Política de uso de IA na empresa: modelo em 1 página e como implantar

Seis pontos. Menos que isso deixa buraco; mais que isso ninguém lê. A política diz: quais ferramentas são permitidas; que a conta deve ser corporativa, nunca pessoal; quais dados nunca entram em uma IA; quais respostas exigem revisão humana antes de ir para o cliente ou para o sistema; o que deve ser registrado; e quem é o responsável. Tudo em linguagem de quem executa, não de advogado.

Libere o que a equipe já usa e que tem plano de equipe com controle de conta: um assistente de texto (ChatGPT, Gemini ou Claude), uma ferramenta de transcrição de reunião, se houver, e os agentes que a própria empresa colocou no ar. Duas ou três ferramentas bastam; cada uma a mais é uma conta para administrar e revogar. O critério de aprovação de uma ferramenta nova cabe em três perguntas: tem plano corporativo com gestão de usuários; permite desligar o uso das conversas para treinamento; e o fornecedor diz onde o dado fica e por quanto tempo. Se uma das respostas é “não sei”, a ferramenta espera.

A tabela abaixo é o modelo. A coluna da direita traz um exemplo de redação que você pode copiar e adaptar. O documento final cabe em uma página A4 com as seis seções e a assinatura.

Fecha com uma linha de assinatura: “Li, entendi e concordo em seguir esta política”, nome, data. Não é formalidade: é o que transforma o documento em compromisso individual e o que a empresa mostra se um dado vazar.

1. 01

   Faça o inventário do que já é usado

   Pergunte a cada pessoa, sem punição, quais ferramentas de IA usa no trabalho e para quê. Em uma empresa de 20 pessoas aparecem de três a oito ferramentas, metade em conta pessoal. Esse inventário é a base da seção 1.

2. 02

   Classifique os usos por risco

   Baixo: redação interna, resumo de texto próprio. Médio: resposta a cliente, análise de contrato. Alto: decisão sobre pessoa (crédito, contratação, preço individual) e qualquer uso com dado sensível. Os de alto risco exigem revisão humana obrigatória ou ficam fora da política até existir controle.

3. 03

   Escreva a política em uma página

   Use o modelo acima. Linguagem direta, exemplos concretos do seu negócio na seção de dados proibidos. Peça a duas pessoas da operação que leiam e digam o que não entenderam. Corrija.

4. 04

   Crie as contas corporativas e desligue o treinamento

   Contrate os planos de equipe das ferramentas aprovadas e configure, onde existir, a opção de não usar as conversas para treinar o modelo. Centralize o acesso para poder revogar quando alguém sair.

5. 05

   Treine a equipe em uma hora

   Reunião única: por que a política existe, as seis seções, três exemplos do que pode e três do que não pode, como reportar incidente. Colha as assinaturas ao final. Quem entra depois recebe a política no primeiro dia.

6. 06

   Marque a primeira revisão

   Em 90 dias: o que apareceu de ferramenta nova, que incidente houve, que seção ninguém entendeu. Ajuste e recolha assinatura de novo só se a mudança for relevante. Depois, a cada seis meses.

O serviço de governança corporativa e de IA da Flow faz as seis etapas com a empresa: inventário, classificação de risco, política escrita, treinamento e calendário de revisão, com preço fechado. Para quem já tem agente de IA no ar, o mesmo trabalho inclui o registro das conversas e a regra de transferência para humano.

A política não é opcional porque a lei ainda não veio. A Lei 13.709/2018 (LGPD) já vale: exige base legal para tratar dado pessoal, inclusive quando o tratamento é feito por uma IA, exige transparência sobre o uso e garante, no artigo 20, o direito do titular de pedir revisão de decisão tomada unicamente por tratamento automatizado. Colar a lista de clientes em uma ferramenta de IA em conta pessoal é tratamento de dado pessoal sem controle — e a empresa, não o funcionário, responde.

O PL 2338/2023, aprovado pelo Senado em dezembro de 2024 e em análise na Câmara, adota abordagem por risco parecida com o Regulamento de IA da União Europeia: obrigações gerais de transparência, governança e registro para todos os sistemas, e exigências maiores para os de alto risco. A ANPD, enquanto isso, mantém IA entre os temas prioritários e opera um sandbox regulatório de IA e proteção de dados. A política de uso é o primeiro documento que qualquer dessas frentes vai pedir. Quem a tem hoje ajusta uma página quando a lei sair; quem não tem começa do zero sob pressão.

A política acima trata do uso de IA pelas pessoas. Quando a empresa coloca um agente de IA falando com cliente (WhatsApp, site, e-mail), três seções ganham complemento. Em ferramentas: o agente entra na lista com a descrição do que faz e do que não faz. Em revisão humana: a regra de transferência (quando o agente passa para uma pessoa) e os assuntos que ele nunca responde sozinho (cancelamento, reclamação, dado de saúde, preço fora de tabela). Em registro: o histórico das conversas fica guardado por prazo definido, e o cliente é informado de que fala com um agente de IA e de como pedir atendimento humano. Esses complementos são escritos junto com a implantação do agente, não depois.