Toda empresa que me chama para falar de segurança em IA está em um de dois extremos: ou não tem regra nenhuma (e cada um improvisa) ou tem um PDF de 30 páginas vindo do jurídico (que ninguém leu, inclusive quem aprovou). Os dois falham pelo mesmo motivo: não respondem, na hora da dúvida, às perguntas que as pessoas realmente têm.
Uma boa política de uso seguro de IA cabe numa página. E só precisa responder a quatro perguntas.
1. O que pode
Comece pelo permitido: política que só proíbe empurra o uso para o escondido. Em geral, estão liberados:
- rascunhos de textos, e-mails e apresentações com informações internas não sensíveis;
- resumos e traduções de materiais já acessíveis ao time;
- pesquisa e comparação de fontes públicas;
- geração de ideias, estruturas e primeiras versões de análises.
2. O que não pode
Aqui a lista precisa ser curta e memorável: são os “nuncas”:
- dados pessoais de clientes ou funcionários (principalmente dados sensíveis) em ferramentas sem contrato corporativo;
- informações sob sigilo: contratos, resultados não divulgados, estratégia comercial;
- credenciais, chaves de acesso e código com segredos;
- qualquer conteúdo cujo vazamento viraria manchete ou processo.
3. O que exige revisão humana
A zona cinzenta é onde a política ganha a vida. A regra simples que funciona: tudo que sai com o nome da empresa ou muda a vida de alguém passa por revisão humana: propostas comerciais, comunicados, números em relatórios, análises de pessoas. A IA rascunha; uma pessoa responde pelo resultado.
4. Quais ferramentas são aprovadas
Liste as ferramentas oficiais, com conta corporativa e uso de dados para treinamento desativado, quando disponível, e o que fazer com o resto. Ferramenta não aprovada não é “proibida para sempre”: é “ainda não avaliada”, com um caminho claro para pedir avaliação. Isso evita o efeito proibição, que detalhei no artigo sobre shadow AI, o uso invisível de IA pelas equipes.
O modelo, seção por seção
Este é o esqueleto que uso para escrever a política. A regra de ouro do preenchimento: exemplos da sua empresa, na coluna da direita. Política copiada de outra organização proíbe o que não é o seu risco e libera o que é.
Política de uso de IA em uma página
O esqueleto que uso para escrever a política que as pessoas realmente leem. Preencha a coluna da direita com exemplos da SUA empresa: política copiada de outra organização proíbe o que não é o seu risco e libera o que é.
| Seção | O que responde | Como preencher | Erro comum |
|---|---|---|---|
| Pode | Usos liberados sem pedir autorização | Liste tarefas, não ferramentas: rascunho, resumo, tradução, pesquisa | Começar pela proibição, o que empurra o uso para o escondido |
| Não pode | Os “nuncas”, curtos e memoráveis | Dado pessoal e sensível, sigilo, credenciais, código com segredo | Lista longa que ninguém lembra na hora da dúvida |
| Revisão humana | O que não sai sem alguém responder por ele | Tudo que leva o nome da empresa ou afeta a vida de alguém | Deixar a zona cinzenta sem regra |
| Ferramentas | Quais contas são oficiais | Nome, tipo de conta e se o uso para treinamento está desligado | Tratar não aprovada como proibida para sempre, em vez de "ainda não avaliada" |
| Dúvida | A quem recorrer, com prazo | Pessoa ou canal, e quanto tempo para responder | Não nomear ninguém; a dúvida sempre aparece |
| Versão | Quando isto foi revisado e por quem | Versão, data, responsável e data da próxima revisão | Documento sem data, que envelhece sem ninguém notar |
Exemplo de preenchimento da linha “Ferramentas”: “ChatGPT Business (conta corporativa, treinamento com nossos dados desligado) para texto e análise sem dado pessoal; Copilot no repositório X; qualquer outra ferramenta é ‘ainda não avaliada’. Peça avaliação no canal #ia-duvidas, resposta em até 5 dias úteis.”
- Uma página, na língua das pessoas, publicada onde o trabalho acontece, não em anexo de e-mail.
- Revisão trimestral: ferramentas e riscos mudam rápido demais para documento anual.
- Pontos de LGPD e contrato com fornecedor merecem revisão do jurídico ou do DPO; este modelo é operacional, não parecer.
abre no Excel, Sheets ou Numbers
Ver o CSV
Seção,O que responde,Como preencher,Erro comum
Pode,Usos liberados sem pedir autorização,"Liste tarefas, não ferramentas: rascunho, resumo, tradução, pesquisa","Começar pela proibição, o que empurra o uso para o escondido"
Não pode,"Os “nuncas”, curtos e memoráveis","Dado pessoal e sensível, sigilo, credenciais, código com segredo",Lista longa que ninguém lembra na hora da dúvida
Revisão humana,O que não sai sem alguém responder por ele,Tudo que leva o nome da empresa ou afeta a vida de alguém,Deixar a zona cinzenta sem regra
Ferramentas,Quais contas são oficiais,"Nome, tipo de conta e se o uso para treinamento está desligado","Tratar não aprovada como proibida para sempre, em vez de ""ainda não avaliada"""
Dúvida,"A quem recorrer, com prazo","Pessoa ou canal, e quanto tempo para responder","Não nomear ninguém; a dúvida sempre aparece"
Versão,Quando isto foi revisado e por quem,"Versão, data, responsável e data da próxima revisão","Documento sem data, que envelhece sem ninguém notar"Uso livre dentro da sua empresa, com crédito quando publicar. Não substitui orientação jurídica.
Como colocar em prática (sem travar o time)
- Uma página, na língua das pessoas, com exemplos reais da empresa, não juridiquês;
- Publicada onde o trabalho acontece e repetida no onboarding;
- Revisão trimestral: ferramentas e riscos mudam rápido demais para documento anual;
- Nasce junto do programa de adoção, não num comitê separado, segurança como pré-condição, como escrevi no guia de como começar a adoção de IA na empresa.
Os pontos de dados pessoais, contrato com fornecedor e decisão automatizada têm capítulo próprio em LGPD e IA generativa: o que decidir antes de liberar o uso. Vale ler antes de fechar a seção “não pode”.
Os erros mais comuns
- copiar a política de outra empresa (os “nuncas” dela não são os seus);
- proibir tudo e declarar vitória, o uso continua, só que invisível;
- escrever uma vez e nunca revisar;
- não dizer a quem recorrer na dúvida, e a dúvida sempre aparece.
Perguntas frequentes
Política de uso de IA precisa de advogado?
Para revisar pontos de LGPD e contratos com fornecedores, vale a consulta. Mas o documento do dia a dia, o que pode e o que não pode, deve nascer da operação e ser escrito na língua do time, não do jurídico.
Qual a diferença entre política de IA e política de segurança da informação?
A de segurança cobre dados e sistemas em geral; a de IA responde a perguntas novas: posso colar este texto num chatbot? Posso usar a resposta numa proposta? Quais ferramentas são oficiais? Uma complementa a outra, e a de IA deve ser curta e prática.
Como garantir o cumprimento sem vigiar funcionário?
Com desenho, não com vigilância: ferramentas oficiais com conta corporativa, treinamento com casos reais, revisão humana nos pontos sensíveis e um canal para dúvidas. Política que depende de fiscalização individual já nasceu perdida.
Próximo passo
Se você quer uma política de uso de IA desenhada para a realidade da sua empresa, junto com o programa de adoção, fale comigo em ativos de enablement ou pelos canais de contato.