As startups de IA têm um problema estranho de due diligence: o produto pode parecer impressionante, enquanto a história da sua propriedade é uma confusão.
Os investidores já não perguntam apenas se o modelo funciona. Perguntam se a empresa é dona do código, se os dados de treino foram obtidos legalmente, se as licenças open-source contaminam o produto, se os prestadores de serviços cederam o seu trabalho e se a equipa consegue explicar o sistema de IA sem rodeios.
É aqui que a propriedade de IP de IA, a conformidade dos dados de treino de IA e a due diligence de investidores em IA se encontram. Para as startups europeias, a resposta não é "o output do LLM pertence a quem o solicitou". A resposta mais forte é uma cadeia de provas: contratos, proveniência dos dados, documentação do modelo, autoria humana, termos dos fornecedores e uma governação replicável.
Se te estás a preparar para uma ronda de investimento, lê isto juntamente com o nosso guia de conformidade com o EU AI Act, a nossa checklist de due diligence para VCs e o nosso guia de GDPR.
A Versão Resumida
- O output gerado por IA não é automaticamente IP limpo. A propriedade depende da contribuição humana, dos termos da ferramenta, dos contratos de trabalho ou de prestação de serviços e se o output copiou material protegido.
- Os dados de treino são agora um item na due diligence. Os investidores querem saber de onde vieram os dados, que direitos tens, o que excluíste e se o consegues provar.
- O AI Act eleva o nível da documentação para os fornecedores de modelos de GPAI. O Artigo 53 exige documentação técnica, políticas de conformidade com os direitos de autor e resumos públicos do conteúdo de treino.
- Usar modelos de terceiros não remove todas as obrigações. Continuas a precisar de documentação do produto, controlos de proteção de dados, divulgações aos clientes, revisão dos fornecedores e disciplina na cessão de IP.
- A solução prática é um pacote de provas limpo. Mantém um registo de dados de IA, uma "model card", uma cadeia de cessão de IP, um registo de open-source, uma política de prompts/outputs e um arquivo dos termos dos fornecedores.
Verificação de realidade para founders: Se o teu produto principal foi desenvolvido por prestadores de serviços, gerado com ferramentas de código de IA, treinado com datasets obtidos por scraping e lançado sem um registo de licenças, o teu risco não é teórico. Vai aparecer na due diligence.
1. A Quem Pertence o Código e Conteúdo Gerado por IA?
Comecemos com a resposta desconfortável: pode não haver um único proprietário do output puro de IA da forma que os founders esperam.
A legislação europeia de direitos de autor geralmente protege obras que refletem a criação intelectual humana. Se um founder escreve código, escolhe a estrutura, edita excertos gerados, integra módulos e faz escolhas técnicas, pode haver trabalho de autoria humana protegível no produto final. Se uma ferramenta produz um bloco genérico de output com pouca contribuição humana, a análise jurídica é mais fraca.
Isso não significa que o output de IA seja inútil. Significa que a tua empresa precisa de provar que o ativo final não é apenas um artefacto sem dono a flutuar entre um fornecedor de modelos, um prestador de serviços e uma caixa de prompts.
O que os founders devem documentar
- Termos da ferramenta: Que ferramentas de IA foram usadas, sob que plano e o que os seus termos dizem sobre os direitos do output.
- Contribuição humana: Quem reviu, editou, selecionou, integrou e testou o output gerado.
- Estatuto de colaborador ou prestador de serviços: Se a pessoa que usou a ferramenta estava vinculada por um acordo válido de cessão de IP.
- Restrições de input: Se dados confidenciais de clientes, código de terceiros ou materiais licenciados foram colados na ferramenta.
- Revisão do output: Se o código gerado foi analisado quanto a riscos de licença, segurança e semelhanças óbvias.
Para o código, isto não é académico. Uma startup pode ter um produto funcional e ainda assim falhar a due diligence porque a empresa não consegue provar que os seus founders, colaboradores e prestadores de serviços cederam os direitos subjacentes. A mesma questão já surge na due diligence comum de um VC. A IA apenas torna a cadeia de titularidade mais fácil de danificar.
2. A Conformidade dos Dados de Treino Está a Tornar-se um Tópico ao Nível do Board
O EU AI Act cria obrigações específicas para os fornecedores de modelos de IA de uso geral (GPAI). O Artigo 53 exige que os fornecedores mantenham documentação técnica, disponibilizem informações aos fornecedores a jusante, mantenham uma política de conformidade com os direitos de autor e publiquem um resumo suficientemente detalhado do conteúdo de treino usando o modelo do Gabinete de IA.
O Anexo XI acrescenta que a documentação técnica deve incluir informações sobre os dados de treino, teste e validação, a sua proveniência, métodos de curadoria e como os dados foram obtidos e selecionados. Essas obrigações não se aplicam igualmente a todas as startups que usam IA. Uma empresa SaaS que integra um LLM de terceiros não é automaticamente um fornecedor de modelos de GPAI. Mas a direção é clara: a proveniência dos dados está a tornar-se parte do sistema operativo legal normal para as empresas de IA.
Registo de dados de IA mínimo viável
- Nome do dataset: Identificador interno e versão.
- Origem: Dados de clientes, dataset licenciado, dataset público, dados sintéticos, dados web obtidos por scraping, documentos internos, feedback do utilizador ou dados de parceiros.
- Base legal ou direitos: Contrato, licença, consentimento, análise de interesse legítimo, avaliação de domínio público ou outra base.
- Restrições: Cláusulas de não utilização para treino ("no-training"), limites não comerciais, requisitos de atribuição, direitos de apagamento, limites de retenção ou restrições geográficas.
- Etapas de processamento: Limpeza, filtragem, desduplicação, anonimização, redação, filtros de segurança, verificações de viés.
- Caso de uso: Pré-treino, fine-tuning, recuperação, avaliação, benchmarking, revisão humana ou implementação específica para o cliente.
3. O Que os Investidores Agora Perguntam na Due Diligence de IA
Para uma empresa SaaS normal, os investidores perguntam sobre documentos corporativos, finanças, contratos, emprego e IP. Para uma empresa de IA, perguntam tudo isso mais uma segunda camada: risco do modelo, dos dados e dos fornecedores.
- "Model card" ou "system card": Utilizadores previstos, limitações, resultados da avaliação, modos de falha conhecidos e supervisão humana.
- Registo de dados de treino: Fontes de dados, direitos, restrições, proveniência e histórico de processamento.
- Avaliação da proteção de dados: Como os dados pessoais são recolhidos, minimizados, retidos, apagados e transferidos.
- Cadeia de cessão de IP: Cessões dos founders, cláusulas de invenção dos colaboradores, cessões dos prestadores de serviços e transferências de IP pré-constituição da empresa.
- Registo de licenças open-source e de modelos: Licenças de software, licenças de modelos, pesos, datasets, embeddings e restrições de uso.
- Arquivo de termos de fornecedores: Fornecedores de API de IA, termos de processamento de dados, compromissos de não utilização para treino ("no-training"), termos de retenção e termos dos planos enterprise.
- Testes de segurança e abuso: Testes de "prompt injection", notas de "red-team", filtragem de output, registo de atividades (logging) e processo de incidentes.
4. Checklist para o Founder
- Mapeia o uso de IA: IA no produto, IA interna, assistentes de código com IA, apoio ao cliente, vendas, análise de dados, RH.
- Classifica o teu papel: Fornecedor, implementador, importador, distribuidor, fornecedor de modelo GPAI ou integrador a jusante sob o AI Act.
- Cria um registo de dados: Inclui todos os datasets relevantes usados para treino, fine-tuning, recuperação, avaliação ou benchmarking.
- Revê os termos dos fornecedores de IA: Direitos sobre o output, uso do input, opção de exclusão do treino (opt-out), retenção, segurança, subcontratados e indemnizações.
- Regulariza as cessões de IP: Founders, colaboradores, prestadores de serviços, consultores, agências e contribuidores open-source, quando relevante.
- Escreve as "model cards": Uso pretendido, limitações, testes, avaliação, controlos de risco, revisão humana.
Fontes de Referência
- Artigo 53 do EU AI Act: obrigações para fornecedores de modelos de IA de uso geral
- Anexo XI do EU AI Act: documentação técnica para modelos de GPAI
- Comissão Europeia: Visão geral do AI Act e orientações sobre GPAI
- Diretiva (UE) 2019/790 sobre os direitos de autor e direitos conexos no Mercado Único Digital
Aviso Legal: Este conteúdo destina-se apenas a fins informativos e não constitui aconselhamento jurídico, fiscal ou regulatório. Os requisitos de IA, direitos de autor, proteção de dados e due diligence de investidores variam por jurisdição, produto e modelo de negócio. Consulta um advogado qualificado para a tua situação.
Revisto pela Equipa Jurídica da Outlex
Última atualização: 2026-06-17
