de alterações	«Parceiros de confiança»	As dependências não podem ser analisadas
Que medidas de segurança são verificáveis?	Documentação, controlos, relatórios ou atestados relevantes	«Segurança de nível empresarial»	O risco não pode ser ligado ao workflow
Como se recuperam os dados e se termina o serviço?	Formato e prazo de exportação, eliminação e apoio à saída	«É possível exportar»	O custo e a viabilidade da mudança ficam desconhecidos

Que provas devem ser pedidas antes de um piloto?

Uma prova útil é específica, atual, ligada ao âmbito comprado e pode ser analisada pela pessoa certa. Uma página comercial pode orientar a conversa. Não substitui um anexo contratual nem uma análise técnica.

Antes de usar dados reais, peço pelo menos:

um esquema simples do workflow, dos sistemas ligados e dos fluxos de dados;
as entidades, os subcontratantes, as infraestruturas e os locais relevantes;
as regras de retenção, eliminação, acesso pelo suporte e utilização dos dados;
os elementos de segurança adequados ao caso, além dos planos de incidente e saída.

As provas necessárias variam com os dados, a autonomia do sistema e o efeito dos seus resultados. O modelo da ENISA oferece uma razão sólida para não olhar apenas para a aplicação visível: as boas práticas de cibersegurança devem ser examinadas em várias camadas do sistema (ENISA).

Para enquadrar primeiro a necessidade, o meu guia em francês sobre inteligência artificial nas empresas parte do problema, em vez de começar pela ferramenta.

Escolher o caminho certo

Como delimitar os dados e os subcontratantes?

Começo por desenhar o percurso, mesmo que a primeira versão seja rudimentar. Que dados entram e de onde vêm? São enviados para o modelo, guardados em registos, copiados para um backup ou consultados pelo suporte? Que resultado regressa a que sistema?

O documento deve distinguir categorias de dados e operações. Deve também mostrar acessos humanos, conectores, ambientes de teste e mecanismos de eliminação. Uma referência geral à «residência dos dados» não resolve todos estes pontos.

Para cada subcontratante, é preciso conhecer a sua função, os dados envolvidos, a localização relevante, a forma como as alterações são comunicadas e as opções disponíveis para o comprador. O objetivo não é acumular logótipos ou certificados. É ligar uma dependência a uma consequência prática.

Antes do piloto, devem existir três resultados:

um perímetro claro de dados permitidos e proibidos;
uma cadeia de tratamento compreendida pelas áreas de negócio, tecnologia e segurança;
um procedimento testável para parar, exportar e eliminar.

A revisão jurídica, de privacidade e de segurança tem de ser adaptada ao caso de uso, às funções e aos contratos. Nenhuma localização, certificação ou frase comercial cria conformidade automática.

Como relacionar a escolha com o Regulamento da IA?

O Regulamento europeu da IA existe como Regulamento (UE) 2024/1689. A Comissão descreve um quadro baseado no risco, no qual as obrigações dependem, entre outros fatores, do sistema, da utilização, da função de cada parte e do nível de risco (Comissão Europeia).

A conclusão prática não é «compre europeu». É necessário documentar o que o workflow faz, quem intervém e como são controlados os seus efeitos. Depois, as funções competentes devem analisar a situação concreta. Não classifico aqui o sistema do leitor nem retiro conclusões sobre obrigações específicas.

Quatro perguntas diretas ajudam a começar:

Que decisão ou ação é influenciada pelo sistema?
Quem fornece, implementa, configura, utiliza e monitoriza cada componente?
Que pessoas podem ser afetadas pelo resultado?
Que registos, validações humanas e vias de contestação são necessários?

A localização da sede não responde a nenhuma destas perguntas. O contrato e o desenho do workflow podem responder. Se o projeto envolver agentes, este guia em francês sobre agentes de IA nas empresas complementa a análise das responsabilidades e salvaguardas.

Deve comprar uma ferramenta, contratar um serviço ou construir o workflow?

Não existe uma resposta universal. A escolha depende da velocidade pretendida, da capacidade interna para operar o sistema, do nível de controlo necessário e da facilidade com que a organização quer poder mudar de direção.

Opção	Controlo	Velocidade	Propriedade interna	Mudança	Provas a obter
Ferramenta	O fornecedor controla uma parte importante do produto	O arranque pode ser mais direto quando a necessidade encaixa	A equipa detém sobretudo a configuração e o processo envolvente	Depende de exportações, conectores e formatos	Arquitetura, fluxos, subcontratantes, segurança, exportação e eliminação
Serviço	O controlo é partilhado entre prestador e comprador	Pode acelerar o enquadramento e a operação	As decisões têm de ser documentadas e transferidas	Depende do contrato, dos entregáveis e da passagem de conhecimento	Funções, métodos, acessos, documentação, propriedade dos entregáveis e plano de saída
Construção do workflow	O comprador pode controlar mais a orquestração, mantendo as dependências escolhidas	Exige capacidade de desenho e operação	Elevada se o código, as decisões e a operação forem realmente assumidos internamente	Pode facilitar a substituição quando as interfaces estão desacopladas	Provas por componente, testes, observabilidade, documentação e procedimentos

A matriz não atribui pontuações. Uma ferramenta bem delimitada pode ser mais fácil de substituir do que uma construção interna mal documentada. A pergunta útil é concreta: quem conseguirá manter o workflow dentro de seis meses e o que terá de ser trocado se um componente desaparecer?

As ideias essenciais são:

Compre uma capacidade mensurável, não uma identidade geográfica.
Associe cada promessa a uma prova e a um responsável pela análise.
Trate a saída como uma função do produto desde o primeiro dia.
Ligue as decisões jurídicas, de privacidade e de segurança ao caso e ao contrato.

Como realizar um piloto reversível em 30 dias?

Um piloto reversível não tenta provar tudo. Verifica se um workflow limitado produz valor observável, com risco delimitado e uma saída já praticável. Os 30 dias são um enquadramento operacional, não uma promessa sobre prazos regulamentares ou resultados.

Checklist prática do piloto

Definir uma tarefa, um responsável e um resultado esperado.
Escolher os dados mínimos e proibir expressamente as categorias desnecessárias.
Mapear os sistemas, os locais de tratamento e os subcontratantes.
Definir a validação humana e as condições de paragem do workflow.
Listar as provas exigidas antes da utilização de dados reais.
Decidir que observações serão guardadas sem recolher mais do que o necessário.
Testar uma exportação num formato reutilizável.
Testar a revogação de acessos e o pedido de eliminação.
Documentar o que será mantido, corrigido ou abandonado após o piloto.
Obter a revisão jurídica, de privacidade e de segurança adequada ao caso e aos contratos.

A primeira semana serve para limitar a tarefa e os dados. Na segunda, configura-se o workflow e os seus controlos. A terceira é dedicada à execução num âmbito restrito. A última deve incluir o teste de saída, a análise das provas e uma decisão explícita: alargar, corrigir ou parar.

Uma demonstração bem-sucedida sem exportação testada nem documentação ainda não é uma capacidade pronta a comprar. As provas de trabalho devem mostrar o que funciona e quais são os limites.

Perguntas frequentes

Uma empresa europeia garante que os dados permanecem na Europa?

Não. A sede social não descreve, por si só, as regiões de tratamento, as cópias de segurança, os acessos do suporte, os modelos ou os subcontratantes. Peça um diagrama dos fluxos, os locais relevantes, a lista das partes e os compromissos contratuais. Depois, analise o conjunto em função dos seus dados e da sua utilização.

O Regulamento da IA obriga a escolher um fornecedor europeu?

Esse não é o critério geral apresentado pelo quadro oficial. A Comissão descreve um regime baseado no risco, com obrigações ligadas ao sistema, à utilização, à função e ao risco. O caso concreto deve ser analisado sem presumir que a origem geográfica cria conformidade automática (Comissão Europeia; EUR-Lex).

Como verificar os subcontratantes?

Peça uma lista atualizada, a função de cada parte, os dados envolvidos, os locais relevantes e o processo de aviso de alterações. Ligue cada dependência ao esquema técnico, ao contrato e aos controlos de segurança. Uma lista sem funções nem fluxos não é suficiente.

O que deve ser preparado para mudar de fornecedor?

Prepare formatos de exportação documentados, a devolução de configurações e instruções, a revogação de acessos, a eliminação verificável e um período de transição definido no contrato. Teste a saída durante o piloto. Se só for analisada quando chega o momento de sair, já é tarde para ser um verdadeiro critério de compra.

Escolher uma empresa europeia de IA pode ser coerente com uma estratégia de ecossistema, proximidade ou controlo contratual. A decisão só se torna sólida quando a identidade da empresa, o workflow, os dados, as provas, a governação e a saída são analisados em conjunto.