Hoje o compliance trava negócios corporativos pelo menos tanto quanto a adequação técnica, e compradores que não anteciparam essa análise costumam perder de dois a três meses no meio do funil. Boa parte desse tempo perdido pode ser evitada, mas o trabalho cabe tanto a você quanto ao fornecedor. Antecipar significa ter seis perguntas respondidas antes de fechar sua lista de fornecedores. A análise de segurança deve confirmar o que você já sabe, e não trazer descobertas.
Pergunte pelo escopo da certificação, não só pelo nome
O nome de uma certificação significa pouco sem o seu escopo. Um SOC 2 que cobre um site de marketing não é o mesmo que um SOC 2 que cobre o caminho de inferência por onde passam os dados dos seus clientes. Então, a primeira pergunta é quais certificações o fornecedor tem e o que cada uma realmente cobre.
A substituição relacionada a observar é a herança. Um fornecedor que roda em uma grande plataforma de nuvem herda muito da segurança da infraestrutura, e alguns apresentam essa postura herdada como se fosse própria. Peça o relatório de auditoria com o nome da empresa do fornecedor. Se a entidade no certificado for o provedor de hospedagem, você descobriu algo que vale a pena saber cedo.
Pergunte quando a auditoria aconteceu e quem a conduziu
Atualidade e independência importam, e cada uma pode falhar separadamente. Uma certificação vigente auditada por uma empresa sem independência real diz menos do que uma um pouco mais antiga emitida por um auditor reconhecido. Uma certificação antiga de um bom auditor mostra que o fornecedor estava em conformidade em um momento que pode ser anterior aos recursos de IA que você está comprando.
Peça a data e o auditor juntos. Fornecedores que apresentam os dois rapidamente costumam apresentar todo o resto rapidamente, o que por si só já é um sinal.
Pergunte especificamente sobre a ISO 42001
Essa é a pergunta que a maioria dos compradores deixa de fazer, principalmente porque é tão nova e incomum que muitos nem sabem que devem perguntar. Agora você sabe!
As certificações de segurança convencionais cobrem a organização. Elas confirmam que a empresa tem políticas, treina sua equipe e gerencia acessos. Nenhuma delas trata de como a IA é governada: se a recuperação de informações se baseia no seu conhecimento, se o modelo se comporta de forma previsível, se existe uma trilha de auditoria para as ações que um agente executa em uma conta de cliente.
A ISO 42001 é a norma de sistema de gestão de IA que trata exatamente disso, e um fornecedor pode ter todas as certificações convencionais sem nenhuma avaliação independente da sua governança de IA. A Maven tem 15 certificações e avaliações, incluindo ISO 42001, PCI-DSS 4.0 Level 1, SOC 2, HIPAA , e GDPR.
Pergunte como o PCI DSS funciona em uma chamada de voz ao vivo
Essa pergunta diferencia os fornecedores mais rápido do que qualquer outra, porque a voz torna a abstração concreta. Em uma ligação, o cliente vai ler o número do cartão em voz alta naturalmente ao pedir ajuda. Nenhum design de interface impede isso.
O PCI-DSS 4.0 Level 1 é o nível que se aplica a volumes de transações corporativos, e as perguntas complementares úteis tratam da mecânica. A ocultação dos dados acontece em tempo real durante a ligação ou em pós-processamento depois? São janelas de exposição diferentes, e só a primeira mantém o dado sensível totalmente fora do pipeline. Existe trilha de auditoria da própria ocultação? O processamento de pagamentos fica segmentado do restante da conversa?
Um fornecedor que responde com detalhes construiu sua plataforma especificamente para isso.
Pergunte quais opções de residência de dados realmente existem
Pergunte por região e peça detalhes, porque a terminologia aqui é imprecisa. Residência regional de dados dentro da nuvem do fornecedor, implantação em nuvem privada e implantação hospedada pelo cliente são três compromissos diferentes que muitas vezes são descritos com termos parecidos. Se o seu requisito é que o sistema rode em uma infraestrutura que você controla, diga isso com clareza e obtenha a resposta por escrito.
Pergunte se você pode fazer seu próprio teste de invasão
Combine essa pergunta com outra sobre a frequência interna, porque um fornecedor que faz testes adversariais trimestralmente tem uma prática de segurança diferente de outro que só testa quando um cliente exige.
A barra é alcançável, e superá-la cedo gera ganhos acumulados
Uma empresa de games da Fortune 500 realiza mais de 330.000 interações mensais com o agente de IA autônomo da Maven sob as restrições de um setor regulado, o que significa compliance PCI para compras dentro do jogo, além de processos de AML e KYC. Essa implementação ganhou escala em vez de travar, que é o que acontece quando a profundidade em compliance é uma exigência para a qual a plataforma foi construída, e não uma adaptação posterior.
A Clio conduziu sua avaliação da mesma forma. A empresa de software jurídico avaliou 32 fornecedores, reduziu a lista e fez uma comparação direta com mais de 10 antes de escolher a Maven. A tecnologia jurídica envolve obrigações reais de confidencialidade, e esse processo mostra como atendê-las. Hoje a Clio opera com 80% de resolução autônoma, e o suporte ao vivo responde 4x mais rápido. A Papaya Pay, sujeita a obrigações regulatórias de pagamentos, chegou a 90% de resolução autônoma em três semanas.
Em nenhum desses casos a análise de compliance transformou a implementação em um projeto de vários trimestres.
Faça isso na primeira semana
A maioria das avaliações deixa o compliance para o final. É isso que gera a perda de dois a três meses. Um fornecedor que não atende a um requisito regulatório obrigatório deve sair na primeira semana, e estas seis perguntas custam pouco para fazer já na primeira conversa.
Há um segundo motivo para fazer isso o quanto antes. As respostas sobre compliance são indicadores excepcionalmente bons da maturidade de engenharia, porque onde os dados ficam e como o sistema funciona são a mesma pergunta vista de ângulos diferentes. Respostas vagas sobre a primeira costumam indicar respostas vagas sobre a segunda.
As seis perguntas em formato resumido estão no Checklist de compliance de IA para compradores, baseado no capítulo Compliance Blind Spot do relatório State of AI in CX 2026 .
Veja nas suas próprias conversas.
Solicite uma demonstração personalizada gratuita.
