O que aconteceu?
Em 30 de setembro de 2026, o Plenário do TCU aprovou uma auditoria operacional sobre planejamento, contratação e gestão de inteligência artificial generativa na Administração Pública Federal. O Acórdão 2.658/2026, processo TC 019.471/2026-2, tem relatoria do ministro Augusto Nardes.
A fiscalização examinará riscos de IA consumida dentro de contratos de computação em nuvem, inclusive por intermediários conhecidos como cloud brokers. Nesse modelo, o pagamento pode ser associado a tokens processados, créditos de nuvem ou chamadas de API. A materialidade estimada de R$ 340 milhões corresponde ao volume selecionado para fiscalização, não a dano apurado.
O levantamento preliminar referido no acórdão identificou, desde janeiro de 2025, 686 contratações federais com menção a IA, das quais 75 tinham objeto dedicado à tecnologia, e mais de duas mil contratações de nuvem. Os quantitativos não provam que as demais contratações contenham IA oculta ou irregular.
Por que a IA dentro do catálogo de nuvem exige atenção?
Se finalidade, unidade de medição e limites não estiverem claros, pode ser difícil identificar qual serviço foi utilizado, quem autorizou o consumo e como a cobrança foi calculada. Também importa saber quais dados foram processados, se houve retenção ou processamento no exterior, como conferir a qualidade e como interromper ou substituir o serviço.
Quem pode ser afetado?
- Órgãos e entidades que contratam computação em nuvem.
- Municípios que pretendem utilizar chatbots, análise documental ou automação.
- Equipes de tecnologia, compras, jurídico, controle interno e proteção de dados.
- Empresas de nuvem, software, integração e modelos de IA.
- Licitantes e subcontratados envolvidos na execução.
- Servidores e cidadãos cujos dados possam ser processados.
- Gestores e fiscais responsáveis pelas medições e pagamentos.
A auditoria aprovada é federal. Não se deve tratar suas futuras conclusões como determinação automaticamente dirigida a todos os estados e municípios. A revisão preventiva de contratos semelhantes é uma recomendação editorial, não uma obrigação geral criada por esse acórdão.
Quais direitos, deveres e riscos estão envolvidos?
Obrigação legal: a Lei nº 14.133/2021 alcança contratações de tecnologia da informação e comunicação dentro de seu âmbito de aplicação. O artigo 18 disciplina o planejamento preparatório, incluindo necessidade, objeto, estimativas e condições de execução. O artigo 169 exige gestão de riscos e controle preventivo.
O regime deve ser identificado em cada contratação: empresas públicas e sociedades de economia mista são, em regra, regidas pela Lei nº 13.303/2016, e não pela Lei nº 14.133/2021. Normas específicas também podem ser aplicáveis.
Aplicação ao contexto de IA: a documentação deve permitir avaliar demanda, preço, medição, fiscalização, responsabilidades e continuidade. A relação entre IA e outros serviços precisa ser compreendida antes de definir o objeto e o modo de contratação.
Quando houver dados pessoais, a LGPD exige finalidade pública e vinculação às competências legais do órgão, conforme o artigo 23. O artigo 46 prevê medidas técnicas e administrativas de segurança desde a concepção do serviço.
Depende do caso: os papéis da empresa fornecedora e do órgão no tratamento de dados devem refletir suas decisões efetivas, não apenas os rótulos do contrato.
Quais são os principais riscos?
- Objeto genérico, sem identificação do recurso de IA e de sua finalidade.
- Cobrança variável sem memória verificável de consumo.
- Demanda estimada sem documentação suficiente.
- Custos afetados por câmbio ou mudanças de catálogo.
- Uso de dados para finalidades incompatíveis.
- Retenção de comandos e documentos pelo provedor.
- Processamento no exterior sem a análise jurídica correspondente.
- Falta de registros das ações automatizadas.
- Respostas inexatas utilizadas sem revisão humana adequada.
- Dificuldade de exportar dados ou substituir o fornecedor.
- Subcontratação pouco transparente.
- Permissões excessivas de acesso aos sistemas públicos.
Esses fatores demandam avaliação; sua presença não prova automaticamente ilegalidade. Importam o edital, o contrato, a execução, a materialidade e os controles adotados.
Quais documentos e registros preservar?
Conforme as responsabilidades e o regime aplicável, órgãos e fornecedores devem organizar os documentos que sustentam o planejamento, a execução e a fiscalização:
- Formalização da demanda, estudo técnico preliminar e termo de referência.
- Pesquisa de preços e memória de cálculo.
- Avaliação de alternativas e registro ou matriz de riscos, quando aplicável.
- Edital, proposta, contrato e aditivos.
- Catálogos vigentes em cada período e composição das unidades de consumo.
- Relatórios de tokens, créditos, APIs e serviços utilizados.
- Ordens de serviço, autorizações, medições e atestes de pagamento.
- Registros de acesso, comandos e ações, conforme disponibilidade e regras de retenção.
- Critérios de aceite, relatórios de qualidade e desempenho.
- Relação de fornecedores e subcontratados.
- Avaliações de segurança, proteção de dados e decisões humanas relevantes.
- Comunicações sobre incidentes, falhas e indisponibilidade.
- Notas fiscais e registros de faturamento.
A preservação deve respeitar sigilo, classificação das informações e proteção de dados. Transparência não significa publicar credenciais, comandos sensíveis ou detalhes que comprometam a segurança.
Medidas preventivas
Recomendações de governança: antes de contratar ou ampliar uma solução, avalie:
- Descrever a necessidade pública antes de escolher a tecnologia.
- Identificar separadamente os recursos de IA dentro do catálogo de nuvem.
- Definir métricas compreensíveis de consumo, qualidade e disponibilidade.
- Estabelecer limites financeiros e alertas para consumo atípico.
- Designar quem autoriza novos modelos e integrações.
- Prever registros para verificação técnica e financeira.
- Testar com dados fictícios ou informações controladas.
- Mapear dados pessoais, sigilosos e estratégicos.
- Prever revisão humana proporcional ao impacto das decisões.
- Estabelecer suspensão, reversão e encerramento do serviço.
- Disciplinar portabilidade, devolução e eliminação dos dados.
- Revisar periodicamente riscos, preços e resultados.
A configuração adequada depende do serviço público, do volume contratual e do impacto. Essa lista não constitui determinação geral do TCU.
Providências administrativas e extrajudiciais
A primeira providência em um contrato já executado não precisa ser suspensão automática. Uma revisão documentada pode identificar recursos de IA ativos, participação no faturamento, usuários, consumo autorizado e funcionamento dos controles.
O fiscal pode solicitar demonstrativos e esclarecimentos compatíveis com o contrato. Questões sobre dados, integrações e riscos podem exigir participação conjunta de jurídico, tecnologia, proteção de dados e controle interno.
O fornecedor deve manter rastreabilidade e cumprir os deveres de informação previstos no contrato. Mudanças relevantes, subcontratações e critérios de medição precisam ser tratados com a transparência exigível.
Qualquer modificação contratual depende dos limites e procedimentos legais. Uma necessidade mal definida não autoriza alteração informal do objeto.
Quando avaliar medidas de controle ou judiciais?
O artigo 170, § 4º, da Lei nº 14.133/2021 prevê representação aos órgãos de controle sobre irregularidades na aplicação da lei. O uso dessa via deve ser apoiado em fatos e documentação.
Impugnação do edital, recurso administrativo, acesso à informação ou comunicação ao controle interno podem ser caminhos adequados, conforme a fase e os fatos. Medida judicial depende de ilegalidade concreta, risco e adequação processual. A decisão de auditar, isoladamente, não gera direito automático à suspensão da licitação.
Quando buscar orientação jurídica individual?
- O edital utiliza créditos de nuvem sem esclarecer a IA disponível.
- Não é possível estimar ou conferir o consumo.
- Há dados pessoais ou documentos sigilosos.
- O provedor pretende reutilizar entradas para treinar modelos.
- Existem subcontratados ou processamento no exterior.
- Preços ou funcionalidades mudam durante a execução.
- Há dúvida sobre aditamento ou alteração do objeto.
- Faltam registros para reconstruir ações automatizadas.
- Foi identificado incidente ou questionamento do controle.
Perguntas frequentes
O TCU proibiu IA em contratos de nuvem?
Não. O acórdão aprovou uma auditoria e não contém proibição geral da tecnologia.
O valor de R$ 340 milhões representa superfaturamento?
Não. É a materialidade estimada para a fiscalização, não um dano apurado.
Todo recurso de IA exige licitação separada?
Essa não é uma conclusão do acórdão. A solução depende do planejamento, da relação entre serviços e da definição adequada do objeto.
Um município precisa interromper o chatbot?
Não automaticamente. É recomendável revisar finalidade, contratação, dados, acessos, consumo e supervisão conforme o contexto.
A cobrança por tokens é proibida?
Não por si só. A cobrança precisa ser compreensível, mensurável, fiscalizável e compatível com o contrato.
A LGPD impede o uso de IA pelo Poder Público?
Não. O tratamento deve observar os requisitos legais, incluindo finalidade pública, necessidade, segurança e direitos dos titulares.
A auditoria já concluiu que houve irregularidades?
O acórdão abordado aprova a fiscalização. Não apresenta achados definitivos de irregularidade nos contratos selecionados.
Conclusão
A IA não deve se tornar invisível ao planejamento e à fiscalização por estar dentro de um catálogo de nuvem. Órgãos e fornecedores precisam de documentação que permita compreender serviços, consumo, dados e resultados. A revisão preventiva é uma oportunidade de governança, sem antecipar conclusões da auditoria.
Fontes oficiais
- TCU — Acórdão 2.658/2026-Plenário, TC 019.471/2026-2, relator Augusto Nardes, sessão de 30/09/2026.
- Lei nº 14.133/2021 — âmbito, planejamento e controle.
- LGPD — tratamento pelo Poder Público e segurança.
Apuração: 7 de outubro de 2026.
Leia também
- LGPD em licitações e contratos públicos
- Cláusulas de proteção de dados em contratos
- Limites de acesso de agentes de IA
- Governança jurídica de IA
Análise jurídica de contratos e governança de IA
A orientação individual considera o regime aplicável, a documentação e as atividades concretas de órgãos e fornecedores.
Solicitar consulta jurídica