Política de uso de IA: o que escrever antes de liberar a ferramenta

A ordem natural das coisas costuma ser invertida. A equipe descobre uma ferramenta útil, começa a usar e só depois a empresa pensa em regras. O problema é que a IA generativa recebe texto, dado e contexto no mesmo campo, e a linha entre uma pergunta inofensiva e o envio de informação sensível é muito tênue. Sem orientação, a decisão fica a critério de quem está usando, e o risco fica com a empresa.

A política cumpre a função de distribuir responsabilidade com clareza. Ela diz o que cada pessoa pode fazer, o que precisa de aprovação e o que é proibido. Essa divisão protege o funcionário, que deixa de decidir no escuro, e protege a empresa, que passa a ter critério verificável para avaliar condutas e corrigir desvios. Sem documento, toda discussão sobre uso indevido começa do zero.

Há ainda um efeito prático de adoção. Regras claras reduzem o medo de usar a tecnologia e evitam dois extremos igualmente ruins: o uso descontrolado, que expõe dados, e a proibição informal, que empurra a prática para fora do radar da empresa. O objetivo da política não é impedir a IA, e sim tornar seu uso previsível e auditável.

Alimentar um modelo com dados pessoais é tratamento de dados. Isso significa que precisa existir finalidade, base legal e informação adequada. A política materializa essa exigência ao definir quais dados podem entrar em qual ferramenta. Sem essa separação, a empresa descobre o problema quando um dado de cliente já circulou em um serviço de terceiro sem contrato e sem controle.

O ponto mais sensível é a diferença entre ferramenta corporativa e uso pessoal. Um serviço gratuito aberto ao público costuma ter regras de uso e de retenção diferentes de uma solução contratada com cláusulas de tratamento de dados. A política deve indicar quais ferramentas são aprovadas para cada tipo de conteúdo, deixando explícito que dados de clientes não devem passar por contas pessoais ou serviços não avaliados.

Vale também tratar a retenção e o treinamento. Muitos serviços usam o conteúdo enviado para melhorar seus próprios modelos, e desligar essa possibilidade faz parte do cuidado. Esse é o mesmo terreno discutido em IA generativa: quais dados podem ir ao modelo, onde o tema aparece com mais detalhe. A política interna deve refletir essas escolhas, e não apenas repetir a lei.

A segunda parte da política trata de pessoas e permissões. Nem todo uso tem o mesmo risco. Um assistente para redigir e-mails internos é diferente de um sistema que analisa crédito ou seleciona currículos. Organizar o uso em níveis, do mais simples ao mais crítico, permite liberar o que agrega valor e reservar análise cuidadosa para o que pode causar dano.

Cada nível pede uma alçada de aprovação. Usos de baixo risco podem seguir um fluxo simplificado, com registro. Usos que tratam dados pessoais ou que apoiam decisão sobre pessoas deveriam passar por áreas específicas, como jurídico, segurança da informação e a área dona do processo. Definir quem aprova o quê evita que uma contratação pequena, feita sem análise, crie uma exposição grande.

A política também precisa dizer o que fazer quando a pessoa tem dúvida. Um canal de consulta, mesmo simples, resolve a maioria dos casos ambíguos antes que se transformem em incidente. Empresas que deixam o usuário sozinho diante da dúvida acabam com dois comportamentos previsíveis: uso excessivo sem critério ou paralisia por medo, e nenhum dos dois ajuda o negócio.

O núcleo operacional da política é a classificação de dados. Sem ela, a orientação se perde em princípios e não chega ao gesto de colar texto na ferramenta. A tabela abaixo resume uma classificação simples, que qualquer equipe consegue aplicar no dia a dia sem debate longo.

A classificação precisa refletir a realidade da empresa. Uma lista genérica, copiada de outro contexto, tende a ser ignorada por não dialogar com o que as pessoas realmente fazem. Vale mapear os usos que já existem, identificar os dados envolvidos e ajustar a regra a partir daí. Assim, a política nasce próxima da operação e reduz a distância entre o que está escrito e o que acontece na prática.

O treinamento é o que fecha o ciclo. Regra que ninguém conhece não muda comportamento, e uma política longa demais não é lida. Material curto, com exemplos reais e respostas para as dúvidas mais frequentes, funciona melhor do que documento extenso guardado em pasta compartilhada. A política precisa ser fácil de consultar justamente no momento em que a decisão é tomada.

Quando a IA apoia uma decisão que afeta alguém, a revisão humana deixa de ser opcional. O motivo é simples: o sistema pode errar de forma convincente, e um resultado automatizado sem checagem pode causar dano real. A política deve definir quais decisões exigem revisão, quem é responsável por ela e como o resultado é registrado. Esse cuidado acompanha o que a lei prevê para decisões automatizadas, tema detalhado em decisão automatizada e revisão humana na LGPD.

O registro é a parte que costuma faltar. Anotar que a decisão passou por revisão, quem revisou, quando e com qual critério cria a trilha necessária para responder a questionamentos e para aprender com erros. Sem esse registro, a revisão vira formalidade invisível, impossível de comprovar quando alguém contesta o resultado.

A revisão também precisa ser efetiva. Carimbar uma decisão sem analisá-la é pior do que não ter processo, porque cria aparência de controle sem controle real. O critério prático é que a pessoa responsável consiga explicar, depois, por que aprovou ou corrigiu o resultado. Se ninguém consegue explicar, a revisão não aconteceu, mesmo que haja assinatura no fluxo.

Política sem manutenção envelhece rápido no campo da IA. Ferramentas novas, recursos que mudam de comportamento e novas orientações regulatórias tornam o documento desatualizado em pouco tempo. Definir revisão periódica, registrar alterações e comunicar as mudanças às equipes mantêm a política útil. A trilha de inteligência artificial na empresa reúne outros pontos que sustentam essa adoção com segurança.

A auditoria interna complementa a revisão. Verificar, de tempos em tempos, quais ferramentas estão em uso, com quais dados e sob quais aprovações revela desvios que passariam despercebidos no dia a dia. O objetivo não é punir, e sim ajustar o que saiu da linha e identificar onde a política precisa ficar mais clara. Auditoria sem esse tom vira caça às bruxas e esconde o uso real.

O compromisso visível da liderança faz diferença. Quando as áreas de decisão usam a ferramenta dentro das regras e demonstram isso, a política ganha credibilidade. Quando a regra só vale para quem está na base e os gestores fazem exceções, o documento perde força. Coerência no exemplo é o que transforma um texto em prática dentro da empresa.