Será que nossos engenheiros armênios podem usar ferramentas de IA em um projeto de cliente? Contratos, dados e aquisições

Geralmente sim, dentro dos limites estabelecidos no contrato com o cliente antes da entrada em vigor da lei armênia: se o contrato tratar o código-fonte como confidencial, controlar subcontratados ou especificar onde o trabalho pode ser realizado, um assistente de codificação por IA que envia instruções aos servidores de um provedor pode violá-lo na primeira solicitação. A lei armênia adiciona então duas camadas: as regras de direitos autorais, que decidem se o código assistido por IA pode ser de propriedade e cedido, e as regras de dados pessoais, que se aplicam no momento em que os dados do cliente chegam à ferramenta.

O que os contratos com os clientes dizem sobre assistentes de codificação de IA

A maioria dos acordos de desenvolvimento assinados antes de 2023 não menciona a IA. Eles ainda a regulamentam por meio de quatro cláusulas comuns.

Confidencialidade

Uma solicitação contendo o código do cliente é enviada ao provedor de IA, uma empresa terceirizada. Se o código for informação confidencial de acordo com o contrato, isso configura uma divulgação. A legislação civil armênia aponta na mesma direção: um contratado sob um contrato de trabalho não pode divulgar informações técnicas recebidas do cliente sem o consentimento deste, e informações mantidas em sigilo por seu valor comercial são protegidas como segredo comercial. Se um envio específico viola essas regras depende do que foi enviado e dos termos do provedor.

Cláusulas expressas de IA e políticas de fornecedores

Grandes compradores estão cada vez mais incluindo regras de IA em seus programas de fornecedores. Três exemplos publicados ilustram essa variedade:

• A política da Intel para fornecedores de IA generativa (julho de 2023) proíbe a inserção de informações confidenciais da Intel, incluindo código de software e dados pessoais, em ferramentas de IA generativa.
• A Política de IA para Fornecedores da Cisco (abril de 2025) exige a permissão da Cisco antes que seus dados protegidos sejam usados ​​para treinar, retreinar ou aprimorar um modelo de IA; essa permissão normalmente tem validade de um ano.
• Os Requisitos de Proteção de Dados de Fornecedores da Microsoft, versão 12 (março de 2026), exigem notificação prévia aos subcontratados, aprovação de transferências internacionais de dados pessoais da Microsoft e adicionam uma seção separada para fornecedores que usam ou fornecem sistemas de IA.

Esses são requisitos do cliente e vinculam apenas os fornecedores que os aceitam. Eles representam uma prévia confiável das perguntas que seus próprios clientes farão.

Subcontratadas

A classificação de um fornecedor de IA como subcontratado depende da definição contratual do termo. Quando o contrato o define, as cláusulas de repasse geralmente exigem que o fornecedor aceite termos pelo menos tão protetivos quanto os seus, e os grandes fornecedores de IA raramente assinam termos personalizados. Leia a definição antes de presumir que a ferramenta está fora do escopo do contrato.

Locais permitidos

Uma cláusula que permite o desenvolvimento na Armênia abrange a localização dos seus engenheiros. O provedor de IA processa e pode armazenar solicitações em seus próprios data centers, geralmente nos Estados Unidos ou na UE. Essas são duas questões distintas, e a segunda é aquela que as equipes de segurança dos clientes agora questionam.

A permissão para usar uma ferramenta e a permissão para inserir informações do cliente nela são distintas. A promessa do fornecedor de que não realiza treinamentos com base em instruções é uma condição do seu contrato de licença com ele. A cláusula de confidencialidade devida ao seu cliente é atendida pelo consentimento deste ou por uma cláusula contratual que permita o uso da ferramenta.

Criar uma matriz de permissões por cliente

Cada contrato de cliente gera uma resposta diferente, portanto, a ferramenta de trabalho consiste em uma linha por cliente, preenchida com base no contrato e em quaisquer políticas do fornecedor que ele inclua. Uma versão minimalista:

Revise uma linha sempre que adicionar uma ferramenta, o fornecedor alterar seu modelo ou seus próprios subprocessadores, ou a equipe começar a usar IA para uma nova tarefa, como a geração de dados de teste. Cada uma dessas situações pode estar fora do escopo da aprovação concedida para a configuração original.

A política de ferramentas aprovadas: o que incluir nela.

A matriz define o que cada cliente permite. A política orienta os engenheiros sobre como trabalhar dentro dela:

• Níveis de ferramentas: Contas empresariais aprovadas, ferramentas permitidas apenas para trabalho interno ou de código aberto e ferramentas proibidas, incluindo contas pessoais em qualquer serviço.
• Classes de dados: O que nunca deve constar em um prompt (dados pessoais do cliente, credenciais, chaves, código marcado como confidencial) e o que pode constar, de acordo com a linha do cliente na matriz.
• Configurações de Conta: A opção de desativação do treinamento, o período de retenção e a região são configurados centralmente para que os engenheiros individualmente não possam alterá-los.
• Rota de aprovação: Quem adiciona uma ferramenta e quem verifica a matriz antes do início de um projeto.
• Revisão dos resultados: Revisão de código e verificação de licenças para sugestões de IA, visto que um assistente pode reproduzir código de terceiros.
• Incidentes: O que um engenheiro faz depois de colar a peça errada, e quem decide se o cliente ou as autoridades devem ser informados?

Para vincular a equipe, adote a política como um documento interno da empresa e faça com que cada engenheiro a reconheça por escrito; nosso trabalho de conformidade trabalhista abrange a implementação de normas internas. Quando os engenheiros são contratados por meio de uma empresa de registro de emprego (EOR), esta é a empregadora legal, portanto, a política deve chegar até eles por meio do contrato com a EOR e sua respectiva empresa.

Quem detém os direitos sobre os resultados gerados por IA?

De acordo com a Lei de Direitos Autorais da Armênia (HO-142-N), o autor é a pessoa física que criou a obra, e um programa de computador é protegido se for o resultado original do trabalho criativo do autor. A lei exclui expressamente resultados obtidos por meios técnicos sem atividade criativa humana. Portanto, o código gerado inteiramente por uma ferramenta de IA não possui direitos autorais que possam ser detidos ou cedidos, enquanto o código escrito por um engenheiro usando IA como ferramenta pode ser protegido. Ainda não foi testado o quanto de intervenção, seleção ou edição transforma a saída da IA ​​em código protegido: não foram encontradas decisões judiciais armênias ou orientações oficiais sobre obras geradas por IA.

Para código protegido, aplica-se a cadeia de titularidade usual:

• funcionários: Os direitos patrimoniais relativos ao trabalho realizado no âmbito das funções laborais pertencem ao empregador, salvo disposição contratual em contrário. Os direitos morais permanecem com o engenheiro e não podem ser transferidos.
• Empreiteiros: Nada se justifica por lei. É necessário um contrato por escrito. Sem uma redação clara, uma licença nos termos do Código Civil não é exclusiva, abrange apenas a Armênia e tem validade de cinco anos, mesmo sem prazo estipulado.
• Remuneração: Uma cláusula em que o autor renuncia ao direito à remuneração é nula.

A cláusula de cessão de propriedade intelectual do cliente só pode transferir o que sua empresa detém. Se um produto final contiver código gerado por máquina ou código copiado por um assistente de um projeto de terceiros, a garantia de titularidade em seu contrato pode estar incorreta, mesmo que todos os engenheiros tenham assinado os documentos corretos. Nossa auditoria de propriedade intelectual de software define como verificar a cadeia de propriedade intelectual desde o engenheiro até a empresa.

Dados pessoais: o que acrescenta a lei armênia

Se as solicitações contiverem dados pessoais do cliente (registros de usuários, logs com nomes ou e-mails, extratos de banco de dados de produção usados ​​como dados de teste), a Lei de Proteção de Dados Pessoais (HO-49-N) se aplica ao upload.

Seu papel e o mandato

Uma empresa armênia que processa dados sob as instruções de um cliente é normalmente considerada uma "pessoa autorizada", semelhante a um processador de dados nos termos do RGPD (Regulamento Geral de Proteção de Dados). O mandato do cliente deve ser por escrito e especificar a base legal, a finalidade, as categorias de dados e os titulares dos dados, os possíveis destinatários e as medidas de proteção. Se o mandato não estiver em conformidade com a lei, a empresa deve recusar o processamento e notificar o cliente por escrito. O carregamento de dados para uma ferramenta de IA que não esteja contemplada no mandato configura um processamento que não se enquadra nessa definição.

Fundamento jurídico e minimização

O processamento de dados requer o consentimento do titular, um consentimento presumido previsto em lei ou uma justificativa legal expressa. A legislação armênia não possui uma justificativa geral de interesse legítimo, e os dados não podem ser usados ​​para uma finalidade diferente daquela para a qual foram coletados. Se a tarefa puder ser realizada com dados anonimizados, o processamento de dados identificáveis ​​é proibido; a simples exclusão de nomes pode não anonimizar um registro que ainda identifique alguém indiretamente.

Transferências para um fornecedor de IA no exterior

O envio de dados pessoais para servidores fora da Armênia é uma transferência transfronteiriça. Não é necessária autorização quando o destino oferece proteção adequada, seja por meio de um tratado internacional ou por constar na lista de países adequados da Agência de Proteção de Dados Pessoais. Caso contrário, a transferência só poderá ser realizada com a autorização prévia da Agência, mediante um contrato com salvaguardas aprovadas por ela. A solicitação deve ser feita por escrito antes da transferência e deve especificar o país, o destinatário, os dados e a finalidade; a Agência decide em até 30 dias. O consentimento do titular dos dados não substitui essa autorização, e um adendo padrão de processamento de dados de um provedor de IA não constitui uma aprovação da Agência.

A Agência aprovou sua lista de adequação em dezembro de 2025. Os países abrangidos e, em particular, como ela trata os Estados Unidos, onde a maioria dos assistentes de codificação por IA processa os comandos, estão sendo confirmados com base na decisão publicada pela Agência. Portanto, verifique a região de processamento do provedor em relação à lista atual antes de utilizá-lo.

Segurança e incidentes

A lei exige que você destrua ou bloqueie os dados que não precisa mais, proteja os dados com criptografia, restrinja o acesso a usuários autorizados e mantenha os dados confidenciais durante e após o término do vínculo empregatício. Em caso de vazamento de dados de um sistema eletrônico, o responsável pelo tratamento deve anunciá-lo publicamente de imediato e comunicá-lo à polícia e à Agência simultaneamente; não há prazo de 72 horas nem limite de risco. O processamento ilegal descoberto deve ser corrigido em até 3 dias úteis, ou os dados devem ser destruídos e o titular dos dados informado. Ainda não foi definido se a inserção não autorizada de dados em uma ferramenta de IA configura um vazamento ou um processamento ilegal.

A Lei de Segurança Cibernética (HO-442-N), em vigor desde 4 de janeiro de 2026, impõe obrigações aos operadores em setores vitais, incluindo TI e infraestrutura digital, e geralmente exclui micro e pequenas empresas, a menos que operem infraestrutura crítica. Ela não contém uma proibição geral ao envio de código para serviços de IA. Se os dados de seus clientes incluírem dados de residentes da UE, o GDPR poderá ser aplicável juntamente com a legislação armênia.

Evidências para respostas de aquisição

Uma equipe de segurança solicitará documentos. O conjunto que responde à maioria das perguntas de IA:

• a política de ferramentas aprovadas e um registro de ferramentas em uso, com tipo de conta e configurações;
• a linha do cliente na matriz de permissões e quaisquer aprovações por escrito nas quais ela se baseia;
• Registros de treinamento de pessoal e reconhecimento de políticas;
• os termos contratuais dos fornecedores de IA relativos à formação, retenção e local de processamento, com qualquer autorização da Agência para transferências;
• Um diagrama de fluxo de dados mostrando o que sai da sua rede e para onde vai;
• sua lista de subcontratados e registro de incidentes;
• um certificado ISO 27001, caso você o possua. A Microsoft, por exemplo, aceita um certificado ISO 27001 válido em substituição apenas da sua seção de segurança; seus requisitos de tratamento de dados e IA continuam válidos.

O questionário mais abrangente está incluído em nossa lista de verificação de questionário de segurança para fornecedores armênios . Primeiro, crie a linha da matriz para cada cliente a partir do contrato; ative as ferramentas para o projeto desse cliente somente depois que a linha estiver preenchida e qualquer aprovação necessária estiver arquivada.

Perguntas frequentes

Última atualização: 13 outubro 2026