A maioria das empresas já tem colaboradores usando IA generativa todos os dias. ChatGPT, Gemini, Copilot, Claude e dezenas de SaaS com IA embarcada entraram no dia a dia sem aprovação formal, sem critério de dados e sem registro. A política corporativa de uso de IA é o controle que transforma esse uso difuso em uso governado.
Sem política, a empresa fica entre dois extremos ruins: bloquear sem orientar, o que empurra o uso para fora da rede corporativa, ou liberar sem controlar, o que expõe dados sensíveis, propriedade intelectual e cláusulas contratuais com clientes.
Qual o objetivo de uma política de uso de IA?
A política não é um documento jurídico defensivo. É uma ferramenta operacional que responde, em linguagem clara, a três perguntas que todo colaborador faz na prática:
- Posso usar IA para esta tarefa?
- Que dados posso colocar dentro da ferramenta?
- Quem precisa aprovar quando o caso de uso é novo, sensível ou crítico?
Quando essas perguntas têm resposta direta, o uso de IA cresce de forma segura. Quando não têm, o colaborador decide sozinho, geralmente otimizando para velocidade e ignorando risco.
Quais usos a política deve classificar?
Estrutura mínima recomendada, alinhada à ISO/IEC 42001 e ao EU AI Act:
Usos permitidos
- Brainstorming, rascunhos, tradução e revisão de textos não confidenciais.
- Pesquisa exploratória com dados públicos.
- Geração de código em projetos não críticos, com revisão humana obrigatória.
- Apoio a estudo, treinamento interno e síntese de documentação pública.
Usos restritos (exigem aprovação)
- Tratamento de dados pessoais de clientes, colaboradores ou terceiros.
- Processamento de informações confidenciais, financeiras ou estratégicas.
- Geração de conteúdo público em nome da empresa.
- Integrações de IA em produtos ou serviços oferecidos ao mercado.
- Uso de agentes autônomos com permissão para executar ações.
Usos proibidos
- Inserir dados pessoais sensíveis (saúde, biométricos, financeiros) em ferramentas públicas.
- Submeter código proprietário a modelos que treinam com input do usuário sem opt-out.
- Substituir revisão humana em decisões com efeito jurídico ou impacto significativo.
- Usar IA para vigilância individual sem base legal e política específica.
- Adotar ferramentas de IA sem passar pelo processo de avaliação de fornecedores.
A política deve ser específica o suficiente para que o colaborador consiga decidir sozinho 80% dos casos, sem precisar abrir chamado.
O que precisa estar escrito na política?
1. Escopo e papéis
A quem se aplica (colaboradores, estagiários, terceiros, fornecedores), quem é o responsável pela política (geralmente comitê de governança de IA), quem aprova exceções e quem responde por incidentes.
2. Dados pessoais e LGPD
Regras claras sobre o que pode ou não ser submetido a ferramentas de IA. Conexão com a LGPD aplicada à IA: base legal, finalidade, minimização e direitos dos titulares quando há decisão automatizada.
3. Propriedade intelectual e confidencialidade
O que conta como dado confidencial, como tratar segredos comerciais, código-fonte e materiais de clientes. Regra prática: se você não compartilharia em um e-mail externo, não compartilhe em prompt.
4. Ferramentas autorizadas e processo de avaliação
Lista atualizada das ferramentas aprovadas, com canal para solicitar avaliação de novas ferramentas. A avaliação deve passar por TI, jurídico e segurança e considerar critérios de due diligence de fornecedores de IA.
5. Copilotos internos e modelos próprios
Regras específicas para uso de copilotos integrados a sistemas internos (e-mail, CRM, ERP, código). Esses casos exigem governança extra porque o modelo tem acesso a dados corporativos por padrão.
6. Aprovação de novos casos de uso
Processo leve e auditável: formulário curto, classificação de risco, parecer técnico e jurídico, decisão registrada. Sem isso, todo caso novo vira projeto paralelo sem evidência.
7. Responsabilidades por área
RH responde pela aplicação disciplinar. Jurídico pela leitura regulatória. TI e Segurança pelos controles técnicos. Negócio pelo caso de uso. Comitê de governança consolida.
8. Treinamento e conscientização
Trilhas obrigatórias por perfil: liderança, áreas técnicas, força de trabalho geral. Veja conscientização em IA.
9. Monitoramento e evidência
Como o uso é registrado, quem revisa indicadores e como incidentes são reportados. Sem evidência documentada, a política existe no papel mas não é defensável diante de auditoria ou regulador.
Checklist prático para publicar uma política de IA
- Há definição clara de usos permitidos, restritos e proibidos?
- Há regra explícita sobre dados pessoais e confidenciais?
- Existe lista de ferramentas autorizadas, mantida e revisada?
- Há processo formal de avaliação de novas ferramentas?
- Há critério para uso de IA em decisão automatizada?
- Há plano de resposta a incidentes envolvendo IA?
- Há trilha de treinamento por perfil?
- Há indicadores e revisão periódica da política?
- A política está em linguagem acessível, não só jurídica?
- A liderança executiva assinou e comunicou formalmente?
Erros comuns que tornam a política inútil
- Texto genérico copiado de templates internacionais, sem conexão com a operação.
- Lista de ferramentas que nunca é atualizada e fica defasada em três meses.
- Falta de canal claro para o colaborador pedir aprovação rápida.
- Sanções desproporcionais que empurram o uso para fora da rede corporativa.
- Política publicada sem treinamento, sem comunicação e sem dono.
FAQ
Toda empresa precisa de política de uso de IA?
Qualquer empresa cujos colaboradores tenham acesso a IA generativa, mesmo gratuita, precisa de política. Em setores regulados, é também exigência crescente de clientes e auditores.
A política precisa ser longa?
Não. Recomendamos um documento curto, direto e operacional. Detalhamentos técnicos vão em procedimentos específicos referenciados pela política.
Quem deve aprovar a política?
O comitê de governança de IA ou, na sua ausência, a diretoria executiva. A formalização cria responsabilidade clara e evidência de governança.
Como conectar a política a ISO 42001 e ao EU AI Act?
A política é um dos documentos centrais do AIMS (ISO 42001) e parte da evidência exigida pelo EU AI Act para sistemas implantados. Veja ISO 42001 passo a passo.
Com que frequência revisar?
No mínimo anual, ou sempre que houver mudança regulatória relevante, novo fornecedor crítico ou incidente. A revisão deve ser documentada.
Conteúdo produzido pela equipe da VGrid, consultoria brasileira especializada em monitoramento corporativo, insider risk, DLP, governança operacional e conformidade.