Política de uso de IA na empresa: regras para a equipe

Uma política de uso de IA é um documento curto que diz à equipe quais ferramentas pode usar, quais dados nunca podem entrar nelas e quem responde por cada.

Uma política de uso de IA é um documento curto que diz à equipe quais ferramentas pode usar, quais dados nunca podem entrar nelas e quem responde por cada decisão. Uma versão curta pode ser o ponto de partida, desde que cubra os riscos reais e tenha uma pessoa responsável por mantê-la atualizada.

Sem regra escrita, cada pessoa decide sozinha. É assim que a planilha de clientes acaba num chatbot gratuito ou que um texto gerado por IA vai para o cliente sem ninguém ler. Este guia mostra o que a política deve conter, traz um modelo de cláusulas e explica como implantar e como ela se conecta à LGPD. Ele não substitui parecer jurídico: peça a revisão final do seu advogado ou do encarregado de dados.

Resumo rápido

A política precisa responder a nove pontos: ferramentas aprovadas, dados proibidos, revisão humana, transparência com clientes, propriedade intelectual, registro de uso, responsáveis, sanções e revisão periódica.

A regra mais útil é a lista de dados: o que pode, o que não pode e o que só pode sob condição.

Combine regras com uma alternativa aprovada e um canal para dúvidas, evitando que a equipe precise decidir sozinha.

A LGPD (Lei 13.709/2018) já se aplica sempre que a IA toca dados pessoais. A política é uma das formas de cumprir o dever de adotar medidas de segurança e boas práticas.

Comece pequeno, teste com um grupo e revise a política em datas fixas.

Por que uma pequena empresa precisa de uma política

Ferramentas de IA generativa (que produzem texto, imagem ou resumo a partir de um pedido, chamado de prompt) são fáceis de abrir no navegador. Isso é bom para a produtividade e ruim para o controle. Sem regra, a empresa não sabe quais ferramentas a equipe usa, que dados saem dela nem quem revisa o resultado.

O uso de ferramentas não aprovadas é conhecido como shadow AI, ou IA nas sombras. O levantamento interno deve perguntar o que a equipe já usa e por quê, sem presumir que todo uso é malicioso.

A LGPD exige medidas de segurança e prevê regras de boas práticas nos arts. 46 e 50. Uma política ajuda a organizar essas medidas, mas não comprova conformidade sozinha. Para o contexto geral, leia o guia LGPD e IA: como usar inteligência artificial na empresa sem expor dados.

O que a política deve conter

Cada item abaixo vira uma cláusula curta. A tabela resume o que cada um resolve.

Item	Pergunta que responde	Exemplo de decisão
Ferramentas aprovadas	O que posso usar?	Uma lista com nome, plano contratado e dono
Dados proibidos	O que nunca entra?	Senhas reais e dados de clientes sem avaliação prévia
Revisão humana	Quem confere o resultado?	Nada sai para cliente sem leitura de uma pessoa
Transparência	Quando aviso o cliente?	Aviso quando a IA atende ou produz conteúdo relevante
Propriedade intelectual	De quem é o material?	Não colar conteúdo de terceiros sem direito de uso
Registro de uso	Como comprovo o que foi feito?	Planilha simples com data, ferramenta, finalidade e responsável
Responsáveis	Quem decide e quem responde?	Um dono da política e um contato para dúvidas
Sanções	O que acontece se descumprir?	Orientação, advertência e medidas previstas no regulamento interno
Revisão periódica	Quando atualizo?	Data fixa e gatilhos, como nova ferramenta ou incidente

Ferramentas aprovadas

Liste as ferramentas liberadas, o plano contratado e quem é o administrador. Diferencie contas de empresa de contas pessoais. Avalie controles de acesso, retenção, treinamento de modelos, exclusão e contrato de tratamento de dados; o nome comercial do plano não comprova segurança. Inclua um caminho simples para pedir a aprovação de uma ferramenta nova.

Dados proibidos e condicionados

Este é o coração da política. Defina categorias e diga, para cada uma, se pode entrar na ferramenta aprovada, se pode entrar numa conta pessoal e sob qual condição. A tabela da próxima seção traz um ponto de partida.

Revisão humana

A regra deve dizer quem confere fatos, fontes e adequação do resultado antes de usá-lo. Para decisões que afetam pessoas, como seleção de candidatos, crédito ou cobrança, exija revisão humana qualificada. A LGPD, no art. 20, dá ao titular o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses.

Transparência com clientes

Defina quando a empresa avisa que usou IA. Um atendimento por chatbot deve se identificar como automatizado e oferecer o caminho para falar com uma pessoa. Para outros conteúdos, avalie contratos, normas setoriais e risco de enganar o público antes de decidir sobre o aviso. Se a IA tratar dados pessoais de clientes, o aviso de privacidade deve refletir isso.

Propriedade intelectual

Há dois lados. Primeiro, o que entra: verifique direitos, licenças e obrigações de sigilo antes de enviar textos, imagens, códigos ou contratos de terceiros. Segundo, o que sai: a proteção por direito autoral de conteúdo gerado por IA é tema em debate, e a Lei de Direitos Autorais (Lei 9.610/1998) não foi escrita para isso. Não presuma exclusividade sobre um resultado gerado. Para materiais de marca, registre a contribuição humana e revise direitos de terceiros. Verifique também o que os termos da ferramenta dizem sobre o uso do resultado.

Registro de uso

Registre finalidade, responsável, ferramenta, categoria de dados e aprovação, sem copiar dados confidenciais para a planilha. Esse controle operacional complementa o registro das operações de tratamento previsto no art. 37 da LGPD; não o substitui automaticamente.

Responsáveis

Nomeie um responsável pelo documento e um canal para dúvidas. Não confunda essa função com o encarregado de dados. A Resolução CD/ANPD nº 2 dispensa determinados agentes de pequeno porte de indicar encarregado, exigindo canal com o titular. O enquadramento tem condições e exclusões, inclusive por tratamento de alto risco. Confirme se a empresa pode usar essa dispensa antes de aplicá-la.

Sanções e revisão periódica

Não invente punições novas no texto. Remeta ao regulamento interno e ao contrato de trabalho, e deixe claro que o primeiro passo é orientar. Prefira estimular o relato de erros: quem avisa cedo que colou um dado errado deve ser ouvido, não punido, porque o aviso permite agir a tempo. Marque uma revisão em data fixa e defina gatilhos para revisar antes, como nova ferramenta, mudança de contrato ou incidente.

Tabela de dados: o que pode, o que não pode e sob qual condição

Use a tabela como ponto de partida e ajuste ao seu negócio. A coluna “ferramenta aprovada” vale para contas da empresa, com termos revisados. A coluna “conta pessoal ou gratuita” vale para qualquer ferramenta fora da lista.

Tipo de dado	Ferramenta aprovada	Conta pessoal ou gratuita	Condição
Texto público (site, material já publicado)	Pode	Pode	Verificar direito de uso e revisar o resultado
Rascunhos internos sem dado pessoal nem segredo	Pode	Condição	Só se a política permitir e não houver sigilo ou informação estratégica
Dados pessoais comuns de clientes (nome, e-mail, telefone)	Condição	Não pode	Só com finalidade definida, base legal e o mínimo necessário, de preferência mascarados
Dados pessoais sensíveis (saúde, biometria, origem racial ou étnica, religião)	Condição	Não pode	Só com autorização do responsável pela política e hipótese legal do art. 11 da LGPD
Dados de funcionários e candidatos	Condição	Não pode	Nenhuma decisão automatizada final, com revisão humana
Dados financeiros e contratos de clientes	Condição	Não pode	Verificar cláusulas de confidencialidade do contrato
Segredos de negócio (preços, estratégia, código-fonte)	Condição	Não pode	Só após revisar contrato, acesso, retenção, exclusão, sigilo e uso para treinamento
Senhas, chaves de acesso e tokens reais	Não pode	Não pode	Não enviar segredos ativos ao contexto de um assistente
Material protegido de terceiros	Condição	Não pode	Só com direito de uso ou autorização

Para reduzir risco no caso dos dados pessoais, retire o que não é necessário antes de colar. Substitua nomes por códigos e apague CPF e telefone quando eles não mudam a resposta.

Modelo de cláusulas em linguagem simples

Adapte o texto ao seu negócio. Ele é um ponto de partida, não um documento jurídico pronto.

Objetivo. Esta política explica como usamos inteligência artificial no trabalho com segurança, respeito aos clientes e responsabilidade.
Ferramentas. Use apenas as ferramentas da lista aprovada. Para pedir uma ferramenta nova, fale com [responsável].
Dados. Nunca envie senhas ou chaves de acesso reais. Dados pessoais, inclusive de saúde, só entram em ferramenta aprovada após avaliação das condições da tabela e da hipótese legal aplicável.
Revisão. Quem usa a IA é responsável pelo resultado. Leia, confira fatos, números e fontes antes de enviar ou publicar.
Clientes. Atendimentos automatizados devem avisar que são automatizados e oferecer contato com uma pessoa. Não use IA para fingir ser humano.
Autoria e direitos. Não envie material de terceiros sem direito de uso. Trabalhos estratégicos devem ter participação humana relevante.
Registro. Anote em [planilha] os usos que envolvem dados pessoais ou entregas a clientes.
Dúvidas e incidentes. Se colar um dado por engano, avise [responsável] no mesmo dia. Avisar cedo é sempre melhor.
Consequências. O descumprimento será tratado conforme o regulamento interno, começando por orientação.
Revisão da política. Este documento é revisado a cada [período] ou quando houver mudança relevante.

Como implantar em cinco passos

Levante o uso real. Pergunte à equipe, sem punição, quais ferramentas já usa e para quê. Registre as tarefas e os tipos de dados envolvidos.
Escolha as ferramentas aprovadas. Leia termos, planos e configurações de privacidade. Avalie controles e contratos antes de liberar dados da empresa.
Escreva a primeira versão. Use o modelo acima e a tabela de dados. Use exemplos que a equipe reconheça.
Teste com um grupo pequeno. Peça que apliquem a política por duas semanas e anotem o que ficou confuso.
Divulgue e treine. Apresente a política numa conversa de meia hora, com exemplos reais, e deixe o texto em local fácil de achar.

Depois da implantação, escolha uma data de revisão. Uma política desatualizada dá falsa sensação de segurança. Para escolher ferramentas por tarefa, veja o guia de ferramentas de IA para produtividade.

Relação com a LGPD e com a ANPD

A política não substitui as obrigações da LGPD, mas as organiza. Quando a IA trata dados pessoais, a empresa continua precisando de finalidade definida, base legal, segurança e transparência com o titular. O art. 6º da lei lista princípios como finalidade, necessidade e segurança, e é nele que se apoiam regras como “use o mínimo necessário de dados”.

A ANPD, Autoridade Nacional de Proteção de Dados, publica guias para os agentes de tratamento. Para empresas menores, o guia orientativo sobre segurança da informação para agentes de tratamento de pequeno porte reúne medidas administrativas e técnicas, com checklist, e serve de apoio para a parte de segurança da sua política. A página oficial também disponibiliza um modelo de registro das operações de tratamento, útil para o item de registro de uso.

O responsável deve registrar dúvidas e encaminhar situações que exigem avaliação jurídica, sem transferir a decisão de conformidade para o chatbot.

Exemplo: clínica de fisioterapia em Goiânia

Uma clínica de fisioterapia em Goiânia tem seis profissionais e uma recepção. A recepcionista começou a colar mensagens de pacientes num chatbot gratuito para responder mais rápido, e uma fisioterapeuta resumia evoluções clínicas numa conta pessoal. A dona da clínica soube por acaso, numa conversa de corredor.

Ela levantou o uso real e suspendeu o envio de prontuários enquanto avaliava uma solução. Depois revisou contratos, controles de acesso e condições legais com apoio especializado e escreveu uma política curta. As regras principais: dados de saúde só na ferramenta aprovada e com autorização, nenhum documento de paciente em conta pessoal, mensagens de recepção sem nome completo quando o nome não muda a resposta e revisão humana de tudo o que sai para o paciente. A dona da clínica ficou como responsável pela política e consultou o advogado para validar o texto e o aviso de privacidade. Marcou revisão para dali a seis meses. O exemplo é ilustrativo.

Erros comuns

Proibir tudo. Combine a restrição com alternativas aprovadas e explicação das regras.
Copiar um modelo pronto sem adaptar. Regras que não refletem o seu negócio não são seguidas.
Documento longo demais. Se ninguém lê, não protege. Prefira poucas páginas e exemplos.
Não nomear um responsável. Sem dono, a política envelhece e as dúvidas ficam sem resposta.
Esquecer a revisão humana. Defina quem confere o resultado antes do envio.
Tratar a política como um evento único. Ferramentas e termos mudam, e a política precisa mudar junto.
Punir quem avisa do erro. A equipe passa a esconder incidentes.

Perguntas frequentes

Toda empresa precisa ter uma política de uso de IA?

A necessidade e o conteúdo dependem das atividades, dos contratos e das normas aplicáveis. Uma política ajuda a distribuir responsabilidades; sua existência, isoladamente, não basta para cumprir obrigações legais.

Posso deixar a equipe usar contas pessoais de IA?

Para tarefas sem dado pessoal, segredo ou material de terceiros, o risco é menor. Para o resto, prefira contas da empresa, que oferecem controles administrativos. Deixe isso explícito na tabela de dados.

Preciso avisar o cliente que usei IA?

Adote identificação do atendimento automatizado como regra interna e ofereça um canal humano. Para conteúdo e outros usos, avalie contratos, regras setoriais e transparência sobre dados pessoais. Não apresente essa recomendação como uma obrigação legal idêntica para todos os casos.

Quem é responsável se a IA errar?

A responsabilidade jurídica depende da relação, do dano e das normas aplicáveis. Internamente, defina quem executa, revisa e autoriza o uso. A política não elimina a responsabilidade da empresa nem transfere toda a obrigação ao funcionário.

Com que frequência devo revisar a política?

Escolha uma data fixa, como a cada seis meses, e defina gatilhos para revisar antes: nova ferramenta, mudança de contrato, incidente ou mudança na legislação.

Política de uso de IA na empresa: regras práticas para a equipe

Por que uma pequena empresa precisa de uma política