1. Introdução

Desde 1º de setembro de 2026, vigora a Portaria SGD/MGI nº 5.921/2026, que passou a exigir autorização expressa para o uso de ferramentas de inteligência artificial pelo contratado nos contratos de operação de infraestrutura e atendimento a usuários de tecnologia da informação e comunicação. A autorização deve definir regras, limites, responsabilidades, custos e requisitos de privacidade e segurança. Sem essa previsão, a contratada não pode empregar IA por decisão própria na execução do contrato.

Essa é uma das alterações introduzidas pela Portaria SGD/MGI nº 5.921, de 22 de julho de 2026, no Modelo de Contratação de Serviços de Operação de Infraestrutura e de Atendimento a Usuários de TIC, instituído pela Portaria SGD/MGI nº 1.070/2023. A nova portaria foi publicada em julho de 2026 e entrou em vigor em 1º de setembro de 2026. Seu alcance está circunscrito, diretamente, aos órgãos e entidades integrantes do Sistema de Administração dos Recursos de Tecnologia da Informação – SISP, no âmbito do Poder Executivo federal. Não se aplica automaticamente a Estados e Municípios.

A disciplina da inteligência artificial integra uma atualização mais ampla. A Portaria também incorporou práticas de TIC Sustentável, Green IT, GreenOps e FinOps. Também flexibilizou a alocação de profissionais, condicionando eventual redução da equipe à demonstração do emprego compensatório de recursos tecnológicos e à manutenção dos níveis mínimos de serviço; e incluiu novos perfis de profissionais, como o de especialista em infraestrutura de IA.

O conjunto dessas mudanças é relevante para compreender a finalidade da nova norma. A Portaria não trata a inteligência artificial apenas como um risco a ser contido. Reconhece a IA como componente essencial da infraestrutura tecnológica a ser implantada, operada, monitorada e otimizada. Ao mesmo tempo, reserva ao órgão público a decisão sobre se, em quais condições e a que custo as ferramentas poderão ser empregadas pelo contratado. Trata-se, portanto, de uma regra de governança contratual, em que a inovação é admitida, mas não pode se dar à margem do planejamento da contratação e da fiscalização administrativa.

2. Alcance e sentido da nova disciplina

A Portaria nº 5.921/2026 altera um modelo específico de contratação. Seu objeto corresponde aos serviços de operação de infraestrutura e de atendimento a usuários de TIC no âmbito do SISP. Não se trata de uma regulamentação geral de toda e qualquer utilização de inteligência artificial pela Administração Pública federal, tampouco de uma norma aplicável, por si só, a todas as contratações de tecnologia.

A delimitação é importante. Ferramentas de IA podem ser utilizadas em atividades muito distintas: produção de textos, análise de documentos, triagem de chamados, detecção de anomalias, automação de rotinas, gerenciamento de capacidade, apoio ao diagnóstico e execução de ações sobre ambientes computacionais. A Portaria não procura classificar cada uma dessas modalidades. Em vez disso, adota uma solução contratual mais ampla. Se o uso dos sistemas de IA ocorrer no escopo dos serviços abrangidos pelo modelo, ele deve ser previamente autorizado e disciplinado nos documentos da contratação (termo de referência e contrato).

O item 8.7 do Anexo I da Portaria nº 1.070/2023, com a nova redação, estabelece que o uso de ferramentas de IA deve ser expressamente autorizado no Termo de Referência ou em instrumento de política de governança de IA do órgão, desde que essa política esteja referenciada no instrumento convocatório. Tal exigência desloca a decisão para a fase de planejamento. Não cabe ao fornecedor presumir que uma ferramenta é permitida apenas porque aumenta a produtividade ou porque já está incorporada a uma solução de mercado. A possibilidade de uso está condicionada à expressa previsão pelo órgão contratante.

Disso derivam duas consequências. A primeira é que a Administração deve decidir de modo consciente se o emprego da IA é compatível com o objeto, os riscos e os níveis de serviço pretendidos. A segunda é que o contratado precisa conhecer, antes da apresentação da proposta e da execução, as condições técnicas, jurídicas e econômicas associadas ao uso da ferramenta de IA. A autorização passa a integrar a distribuição contratual de riscos e responsabilidades.

3. O silêncio contratual não equivale a autorização

A exigência de autorização expressa afasta a possibilidade de se interpretar o silêncio como possibilidade de uso. Em contratações submetidas ao novo modelo, a ausência de previsão no Termo de Referência e a inexistência de política de governança de IA referenciada no edital significam que a contratada não dispõe, em princípio, de autorização para empregar a ferramenta na execução do objeto.

A regra é especialmente relevante porque o uso da IA nem sempre é visível para o órgão contratante. Uma solução de atendimento pode incorporar classificação automatizada de solicitações; uma plataforma pode empregar modelos para detectar comportamentos anômalos; um recurso de produtividade pode enviar dados a ambiente externo para produzir uma resposta. Em todos esses casos, o efeito contratual não depende apenas do nome comercial da ferramenta de IA utilizada. Depende da função efetivamente desempenhada, dos dados processados e de sua inserção no âmbito da execução do serviço.

Também não basta uma autorização genérica. O item 8.7.1 exige que, admitido o uso, as regras, os limites e as responsabilidades da contratada devem estar previstos no Termo de Referência, em conformidade com a Política de Governança de IA do órgão, caso exista. Os itens seguintes exigem definição clara e objetiva sobre os custos e determinação prévia dos aspectos de privacidade e segurança da informação.

Há diferença substancial entre permitir e disciplinar de modo efetivo. A cláusula que apenas permite o uso de IA, mas não informa em quais atividades a ferramenta pode ser empregada, quais dados podem ser processados, quem responde pelos resultados, que controles devem existir ou quem suporta a despesa não atende ao exigido pela norma e pode gerar questionamentos.

4. O conteúdo necessário do Termo de Referência

A nova redação do item 8.7 estabelece um núcleo mínimo de requisitos (e correspondentes decisões) que devem constar do Termo de Referência ou decorrer, nos limites admitidos pela norma, da política de governança referenciada no instrumento convocatório. Essas decisões podem ser organizadas em cinco blocos: autorização e escopo; regras e limites; responsabilidades; custos; e privacidade e segurança da informação.

4.1. Autorização e escopo

A primeira decisão é binária: o uso de ferramentas de IA será admitido ou não. Se a resposta for positiva, a autorização precisa ser relacionada ao escopo dos serviços. A Portaria não utiliza expressamente a fórmula de “atividades permitidas”, mas a definição do escopo é uma consequência necessária de uma autorização adequada e que atenda às exigências da norma. Autorizar a triagem de chamados, por exemplo, não equivale a autorizar a aplicação automática de correções em ambiente de produção.

A descrição deve considerar a criticidade da atividade, o ambiente em que ela ocorre e a influência da ferramenta sobre o resultado. Quanto maior a autonomia do sistema e o impacto potencial sobre a continuidade, a segurança ou a qualidade do serviço, maior deve ser a precisão da definição da autorização. A simples referência a “uso de IA” trata como equivalentes situações que apresentam riscos muito diferentes.

4.2. Regras, limites e responsabilidades

O Termo de Referência também deve definir as regras e os limites aplicáveis. Isso pode envolver ambientes autorizados, categorias de dados que não podem ser submetidas à ferramenta, necessidade de validação humana, manutenção de registros, restrições à integração com sistemas externos e condições para execução automatizada de ações. A Portaria não fornece uma lista taxativa. Cabe ao planejamento prévio do contratante traduzir os riscos do objeto em condições verificáveis de execução.

A responsabilidade do contratado também precisa ser prevista. A utilização de uma ferramenta de IA não afasta o dever de cumprir as obrigações assumidas, os níveis mínimos de serviço e os critérios de qualidade. O fornecedor não pode transferir ao sistema a responsabilidade por resultado incorreto, indisponibilidade ou incidente. A disciplina contratual deve deixar claro quem valida as saídas, quem pode autorizar ações sobre o ambiente e como os eventos serão registrados e comunicados.

A despeito de a supervisão dos resultados não aparecer expressamente prevista no item 8.7 como requisito autônomo, é um aspecto essencial a ser previsto. Afinal, a supervisão e fiscalização é necessária para tornar efetivas as regras, os limites e as responsabilidades definidos no Termo de Referência. Sem registro e verificação, a fiscalização terá dificuldade para demonstrar em que medida a ferramenta de IA participou da execução e se o uso permaneceu dentro da autorização concedida.

4.3. Custos

O item 8.7.2 exige que o Termo de Referência atribua, de forma clara e objetiva, os custos decorrentes do uso das ferramentas de IA ao contratado ou à contratante. A regra evita que uma decisão tecnológica tomada durante a execução produza controvérsia econômica que deveria ter sido resolvida no planejamento.

Se o custeio couber ao contratado, a formação da proposta deve considerar licenças, processamento, armazenamento, integração, monitoramento e demais recursos necessários. Se couber à Administração, o item 8.7.2.1 determina que o Termo de Referência estabeleça limites e condições de uso. Nesse caso, o consumo da ferramenta deixa de ser simples escolha operacional do fornecedor e passa a constituir variável contratual que precisa ser dimensionada e controlada antes e durante a execução contratual.

A definição dos custos também se relaciona com as novas referências a FinOps e à eficiência de recursos computacionais. O uso de modelos de IA, especialmente em infraestrutura de nuvem, pode gerar despesas variáveis. A autorização sem limites de consumo ou sem atribuição de responsabilidade econômica cria um risco de execução que pode gerar disputas durante a execução do contrato.

4.4. Privacidade e segurança da informação

O item 8.7.3 determina que os aspectos de privacidade e segurança da informação relacionados ao uso de ferramentas de IA pelo contratado sejam previamente definidos e constem expressamente do Termo de Referência, em conformidade com a Política de Segurança da Informação do órgão.

A exigência alcança questões concretas: quais dados podem ser submetidos à ferramenta de IA; onde ocorre o processamento; se as informações são armazenadas; se podem ser utilizadas para treinamento ou aperfeiçoamento do sistema; quais agentes têm acesso; como se dará a autenticação; quais registros serão mantidos; e qual procedimento será adotado em caso de incidente. Nem todas essas medidas serão necessárias em todos os contratos. Mas a avaliação deve ser feita antes do uso, e não depois de um vazamento ou de uma utilização incompatível com a finalidade contratual.

A referência expressa à política de segurança do órgão confirma que a autorização contratual não substitui as regras institucionais aplicáveis. O Termo de Referência deve compatibilizar a tecnologia escolhida e autorizada com essas regras. Não é suficiente que a ferramenta seja considerada segura de modo abstrato; é necessário que sua arquitetura e sua forma de uso sejam adequadas aos dados e aos sistemas envolvidos naquele contrato, respeitando também as previsões da LGPD e parâmetros aplicáveis de cibersegurança.

5. IA como ferramenta e como infraestrutura contratada

A Portaria contém uma dupla abordagem. De um lado, disciplina o uso de ferramentas de IA pelo contratado. De outro, inclui o perfil de Especialista em Infraestrutura de IA entre os perfis profissionais de referência. Esse profissional é responsável pela arquitetura, implantação, operação, sustentação, monitoramento e otimização de ambientes destinados à execução de soluções de inteligência artificial, aprendizado de máquina e IA generativa.

A descrição abrange infraestrutura para treinamento, ajuste fino, disponibilização e inferência de modelos, inclusive ambientes com unidades de processamento gráfico, clusters computacionais, containers, orquestradores, pipelines de MLOps e LLMOps, registradores de modelos, bases vetoriais, APIs de inferência, mecanismos de cache, observabilidade, escalabilidade e alta disponibilidade. Prevê também integração com nuvem e infraestrutura local ou híbrida e atuação conjunta com equipes de arquitetura, dados, segurança, DevOps, DevSecOps, FinOps e gestão contratual.

Essa previsão demonstra que o uso de ferramentas e sistemas de IA pode aparecer no contrato em duas posições distintas. Na primeira, é um meio utilizado pela contratada para executar uma atividade. Na segunda, a própria infraestrutura de IA integra o objeto dos serviços. As posições podem coexistir, mas não se confundem. A contratação de profissional especializado ou de infraestrutura destinada à IA não autoriza automaticamente qualquer uso de ferramentas pela contratada. A autorização e as condições do item 8.7 devem ser igualmente observadas.

A distinção também impede uma leitura da Portaria como ato meramente restritivo. O modelo reconhece a necessidade de capacidade técnica específica para operar ambientes de IA. O que se pretende evitar é que a adoção ocorra sem decisão administrativa, sem alocação clara de custos e sem controles compatíveis com os riscos derivados do uso de tais ferramentas e sistemas de IA.

6. Automação, redução de equipe e níveis de serviço

A Portaria também alterou as regras de gestão da equipe. O contratado pode promover mudanças na quantidade de profissionais alocados, desde que mantenha ao menos um profissional para cada perfil previsto na Ordem de Serviço, respeite a qualificação mínima e demonstre previamente as medidas de compensação da redução por meio do emprego de recursos tecnológicos, sem ônus adicional à contratante.

A redução somente pode ser mantida se forem comprovados o atendimento aos níveis mínimos de serviço e o cumprimento dos critérios de qualidade previstos no Termo de Referência. A automação, inclusive aquela apoiada por IA, deixa de ser argumento suficiente por si só. Deve produzir resultado mensurável e compatível com as obrigações contratuais.

Há aqui uma relação direta com a disciplina do item 8.7. Se o contratado pretender empregar inteligência artificial como medida de compensação para reduzir a equipe, a ferramenta precisa estar autorizada e submetida às regras do contrato. Além disso, a redução não pode gerar custo adicional para a Administração e permanece condicionada à qualidade da prestação. O eventual ganho de produtividade deve ser efetivamente demonstrado, que certamente irá gerar muita dificuldade e divergências e interpretação.

A combinação dessas regras evita duas circunstâncias não desejáveis. De um lado, impede que a Administração exija quantidade rígida de profissionais quando a tecnologia permite alcançar o mesmo resultado de forma mais eficiente. De outro, impede que a promessa de automação seja utilizada para reduzir recursos humanos sem prova de que os níveis de serviço serão efetivamente atendidos.

7. Contratos em vigor e a ausência de regra expressa de transição

A Portaria nº 5.921/2026 não contém regra expressa de transição para contratos celebrados antes de sua entrada em vigor. Essa ausência exige cautela. Não é possível concluir, apenas a partir do novo item 8.7, que todos os contratos existentes devam ser automaticamente alterados, nem que o uso de IA anteriormente tolerado esteja regularizado pelo silêncio dos instrumentos.

Nos novos certames e contratos abarcados pela Portaria, a solução é direta: o planejamento e o Termo de Referência devem observar a redação vigente. Para os contratos em execução, é necessário examinar o edital, o Termo de Referência, a proposta, as cláusulas contratuais, as políticas do órgão e o modo como a ferramenta é efetivamente utilizada. A providência adequada dependerá do conteúdo da mudança e de seus efeitos sobre obrigações, custos, riscos e equilíbrio contratual.

Três situações podem ser identificadas. A primeira é a do contrato silente em que não há uso de IA. Não há situação a ser corrigida, mas eventual prorrogação ou alteração relevante oferece oportunidade para adequar a disciplina, quando cabível. A segunda é a do contrato silente com uso de IA já existente. Nesse caso, a Administração precisa identificar a atividade, os dados processados, os custos, os riscos e os controles, e então decidir se o uso pode ser formalmente admitido. A ciência informal do fiscal ou a ausência de oposição não substituem a autorização que passou a ser exigida. A terceira é a do contrato que contém autorização genérica. A existência da cláusula não é por si suficiente: é preciso verificar se ela realmente define regras, limites, responsabilidades, custos e requisitos de privacidade e segurança.

A forma jurídica de eventual adequação também deve ser definida caso a caso. A Lei nº 14.133/2021 distingue alterações contratuais das situações que podem ser registradas por simples apostila (casos mais restritos previstos no art. 136). Sempre que a regularização modificar obrigações, responsabilidades, condições de execução ou distribuição de custos, será necessário termo aditivo.

8. Questões que permanecem abertas

A nova disciplina resolve a questão de quem deve decidir sobre a utilização de ferramentas e sistemas de IA, mas não elimina todas as dúvidas de aplicação.

A primeira envolve ferramentas com IA incorporada. Muitos sistemas de mercado utilizam modelos automatizados em funções acessórias, sem que o usuário possa ativá-los ou desativá-los separadamente. A Portaria não define um critério para determinar quando essa funcionalidade passa a constituir “uso de ferramenta de IA” pelo contratado. A resposta deve necessariamente considerar a função desempenhada, o tratamento de dados e a influência sobre a execução do objeto contratual.

A segunda questão diz respeito aos agentes de IA. Sistemas capazes de acessar fontes externas, acionar ferramentas e executar tarefas sobre o ambiente apresentam riscos diferentes daqueles associados a uma solução que apenas produz uma recomendação. A autorização genérica é especialmente insuficiente nesse caso. É necessário definir, quando se trata de utilizar agentes de IA, quais ações podem ser executadas, em quais ambientes, com que credenciais e sob qual forma de validação ou possibilidade de interrupção.

A terceira questão é a subcontratação e o uso de fornecedores externos. A ferramenta pode ser operada pelo contratado, mas processada por terceiro, em infraestrutura localizada fora do ambiente do órgão. A definição das responsabilidades e dos requisitos de segurança precisa alcançar toda a cadeia relevante, de modo compatível com as regras do edital, do contrato e das políticas institucionais.

A quarta questão é a definição exata da fronteira entre a política de governança de IA e o Termo de Referência. A Portaria admite que a autorização esteja em política do órgão, desde que referenciada no instrumento convocatório, mas determina que regras, limites, responsabilidades, custos e aspectos de privacidade e segurança constem do Termo de Referência nas hipóteses previstas. A rigor, a política fornece o marco institucional, já o Termo de Referência deve traduzi-lo para as condições concretas do objeto. Dificilmente, a política de governança do órgão trará previsões que abarquem todos os requisitos exigidos pela Portaria.

9. Conclusão

A Portaria SGD/MGI nº 5.921/2026 introduz uma regra simples em sua formulação, mas muito relevante em seus efeitos. A principal decorrência é que o contratado não tem autonomia para decidir se utilizará inteligência artificial na execução dos serviços abrangidos pela Portaria. A decisão pertence ao órgão contratante e deve ser expressa nos documentos da contratação.

A autorização, por sua vez, não pode ser aberta ou genérica. O Termo de Referência deve estabelecer regras, limites e responsabilidades, distribuir os custos e definir previamente os aspectos de privacidade e segurança da informação. A intensidade dos controles deve acompanhar a função exercida pela ferramenta, os dados envolvidos, o grau de autonomia e o impacto potencial sobre o serviço.

Ao criar o perfil de Especialista em Infraestrutura de IA e admitir o emprego de recursos tecnológicos para compensar alterações de equipe, a mesma Portaria reconhece a inteligência artificial como parte da evolução da infraestrutura pública de TIC. Ressalte-se que não parece haver incompatibilidade entre inovação e controle. Trata-se de assegurar que a inovação contratual seja planejada, economicamente dimensionada, tecnicamente verificável e sujeita à fiscalização da entidade contratante.

A consequência prática mais imediata consiste na necessidade de os órgãos revisarem seus modelos de Termo de Referência e suas políticas internas. Por outro lado, os fornecedores precisam tornar transparente o uso de IA em suas soluções e propostas. Nos contratos em vigor, a ausência de regra de transição recomenda análise individualizada. Em qualquer cenário, o mero silêncio ou o uso tolerado deixa de ser uma resposta suficiente e coloca tanto o contratado como o órgão contratante em situação de insegurança e possível violação da norma.