# Assinaturas avulsas de IA ou plataforma corporativa: o que muda para a empresa

A diferença entre assinaturas avulsas de IA e uma plataforma corporativa não está na qualidade do modelo, e sim na modalidade de contratação: muda quem assina o contrato, quem administra o acesso e onde fica o registro do uso. Quando cada pessoa contrata a própria ferramenta, o trabalho da empresa passa a circular por serviços contratados em nome de pessoas físicas, fora dos contratos e dos registros da organização.

## Principais pontos

- Assinatura avulsa e plataforma corporativa distinguem-se pela modalidade de contratação, não pela capacidade do modelo de IA: muda quem contrata, quem administra o acesso e onde fica o registro do uso.
- A Lei nº 13.709/2018 (LGPD) exige dos agentes de tratamento medidas de segurança técnicas e administrativas (art. 46) e a manutenção de registro das operações de tratamento de dados pessoais (art. 37) — obrigações da organização, não da ferramenta que cada pessoa escolheu.
- A ANPD recomenda que a contratação de serviços de TI e de nuvem inclua cláusulas de segurança da informação, definição da relação entre controlador e operador e avaliação do serviço frente aos requisitos de segurança da organização.
- Incidente de segurança que possa acarretar risco ou dano relevante aos titulares deve ser comunicado pelo controlador à ANPD e aos titulares no prazo de três dias úteis, contado do conhecimento de que o incidente afetou dados pessoais.
- A assinatura avulsa continua sendo a escolha certa em cenários específicos: empresa muito pequena, uso que não envolve dado pessoal nem informação confidencial, e piloto de curto prazo com escopo declarado.
- Regularizar o uso de IA começa por inventariar o que já se usa e classificar os dados por sensibilidade, antes de decidir o que bloquear, o que liberar e o que contratar.

## O que são assinaturas avulsas de IA no trabalho

Assinatura avulsa de IA, no contexto corporativo, é qualquer ferramenta de inteligência artificial contratada fora do processo de compra da empresa: a pessoa cria uma conta com o próprio e-mail ou com o e-mail de trabalho, escolhe um plano de consumidor, paga com cartão pessoal ou com reembolso de despesa, e passa a usar aquela ferramenta para tarefas do trabalho. É uma variação do fenômeno que a área de tecnologia chama de shadow IT — software em uso dentro da organização sem passar pelo inventário, pelo contrato e pelos controles de acesso da própria organização.

A definição é deliberadamente neutra. Uma assinatura avulsa não é, por si só, um problema: é uma **modalidade de contratação** com propriedades diferentes das de um contrato corporativo. As propriedades que mudam são sempre as mesmas, independentemente de qual seja a ferramenta:

- **Quem é parte do contrato.** O contrato de uso é firmado entre o fornecedor e a pessoa física que criou a conta, e não entre o fornecedor e a empresa.
- **Quem administra o acesso.** A conta é criada, mantida e encerrada pela própria pessoa; a empresa não concede nem revoga esse acesso.
- **Onde fica o histórico.** As conversas, os arquivos enviados e os resultados ficam na conta individual, e não em um repositório que a organização administre.
- **Quem sabe que a ferramenta existe.** Como a contratação não passa pelo processo de compra, a ferramenta normalmente não aparece em nenhum inventário interno.

## Por que os times adotam IA por conta própria

Vale começar pela parte desconfortável: times adotam IA por conta própria porque funciona. A pessoa testa uma ferramenta em uma tarefa concreta — resumir um documento longo, redigir um primeiro rascunho, revisar um texto, entender uma planilha —, obtém um resultado útil em minutos e incorpora aquilo à rotina. Nenhum projeto interno costuma competir com esse ciclo de retorno. Quando a alternativa oficial demora meses para ser avaliada, contratada e liberada, a assinatura individual não é rebeldia: é a resposta racional de quem tem uma entrega para o fim do dia.

Há um segundo motivo, menos citado e igualmente relevante: o custo de entrada é baixo e individual. Um plano de consumidor cabe em cartão pessoal ou em reembolso de despesa, e não exige aprovação de orçamento, análise jurídica nem avaliação de segurança. A decisão que exigiria um comitê quando tomada para trezentas pessoas é tomada sozinha, em dois minutos, quando é para uma. O resultado agregado é uma adoção real, distribuída e invisível — e é justamente a invisibilidade, não a ferramenta, que cria o problema que este comparativo trata.

Entender esse motivo importa para a decisão. Uma política que ignora por que a adoção aconteceu tende a ser contornada pelas mesmas razões que a produziram. Qualquer caminho de regularização que não ofereça uma alternativa pelo menos tão rápida quanto a ferramenta que se quer substituir tende a empurrar o uso para longe do alcance da organização, em vez de trazê-lo para dentro.

## Riscos concretos para a empresa

Os riscos abaixo não dependem de qual ferramenta a pessoa escolheu, e sim das propriedades da modalidade de contratação descritas acima. Cada um deles corresponde a uma medida de segurança que a Autoridade Nacional de Proteção de Dados (ANPD) descreve como boa prática e que uma conta individual, por construção, não implementa.

- **Controle de acesso fora do alcance da organização.** A ANPD descreve o controle de acesso como processos de autenticação, autorização e auditoria, e recomenda o princípio do menor privilégio. Uma conta pessoal não expõe nenhuma dessas três funções à empresa.
- **Contas e credenciais compartilhadas.** O guia da ANPD recomenda que agentes de tratamento não permitam o compartilhamento de contas ou de senhas entre funcionários, por ser um vetor crítico de vulnerabilidade — cenário comum quando uma equipe divide uma única assinatura individual.
- **Contratação sem cláusula de segurança.** A ANPD recomenda que a contratação de serviços de TI inclua cláusulas de segurança da informação, regras de compartilhamento e definição da relação entre controlador e operador. Um contrato firmado por uma pessoa física não é um contrato da empresa e não passa por esse crivo.
- **Serviço em nuvem sem avaliação prévia.** Para serviços em nuvem, a ANPD sugere avaliar se o serviço atende aos requisitos de segurança definidos pela organização e especificar os requisitos de acesso do usuário, incluindo autenticação multifator. Uma assinatura individual pula essa avaliação.
- **Ausência de registro do uso.** Sem trilha de auditoria administrada pela empresa, não há como reconstruir quem tratou qual dado, quando e para quê — informação necessária tanto para o registro das operações de tratamento quanto para apurar um incidente.
- **Descontinuidade quando alguém sai.** O histórico, os arquivos e as automações ficam vinculados a uma conta pessoal. Quando a pessoa deixa a empresa, esse acervo sai com ela, e a organização não tem meio de recuperá-lo.

## O que a LGPD exige nesse cenário

Esta seção descreve exigências da Lei nº 13.709/2018 (LGPD) e orientações publicadas pela ANPD. Ela não avalia a situação de nenhuma empresa específica nem conclui que qualquer prática seja regular ou irregular — essa avaliação depende do caso concreto e é atribuição de quem responde juridicamente pela organização.

- **Princípio da segurança.** Conforme a ANPD, o art. 6º, VII da LGPD estabelece o princípio da segurança, que consiste na utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.
- **Medidas de segurança.** No art. 46, a lei estabelece que os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais; o §2º determina que essas medidas sejam observadas desde a fase de concepção do produto ou do serviço até a sua execução.
- **Segurança após o término.** O art. 47 obriga os agentes de tratamento, ou qualquer outra pessoa que intervenha em uma das fases do tratamento, a garantir a segurança da informação prevista na lei mesmo após o seu término.
- **Registro das operações.** A Resolução CD/ANPD nº 2/2022 registra, em seu art. 9º, a obrigação de elaboração e manutenção de registro das operações de tratamento de dados pessoais constante do art. 37 da LGPD, admitindo forma simplificada para agentes de tratamento de pequeno porte.
- **Comunicação de incidente.** Segundo a ANPD, com base na Resolução CD/ANPD nº 15/2024, a comunicação de incidente de segurança que possa acarretar risco ou dano relevante aos titulares deve ser feita à ANPD e aos titulares pelo controlador no prazo de três dias úteis, contado do conhecimento de que o incidente afetou dados pessoais.
- **Direitos do titular.** A ANPD lista entre os direitos do titular a confirmação da existência de tratamento, o acesso aos dados, a correção de dados incompletos, inexatos ou desatualizados, a eliminação de dados desnecessários ou excessivos e a informação sobre as entidades com as quais o controlador realizou uso compartilhado de dados.

O ponto prático que liga essa lista ao tema desta página é simples: todas essas obrigações recaem sobre a organização que trata os dados, e todas pressupõem que ela consiga observar, registrar e agir sobre o tratamento. Um uso que a empresa não enxerga é um uso sobre o qual ela não consegue produzir registro, atender pedido de titular nem apurar incidente dentro do prazo. Consulte as fontes ao fim desta página para o texto integral das orientações citadas.

## Comparação lado a lado

A tabela resume as diferenças estruturais entre as duas modalidades. Ela descreve o que é próprio de cada forma de contratação, e não o desempenho de um produto específico: qualquer ferramenta contratada individualmente terá a coluna da esquerda, e qualquer plataforma contratada pela empresa e administrada por ela terá a coluna da direita. A leitura útil é por linha — cada critério corresponde a uma pergunta que alguém precisará responder em algum momento, seja numa auditoria, numa resposta a incidente ou na saída de um colaborador.

| Critério | Assinaturas avulsas | Plataforma corporativa |
| --- | --- | --- |
| Quem é parte do contrato de uso | A pessoa física que criou a conta | A empresa, como contratante |
| Onde ficam o histórico e os arquivos | Na conta individual de cada pessoa | Em ambiente administrado pela empresa |
| Registro das operações de tratamento | Sem registro disponível à organização | Registro de uso acessível aos administradores |
| Controle de acesso e permissões | Definido por cada usuário, individualmente | Concedido, revisado e revogado pela empresa |
| Atendimento a pedidos de titulares | Depende de acesso à conta pessoal | Feito pelos administradores da conta corporativa |
| Resposta a incidente de segurança | Sem trilha para reconstruir o ocorrido | Trilha de auditoria disponível para apuração |
| Continuidade quando alguém sai | O acervo sai junto com a pessoa | O acervo permanece com a empresa |
| Previsibilidade de custo e cobrança | Gastos dispersos, muitas vezes como reembolso | Contrato único, com custo por usuário previsível |
| Escolha e troca de modelo de IA | Limitada ao catálogo do plano individual | Definida pela empresa entre os modelos contratados |

A comparação é entre modalidades de contratação, não entre produtos de fornecedores específicos.

## Quando a assinatura avulsa é a escolha certa

> **Quando a outra opção é melhor: Cenários em que a assinatura avulsa é a decisão correta**
>
> Nem todo uso de IA precisa de plataforma corporativa, e insistir no contrário custa dinheiro e tempo sem reduzir risco algum. A assinatura individual é a escolha adequada quando o uso **não envolve dado pessoal nem informação confidencial** — por exemplo, redação de texto público, estudo, pesquisa aberta ou apoio a tarefas que não tocam a base de clientes nem documentos internos. Também é adequada em **empresas muito pequenas**, em que o quadro inteiro cabe em uma sala, o inventário de ferramentas é conhecido por todos sem sistema nenhum e o custo fixo de uma contratação corporativa não se justifica. E é a melhor opção para **pilotos de curto prazo com escopo declarado**: quando o objetivo é descobrir se a IA ajuda em determinada tarefa, contratar duas ou três assinaturas por alguns meses, com dado não sensível e prazo definido, é mais barato e mais rápido do que qualquer processo formal de compra.

Esses cenários são reais e não deixam de ser válidos porque uma plataforma corporativa existe. O critério que os separa do restante é o dado tratado e o horizonte de uso, não o tamanho da ambição da empresa com IA. Um piloto bem delimitado, sem dado pessoal e com data para terminar, é uma boa forma de aprender antes de contratar — e chegar à decisão de plataforma com requisitos escritos a partir de uso real vale mais do que antecipá-la por precaução. A pergunta que costuma marcar a virada não é o número de assinaturas, e sim a primeira vez que alguém precisa colar no prompt um dado de cliente, um contrato ou um documento interno para obter um resultado útil.

## Como regularizar o uso de IA na empresa

1. **Inventariar o que já está em uso** — Levante quais ferramentas de IA a equipe já usa, para quais tarefas e sob qual forma de pagamento. O objetivo é enxergar o uso real, não punir quem o adotou — um levantamento conduzido como auditoria disciplinar produz respostas incompletas e leva o uso para ainda mais longe do alcance da organização.
2. **Classificar os dados por sensibilidade** — Separe o que pode ser tratado em qualquer ferramenta do que só pode ser tratado sob contrato corporativo. A ANPD recomenda tratar apenas os dados realmente necessários à finalidade pretendida, em atenção ao princípio da necessidade previsto no art. 6º, III da LGPD.
3. **Escrever uma política de uso curta** — A ANPD sugere que a organização estabeleça uma política de segurança da informação, ainda que simplificada, com previsão de revisão periódica e controles relacionados ao tratamento de dados pessoais, como uso de senhas, acesso à informação e compartilhamento de dados. Uma página que as pessoas leiam vale mais do que um manual que ninguém abre.
4. **Escolher a plataforma a partir dos requisitos** — Com o inventário e a classificação em mãos, avalie se o serviço oferecido atende aos requisitos de segurança definidos pela organização, especifique os requisitos de acesso do usuário e prefira autenticação multifator — três recomendações que a ANPD dirige à contratação de serviço em nuvem.
5. **Migrar com o time junto** — Leve as pessoas que já usavam IA por conta própria para dentro da decisão e da migração. Elas conhecem os casos de uso que funcionam e são as primeiras a notar quando a alternativa oficial é mais lenta do que a ferramenta que substituiu.

A ordem importa mais do que a velocidade. Bloquear ferramentas antes de inventariar o uso costuma produzir um efeito conhecido: o uso continua, agora em dispositivos e contas que a empresa não alcança. Inventário e classificação primeiro, política e contratação depois, é o encadeamento que mantém o uso visível durante toda a transição.

## Onde a Quintus entra

A Quintus é uma plataforma corporativa de IA que centraliza mais de 30 modelos em um só lugar, com agentes, memória corporativa, integrações e governança em conformidade com a LGPD. Do ponto de vista deste comparativo, o que ela muda é a coluna da direita da tabela acima: a contratação é da empresa, o acesso é concedido e revogado por ela, e o histórico permanece na organização quando alguém sai.

Sobre os itens de controle e registro discutidos aqui, o que a Quintus afirma é: os dados dos clientes não são usados para treinar modelos de terceiros e ficam sob domínio da empresa; há criptografia em trânsito e em repouso; autenticação de dois fatores (2FA) e SSO para login corporativo centralizado; permissões por área; e trilhas de auditoria completas, com painel de uso. Na relação com o cliente, a empresa contratante é a controladora dos dados e a Quintus atua como operadora. O detalhamento está em [segurança e governança](https://quintus.tec.br/seguranca); o funcionamento da plataforma, em [como a plataforma funciona](https://quintus.tec.br/plataforma); e as condições de contratação, em [planos e preços](https://quintus.tec.br/precos).

## Perguntas frequentes

### O que a LGPD exige de uma empresa cujo time usa IA por conta própria?

As exigências da LGPD não mudam conforme a ferramenta escolhida por cada pessoa: a organização segue obrigada a adotar medidas de segurança técnicas e administrativas (art. 46), a manter registro das operações de tratamento de dados pessoais (art. 37) e a comunicar incidentes que possam acarretar risco ou dano relevante aos titulares. O que muda é a dificuldade de cumpri-las quando o uso não é visível para a organização.

### O que acontece com os dados colados no prompt de uma ferramenta de IA?

Depende do contrato sob o qual a ferramenta foi contratada. Quando a assinatura é individual, quem firmou o contrato foi a pessoa física, e as condições aplicáveis são as daquele plano — a empresa não é parte do acordo e não define retenção, acesso nem registro. Quando a contratação é corporativa, essas condições são negociadas e verificadas pela organização, que a ANPD orienta a avaliar se o serviço atende aos seus requisitos de segurança.

### O que considerar antes de proibir ou liberar o uso de IA no trabalho?

Antes da decisão, vale ter duas informações: quais ferramentas já estão em uso e quais dados circulam nelas. Com isso é possível separar o uso que não envolve dado pessoal ou confidencial — em que a assinatura avulsa costuma bastar — daquele que precisa de contrato corporativo, controle de acesso e registro. Regras trabalhistas e contratuais sobre o que a empresa pode exigir dos colaboradores dependem do caso concreto e devem ser avaliadas por assessoria jurídica.

### Como descobrir quem no time já usa IA?

Os caminhos usuais são um levantamento declarado junto às equipes, a revisão de despesas reembolsadas e de assinaturas em cartão corporativo, e a conversa direta com as lideranças sobre quais tarefas já contam com apoio de IA. Conduzir esse levantamento como diagnóstico, e não como apuração disciplinar, tende a produzir um retrato mais completo — que é o objetivo do inventário.

### Bloquear as ferramentas ou oferecer uma alternativa oficial?

Bloquear sem alternativa costuma deslocar o uso para dispositivos e contas fora do alcance da empresa, o que reduz a visibilidade em vez de reduzir o risco. Oferecer uma alternativa contratada pela empresa, com acesso administrado e registro de uso, endereça os mesmos riscos mantendo o ganho de produtividade que motivou a adoção. A decisão sobre bloqueio, quando necessária, deve considerar o dado tratado e ser tomada com apoio jurídico.

### Em quanto tempo um incidente com dados pessoais precisa ser comunicado?

Segundo a ANPD, com base na Resolução CD/ANPD nº 15/2024, a comunicação de incidente de segurança que possa acarretar risco ou dano relevante aos titulares deve ser realizada pelo controlador à ANPD e aos titulares no prazo de três dias úteis, contado do conhecimento de que o incidente afetou dados pessoais. Cumprir esse prazo pressupõe conseguir apurar o que aconteceu — o que depende de haver registro do uso.

## Fontes

- [ANPD — Guia orientativo sobre segurança da informação para agentes de tratamento de pequeno porte (versão 1.0, out. 2021)](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia-vf.pdf) — acesso em 2026-07-23
- [ANPD — Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 (aplicação da LGPD para agentes de tratamento de pequeno porte)](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd/resolucao-cd-anpd-no-2-de-27-de-janeiro-de-2022) — acesso em 2026-07-23
- [ANPD — Comunicação de incidente de segurança (CIS)](https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis) — acesso em 2026-07-23
- [ANPD — Perguntas frequentes sobre a LGPD e a atuação da Autoridade](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/201105-faq-anpd-finalrev.pdf) — acesso em 2026-07-23

_Conteúdo informativo; não constitui orientação jurídica._

---

Fonte: https://quintus.tec.br/comparativos/assinaturas-avulsas-vs-plataforma-corporativa · Última revisão: 2026-07-23 · Revisão semestral