Um assistente interno de compliance é um chat que responde perguntas dos funcionários sobre as políticas da empresa (brindes, conflito de interesses, relação com agentes públicos, uso de dados, viagens) citando sempre o trecho da política que embasa a resposta, e que encaminha para a área de compliance tudo o que for dúvida fora da base, caso concreto ou possível denúncia. Para montar um, você precisa de seis peças: inventário das políticas, base de conhecimento com busca (RAG), controle de acesso, regras de resposta com citação, fluxo de escalonamento e registro auditável das conversas, tudo dentro da LGPD.
Este guia mostra o passo a passo em ordem de execução. Ele serve tanto para quem vai usar uma ferramenta pronta com busca em documentos e controles corporativos quanto para quem vai montar uma solução própria. O assistente não substitui o programa de integridade nem o time de compliance: ele tira das costas desse time as perguntas repetidas e deixa registrado que a orientação foi dada.
Resumo rápido
- Comece pelo inventário: cada política com dono, versão, data de vigência e público. Política vencida na base gera resposta errada com cara de oficial.
- Use RAG com metadados e obrigue o assistente a citar política, item e versão em toda resposta.
- Defina o que o assistente nunca responde sozinho: casos concretos, denúncias, dúvidas sobre sanções e qualquer coisa fora da base.
- Registre perguntas, respostas e escalonamentos com retenção definida; isso pode apoiar a avaliação de funcionamento do programa de integridade.
- Trate o log como dado pessoal: base legal, minimização, acesso restrito e prazo de guarda, conforme a LGPD.
Por que um assistente de compliance faz sentido
A Lei Anticorrupção (Lei 12.846/2013) responsabiliza a empresa de forma objetiva pelos atos lesivos praticados em seu interesse ou benefício. Na hora de aplicar sanções, o art. 7º, inciso VIII, manda considerar a existência de mecanismos internos de integridade e a aplicação efetiva de códigos de ética e de conduta. O Decreto 11.129/2022 detalha como esse programa é avaliado, e entre os parâmetros do art. 57 estão políticas e procedimentos aplicáveis a todos, treinamentos e ações de comunicação periódicos, canais de denúncia e monitoramento contínuo do programa.
Um assistente bem feito conversa com vários desses parâmetros ao mesmo tempo: torna as políticas acessíveis no momento da dúvida, comunica de forma contínua e gera dados sobre quais regras geram mais perguntas. Ele não é exigido por lei e, sozinho, não comprova nada. Mas ajuda a mostrar que a política não ficou só no papel. Para empresas que disputam contratos públicos de grande vulto, vale lembrar que o art. 25, § 4º, da Lei 14.133/2021 obriga o vencedor a implantar programa de integridade em até 6 meses da assinatura do contrato.
Passo 1: inventário das políticas
Antes de pensar em ferramenta, liste tudo o que o assistente vai consultar. Para cada documento, registre:
- Nome e código (por exemplo, POL-007 Brindes e Hospitalidade).
- Dono (quem aprova mudanças e responde dúvidas de interpretação).
- Versão e data de vigência, e qual versão foi revogada.
- Público: todos os empregados, liderança, área comercial, terceiros.
- Classificação: pública, interna ou restrita.
Esse trabalho costuma revelar problemas que não têm nada a ver com IA: duas versões da mesma política circulando, regras contraditórias entre o código de conduta e uma norma da área comercial, políticas sem dono. Resolva isso antes. Se a base estiver inconsistente, o assistente vai repetir a inconsistência com muita segurança.
Inclua também documentos de apoio que respondem perguntas práticas: perguntas frequentes já aprovadas pelo compliance, formulários (declaração de conflito de interesses, registro de brindes) e o endereço do canal de denúncias. Deixe de fora pareceres sobre casos específicos e investigações: isso não é material de consulta geral.
Passo 2: base de conhecimento com RAG
RAG (geração aumentada por recuperação) é a técnica de buscar os trechos relevantes dos documentos no momento da pergunta e entregar ao modelo com a instrução de responder só com base neles. Se você ainda não conhece o pipeline, o guia RAG na prática explica ingestão, chunking, embeddings e avaliação.
Para políticas, três cuidados fazem diferença:
- Corte por seção, não por número de caracteres. Cada item da política vira um trecho com o título da seção. Assim a citação aponta para “POL-007, item 4.2”, e não para um pedaço solto de texto.
- Metadados em todo trecho: código, versão, vigência, público e classificação. É isso que permite filtrar por perfil e descartar versões revogadas.
- Só a versão vigente fica ativa. Versões antigas vão para um arquivo separado, fora da busca padrão.
Se a empresa já tem uma base de políticas de RH com busca semântica, como a descrita em base de consulta de políticas de RH com RAG, dá para reaproveitar a infraestrutura. A diferença do assistente de compliance está nos passos seguintes: regras de recusa, escalonamento e trilha de auditoria mais rígidas.
Ferramenta pronta ou solução própria?
| Arquitetura | Uso proposto | Validação antes de adotar |
|---|---|---|
| Espaço corporativo pronto | Piloto com políticas não restritas e poucos participantes | Conferir contrato, retenção, exportação de registros, permissões e citações no plano contratado |
| Busca interna integrada ao portal | Consulta por empregados autenticados | Testar revogação de acesso, isolamento entre equipes e atualização de documentos |
| Aplicação própria com RAG | Políticas com públicos e restrições diferentes | Implementar autorização antes da recuperação, monitoramento e encaminhamento humano |
A tabela compara escolhas de arquitetura, não certifica recursos de produtos específicos. Uma demonstração que encontra o documento certo não prova que o sistema respeita todas as permissões. Peça ao fornecedor uma demonstração com usuários de perfis diferentes e verifique o resultado após revogar o acesso de um deles. Registre o comportamento observado, a configuração e a data do teste.
Passo 3: permissões e perfis de acesso
Nem toda política é para todo mundo. A norma de relacionamento com agentes públicos pode ser interna; o procedimento de investigação interna, restrito ao compliance e ao jurídico. Defina perfis (empregado, liderança, área comercial, compliance) e aplique o filtro de metadados antes da busca, nunca depois. Se o trecho restrito chegar ao modelo, ele pode aparecer na resposta.
Em ferramentas prontas, a forma prática é criar espaços separados por público: um espaço para todos, outro para a área comercial, outro só para o compliance. Use login corporativo (SSO) e revise os membros quando alguém muda de área ou sai da empresa.
Passo 4: respostas com citação e limites claros
As instruções do assistente são a parte mais importante do projeto. Um modelo de instrução que funciona bem:
- Responda apenas com base nas políticas da base. Se a resposta não estiver nelas, diga que não encontrou e indique o contato do compliance.
- Toda resposta termina com a fonte: código da política, item e versão.
- Não interprete casos concretos com nomes, valores ou empresas. Explique a regra geral e oriente a consultar o compliance.
- Não diga se uma conduta “é crime” ou “vai gerar demissão”. Explique o que a política diz e quem decide.
- Se a pergunta descrever uma possível irregularidade, informe o canal de denúncias e não faça perguntas investigativas.
Teste essas regras antes de liberar. Monte uma lista de 30 a 50 perguntas reais (as que o compliance mais recebe), inclua perguntas armadilha fora da base e casos concretos, e confira se cada resposta cita o trecho certo. Repita o teste a cada atualização de política.
Passo 5: escalonamento ao compliance
O assistente precisa saber quando parar. Defina gatilhos de escalonamento:
- A busca não encontrou trecho relevante.
- A pergunta envolve agente público, valor acima do limite da política de brindes ou parente em fornecedor.
- O usuário pede aprovação ou exceção.
- A conversa sugere irregularidade.
No escalonamento, o assistente oferece dois caminhos: abrir uma consulta formal ao compliance (formulário ou e-mail da área, com a pergunta já resumida) ou, se for o caso, usar o canal de denúncias. O canal de denúncias deve continuar separado do assistente: o Decreto 11.129/2022 pede mecanismos de tratamento das denúncias e de proteção a denunciantes de boa-fé, e misturar isso com um chat de dúvidas compromete a confidencialidade.
Passo 6: log, auditoria e LGPD
Defina quais registros são necessários para cada finalidade. Data, versão da política, fonte citada e ocorrência de encaminhamento podem bastar para parte das métricas. Só armazene perguntas e respostas completas quando houver necessidade demonstrada, com acesso restrito, descarte programado e proteção de dados identificáveis. Esse registro serve para três coisas: auditar se o assistente respondeu certo, identificar políticas que geram mais dúvidas (sinal de que precisam ser reescritas ou treinadas) e demonstrar, numa avaliação do programa de integridade, que a orientação estava disponível e foi usada.
Esse log é tratamento de dados pessoais. Na prática:
- Base legal e transparência: informe aos empregados, na política de privacidade interna, que as conversas são registradas e para quê.
- Registro das operações: o art. 37 da LGPD exige que controlador e operador mantenham registro das operações de tratamento.
- Segurança: o art. 46 pede medidas técnicas e administrativas contra acesso não autorizado. Acesso ao log só para compliance e auditoria.
- Minimização e retenção: defina prazo de guarda e evite pedir dados que a pergunta não exige.
- Fornecedor: use plano corporativo com contrato que impeça uso dos dados para treino e confira onde os dados ficam.
Se o assistente for usado para decisões que afetam pessoas, lembre que o art. 20 da LGPD dá ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado. Mais um motivo para o assistente orientar e nunca decidir. O post LGPD e IA na empresa aprofunda esses cuidados.
Exemplo: indústria de alimentos em Chapecó
Exemplo hipotético, sem resultados observados: uma indústria de alimentos de Chapecó (SC), com cerca de 800 empregados e vendas para prefeituras e redes de supermercado, tem código de conduta, política de brindes, política de conflito de interesses e norma de relacionamento com o setor público. O compliance, com duas pessoas, recebe as mesmas perguntas toda semana: “posso aceitar a cesta de Natal do fornecedor?”, “posso pagar o almoço do secretário de educação na visita à fábrica?”.
A equipe faz o inventário e descobre duas versões da política de brindes no Drive. Revoga a antiga, cria um espaço de consulta para todos os empregados com as políticas gerais e um segundo espaço, restrito à equipe comercial de vendas públicas, com a norma de relacionamento com agentes públicos. As instruções exigem citação e mandam escalonar qualquer pergunta que mencione servidor público por nome.
Nesse cenário ilustrativo, o compliance poderia analisar registros minimizados e perceber que a maior parte das dúvidas é sobre limite de valor de brindes, um item que a política descrevia de forma confusa. A política é reescrita, a base é atualizada e o tema entra no treinamento seguinte. O assistente não tomou nenhuma decisão: deu acesso à regra no momento da dúvida e mostrou onde a política precisava melhorar.
Erros comuns
- Subir a pasta inteira do Drive. Versões revogadas e rascunhos entram na base e viram resposta oficial.
- Aceitar resposta sem citação. Se o assistente não aponta o item, ninguém consegue conferir, e o compliance não pode defender a orientação.
- Usar o assistente como canal de denúncias. Um chat comum pode não oferecer os controles de confidencialidade e proteção necessários.
- Filtrar acesso depois da busca. O trecho restrito já chegou ao modelo e pode vazar na resposta.
- Esquecer a manutenção. Política alterada sem atualizar a base deixa o assistente desatualizado sem ninguém perceber.
- Guardar log sem prazo e sem dono. O registro que deveria proteger a empresa vira passivo de LGPD.
Perguntas frequentes
Preciso de um modelo treinado com as políticas da empresa?
Não. Políticas mudam e precisam ser citadas, o que favorece RAG. Fine-tuning ajuda em estilo e formato, não em manter regras atualizadas com fonte.
O assistente substitui o treinamento de compliance?
Não. O Decreto 11.129/2022 lista treinamentos e ações de comunicação periódicos como parâmetros separados. O assistente complementa e ajuda a direcionar o treinamento para os temas que geram mais dúvida.
Posso usar a versão gratuita de uma ferramenta?
Para um teste com políticas públicas, talvez. Para políticas internas e registro de conversas de empregados, use plano corporativo com contrato, controle de acesso e regras claras sobre uso de dados.
Quem deve ser o dono do assistente?
O compliance, com apoio de TI e do encarregado de dados (DPO). O compliance responde pelo conteúdo e pelas regras de escalonamento; a TI, pelo acesso e pela infraestrutura; o encarregado, pela orientação e interlocução sobre proteção de dados, sem transferir a ele as obrigações do controlador.
O assistente pode atender terceiros, como fornecedores?
Pode, em espaço separado e só com políticas destinadas a terceiros. O art. 57 do Decreto 11.129/2022 menciona a extensão de padrões de conduta a fornecedores e prestadores quando necessário.
