Uma política de uso de IA existe para responder, com antecedência, à pergunta que o funcionário faz na frente da tela: posso colar isto aqui? Toda política que não responde essa pergunta de forma operacional — com exemplos de dado e de ferramenta — é lida uma vez e esquecida.
O modelo abaixo tem dez seções. Para cada uma há um texto sugerido, que você pode copiar e adaptar, e um comentário explicando por que a cláusula existe e o que ela resolve. Adapte ao seu setor e valide com o jurídico antes de publicar.
Antes de escrever qualquer linha: você precisa saber o que já está em uso. Política escrita sobre ambiente não inventariado descreve a empresa que você imagina ter. Se ainda não fez o levantamento, comece por detectar o Shadow AI e volte aqui depois.
1. Objetivo e escopo
Esta política estabelece as regras para o uso de ferramentas de inteligência artificial no exercício de atividades profissionais na [EMPRESA]. Aplica-se a todos os colaboradores, estagiários, terceiros e prestadores de serviço com acesso a informações da empresa, em qualquer dispositivo — corporativo ou pessoal — quando usado para finalidade de trabalho.
Por que assim: a extensão a dispositivo pessoal é a cláusula que mais é esquecida e a que mais importa. Sem ela, a política vale apenas onde a empresa já tinha controle, e todo o uso que migrou para o celular fica fora do escopo — que é exatamente para onde o uso migra quando se bloqueia no desktop.
2. Definições
Ferramenta de IA: qualquer serviço, aplicativo, extensão ou funcionalidade que utilize modelos de inteligência artificial para gerar, transformar, classificar ou analisar conteúdo. Inclui funcionalidades de IA incorporadas a ferramentas já aprovadas.
Por que assim: a última frase evita a brecha mais comum. Quando um fornecedor já aprovado liga um recurso de IA numa atualização — transcrição de reunião, resumo de e-mail, autocompletar —, sem essa definição a política não alcança o novo tratamento, e ninguém reavalia nada.
3. Papéis e responsabilidades
A área de Tecnologia da Informação é responsável por manter o inventário de ferramentas de IA em uso e por operar os controles de detecção. A área de Privacidade/Encarregado é responsável pela avaliação de base legal e pelo registro das operações de tratamento. O gestor de cada área é responsável por conhecer as ferramentas usadas por sua equipe. Cada colaborador é responsável por observar esta política.
Por que assim:a linha do gestor é a que faz a política funcionar. Se a responsabilidade parar em “TI monitora” e “colaborador cumpre”, não existe ninguém com contexto de negócio para julgar se um uso é apropriado. O gestor é quem sabe se aquele dado podia sair da área.
4. Classificação de ferramentas
As ferramentas de IA são classificadas em três categorias: PERMITIDAS, de uso livre dentro das regras de dados desta política; RESTRITAS, cujo uso depende de autorização prévia do gestor e da área de Privacidade; e PROIBIDAS, de uso vedado. A relação atualizada está publicada em [LOCAL] e é revisada mensalmente.
Por que assim: três categorias, e não duas. A lista binária força toda ferramenta nova a ser proibida por padrão até que alguém a analise — o que, na prática, significa que as pessoas usam mesmo assim. A categoria restrita cria um caminho legítimo e rastreável para o caso intermediário.
A relação não deve morar dentro do PDF da política, e sim em um local atualizável. Política se revisa a cada seis meses; a lista de ferramentas muda toda semana. Nosso catálogo público classificado por risco pode ser usado como ponto de partida para essa relação.
5. Regras de dados — a seção que importa
É vedada a inserção, em qualquer ferramenta de IA não expressamente aprovada para tal, de: dados pessoais de clientes, colaboradores ou terceiros; dados pessoais sensíveis; credenciais, chaves ou segredos; código-fonte proprietário; informação sob acordo de confidencialidade; documentos contratuais não públicos; e informação financeira não divulgada. Na dúvida sobre a classificação de uma informação, consulte o gestor antes de inserir.
Por que assim:esta é a única seção que o funcionário vai realmente consultar, e por isso ela precisa ser uma lista de coisas concretas, não um princípio. “Não insira informações confidenciais” não ajuda ninguém a decidir: quase ninguém classifica corretamente o que tem na tela como confidencial no momento em que está com pressa.
Um teste útil ao redigir: pegue os cinco usos de IA mais comuns na sua empresa e verifique se a seção responde “pode ou não pode” para cada um sem exigir interpretação. Se exigir, a redação está abstrata demais.
6. Revisão humana e atribuição
Todo conteúdo gerado com apoio de IA deve ser revisado por pessoa responsável antes de uso externo, publicação ou incorporação a decisão de negócio. Conteúdo gerado por IA não pode ser a única base de decisão que produza efeito jurídico ou impacto significativo sobre pessoas, incluindo processos de seleção, avaliação de desempenho, concessão de crédito e atendimento prioritário.
Por que assim: a segunda frase é o art. 20 da LGPD traduzido para linguagem operacional — o direito do titular à revisão de decisões automatizadas. Ela também antecipa o núcleo do EU AI Act e da ISO/IEC 42001, que giram em torno de supervisão humana proporcional ao impacto. Escrever isso agora evita reescrever a política quando o assunto virar exigência contratual de um cliente grande.
7. Solicitação de novas ferramentas
A solicitação de uso de ferramenta de IA ainda não classificada deve ser feita por [CANAL], informando finalidade, tipo de dado envolvido e área solicitante. A avaliação será respondida em até [N] dias úteis e considerará risco de dados, jurisdição de processamento, política de uso para treinamento e existência de contrato adequado.
Por que assim: o prazo é o que determina se a cláusula funciona. Um processo sem prazo é indistinguível de uma proibição, e as pessoas contornam proibições. Se a resposta demora três semanas, a ferramenta já está em uso quando ela chegar.
8. Monitoramento e privacidade do colaborador
A empresa mantém mecanismos de detecção do uso de ferramentas de IA em ativos corporativos, com a finalidade de manter o inventário exigido por sua política de governança e conformidade. O monitoramento registra qual ferramenta foi acessada, quando e em qual estação de trabalho. A empresa não coleta o conteúdo de conversas, comandos, prompts ou arquivos enviados às ferramentas.
Por que assim: declarar o limite do monitoramento não é gentileza, é o que torna o programa aceito. Anunciar detecção sem dizer o que não é coletado gera resistência interna, comunicação paralela e, com frequência, migração do uso para dispositivo pessoal — o oposto do objetivo. Além disso, transparência sobre o tratamento dos dados do próprio colaborador é exigência do art. 9º da LGPD.
9. Descumprimento
O descumprimento desta política sujeita o colaborador às medidas disciplinares previstas no [REGULAMENTO INTERNO], proporcionais à gravidade e à reincidência. Situações identificadas serão tratadas primeiramente por orientação e correção, reservando-se medidas mais severas para casos de dolo, reincidência ou dano efetivo.
Por que assim: a segunda frase existe por razão prática, não humanitária. Uma política cujo primeiro degrau é punição transforma cada detecção em conflito, e o efeito colateral imediato é que os gestores param de reportar. O objetivo do primeiro ano de um programa desses é o mapa, não o processo disciplinar.
10. Vigência e revisão
Esta política entra em vigor em [DATA] e será revisada a cada seis meses, ou sempre que houver mudança regulatória, incidente relevante ou alteração significativa no conjunto de ferramentas em uso. Versão [X.Y], aprovada por [RESPONSÁVEL].
Por que assim:versão e data são o que permite provar, meses depois, qual regra valia quando o fato aconteceu. Sem versionamento, o registro de adesão de um colaborador não prova nada — ele concordou com “a política”, e não há como saber com qual texto.
Depois de publicar
O documento é a parte fácil. O que transforma política em conformidade demonstrável é o ciclo em volta dela:
| Etapa | O que fazer | Evidência que fica |
|---|---|---|
| Comunicar | Publicar e comunicar a todos, com destaque para a seção de dados. | Registro de envio e de leitura. |
| Colher adesão | Aceite eletrônico com data e versão do texto. | Lista de quem assinou e quem falta. |
| Treinar | Sessão curta com exemplos reais do dia a dia da empresa. | Registro de participação. |
| Monitorar | Detecção contínua do que está em uso. | Inventário atualizado. |
| Remediar | Ferramenta proibida detectada vira tarefa com dono e prazo. | Histórico de tratativas. |
| Revisar | Ciclo de seis meses ou por evento. | Histórico de versões. |
É essa coluna da direita que a auditoria pede. A política publicada responde “vocês têm regra?”; a evidência responde “a regra é seguida?” — e a segunda pergunta é a que reprova.
Cinco erros que se repetem
- Proibir tudo. Cria contradição entre documento e prática, e o documento é o que o auditor lê.
- Listar ferramentas dentro do PDF. A lista fica velha antes da política. Referencie um local atualizável.
- Escrever “não insira informação confidencial” e parar aí. Sem lista concreta, cada pessoa classifica por conta própria, com pressa.
- Não dizer o que o monitoramento não coleta. Gera resistência e empurra o uso para fora do alcance.
- Publicar sem colher adesão. Sem registro de quem leu, a empresa tem um arquivo, não uma política vigente.
Perguntas frequentes
O que deve constar em uma política de uso de IA?
No mínimo: objetivo e escopo, definições, papéis e responsabilidades, classificação de ferramentas em permitidas, restritas e proibidas, regras sobre que tipo de dado pode ser inserido, regras de revisão humana e atribuição de conteúdo gerado, processo para solicitar uma ferramenta nova, monitoramento e privacidade, consequências do descumprimento, e periodicidade de revisão.
Uma política de uso de IA precisa ser assinada pelos funcionários?
Assinatura não é exigida por lei, mas é a evidência que fecha o ciclo. Sem registro de quem leu e concordou, a empresa tem um documento publicado e nenhuma prova de comunicação — que é justamente o que auditor e frameworks como ISO/IEC 42001 pedem. Um aceite eletrônico com data e versão resolve.
A política deve proibir o uso de IA?
Não deveria. Uma política proibitiva numa empresa onde as pessoas usam IA cria contradição entre o documento e a prática — e o documento é o que o auditor lê. É mais defensável classificar ferramentas por risco, definir que tipo de dado pode entrar em cada categoria e monitorar o cumprimento.
De quanto em quanto tempo revisar a política de uso de IA?
A cada seis meses, no mínimo, e sempre que surgir uma mudança relevante: nova ferramenta amplamente adotada, mudança nos termos de um fornecedor em uso, incidente, ou alteração regulatória. O ciclo anual, herdado de políticas de segurança tradicionais, é lento demais para a velocidade em que o mercado de IA muda.