Política de IA na empresa: o que escrever nela

Dois números brasileiros, do mesmo levantamento, que juntos dizem tudo sobre por que tanta empresa tem um problema de IA que ela acha que é de disciplina.

Uma pesquisa da Thomson Reuters achou 38% dos profissionais brasileiros usando ferramenta de IA que a empresa não forneceu. E, na mesma pesquisa, 39,1% disseram não ter acesso a nenhuma solução de IA disponibilizada pela companhia.

Os dois números são praticamente idênticos. Isso não é coincidência: é o mesmo grupo de pessoas. Elas não estão burlando uma regra — estão preenchendo um vazio.

É por isso que a maior parte das políticas de uso de IA que eu vejo falha antes de ser lida: elas são escritas como documento de proibição, quando o que falta na empresa é provisionamento.

A tese em uma frase: uma política de uso de IA que funciona não lista princípios — ela decide o caso concreto em trinta segundos. Duas variáveis bastam: qual dado entra e quanta autonomia a IA tem.

Por que a política de IA que já existe não funciona

Vale começar pelo diagnóstico, porque quase toda empresa que "já tem política de uso de IA" tem um documento que não decide nada.

O padrão é conhecido: um parágrafo dizendo que a empresa valoriza inovação, outro sobre uso ético e responsável, um terceiro proibindo "uso indevido de dados", e uma assinatura. Tudo verdadeiro e nada acionável. A pessoa com um contrato aberto na tela e um prazo para hoje não encontra ali a resposta para a pergunta que ela tem: posso colar isto?

Os números de governança no Brasil mostram o tamanho da lacuna — e, honestamente, divergem bastante entre si:

⚠️ 51,6% e 87% não podem estar os dois certos, e não vou fingir que estão. São amostras e definições diferentes de "política de governança" — provavelmente uma conta documento formal de qualquer tipo e a outra exige estrutura de governança completa. Cito as duas porque a conclusão não depende de qual está mais próxima: em qualquer das duas leituras, a maioria não tem. Quando duas fontes divergem por 35 pontos, o número não é o argumento; o intervalo é.

O que não divergem é o par que abre este texto: quase 4 em 10 usam ferramenta não fornecida, e quase 4 em 10 não têm ferramenta fornecida. É a causa-raiz que eu detalhei em posso colocar dados da empresa no ChatGPT, medida.

A matriz que decide o caso concreto

Aqui está o núcleo prático. Duas variáveis, quatro quadrantes, e a maior parte das dúvidas reais resolvida sem escalar para ninguém.

Variável 1 — sensibilidade do dado. Dado público ou já divulgado de um lado; dado de cliente, contrato, credencial, folha, código proprietário e informação financeira não divulgada do outro.

Variável 2 — autonomia da IA. E este é o eixo que quase toda política esquece: existe diferença enorme entre a IA sugerir algo que uma pessoa vai revisar e a IA executar algo que sai sem revisão — enviar e-mail, publicar, alterar registro, responder cliente.

A combinação das duas dá a regra:

O ganho de escrever a política de uso de IA assim é que ela para de depender da lista de ferramentas. Ferramenta nova aparece toda semana; a pergunta "que dado é esse e quem revisa?" continua valendo para todas.

O modelo de uma página

Este é o ativo do post. Copie, troque o que estiver entre < > e publique — é melhor ter isto amanhã do que um documento perfeito em três meses.

Política de uso de IA — <Empresa> Versão <1.0> · vigente desde <data> · responsável: <nome/cargo>

1. Para que serve. Esta política diz o que você pode fazer com ferramentas de IA no trabalho, sem precisar perguntar. Se a sua dúvida não estiver aqui, pergunte a <nome/canal> antes de agir.

2. Ferramentas aprovadas. Use as ferramentas da lista do anexo A, sempre pela conta da empresa. Não use conta pessoal para trabalho da empresa, mesmo que seja a mesma ferramenta. Para pedir uma ferramenta que não está na lista: <como pedir, e prazo de resposta>.

3. O que pode entrar. Pode: texto já público, rascunho seu, material de treinamento interno sem dado de pessoa, código de exemplo. Não pode: dado de cliente ou de funcionário (inclusive nome e e-mail), contrato, senha ou chave de acesso, dado financeiro não divulgado, código proprietário.

4. Quando a revisão é obrigatória. Nada gerado por IA sai da empresa — para cliente, para o público, para órgão regulador — sem revisão de uma pessoa. Número, citação, dado e nome próprio precisam ser conferidos na fonte, não com a própria IA.

5. Quem responde. Quem entrega responde pelo que entregou. IA é ferramenta: não assina, não é parte e não assume erro.

6. Se algo der errado. Colou o que não devia, ou percebeu um erro que passou? Avise <canal> no mesmo dia, sem medo de punição pelo aviso. O que é punível é esconder. Nós vamos: registrar, avaliar o impacto e trocar o que precisar ser trocado.

Anexo A — ferramentas aprovadas. <lista, com quem tem acesso e para quê. Atualizada por <nome>, revisada a cada <trimestre>.>

Repare em três escolhas deliberadas nesse texto.

O item 2 tem um caminho para pedir ferramenta nova. É o item que quase nenhuma política tem e o que mais reduz uso não aprovado — porque a alternativa ao pedido é o desvio.

O item 6 protege quem avisa. Política que pune o aviso não recebe aviso; recebe silêncio, e o incidente aparece meses depois. Isso é a mesma lógica de um plano de resposta a incidentes que funciona.

A lista de ferramentas está num anexo. Porque ela muda todo mês e o resto não. Política que embute a lista no corpo precisa de nova aprovação a cada ferramenta nova — e, quando isso trava, as pessoas param de pedir.

O que não escrever

Cinco coisas que aparecem em quase toda política de uso de IA e não fazem trabalho nenhum:

• "Use a IA com responsabilidade e bom senso." Não decide nada. Todo mundo acha que está sendo responsável.
• Lista de ferramentas proibidas. Envelhece em semanas e sugere que o que não está na lista está liberado. Lista de aprovadas, sim; de proibidas, não.
• Seção de princípios éticos. Importa, e não é aqui. Isso é assunto de ética em IA, que é panorama; a política é o documento operacional. Misturar os dois faz o documento crescer e perder uso.
• Proibição geral sem alternativa. Já discutido: troca risco visível por risco cego.
• Detalhe técnico de como a ferramenta funciona. Isso muda mais rápido que o documento e não muda a decisão de ninguém.

E um erro de forma que mata boas políticas: exigir treinamento para entender o documento. Se ele precisa de aula, ele é grande demais. A capacitação é outra frente — o método de trabalho está em como usar IA no trabalho e a conferência de saída em alucinação de IA.

Quem assina, quem mantém

Duas perguntas curtas com consequência grande.

Quem assina é quem responde pelo risco — normalmente a direção, não a TI. Uma política de uso de IA assinada só pela TI é lida como regra de sistema, e o que ela regula é decisão de negócio: que dado a empresa aceita expor e que erro ela aceita correr.

Quem mantém precisa ter nome. Em empresa pequena, "comitê de IA" costuma ser uma pessoa com o assunto no escopo, e isso está bom — o que não funciona é o documento sem dono, que envelhece até virar ficção. Um ciclo de revisão trimestral do anexo A e anual do corpo resolve.

Vale dizer o que não precisa: comitê formal antes de existir a política de uso de IA. Começar pela estrutura é o caminho mais rápido para produzir burocracia sem efeito.

Quando a política de IA deixa de ser opcional

Hoje, para a maioria das empresas brasileiras, política de uso de IA é boa prática. Três movimentos indicam para onde isso vai:

• ISO/IEC 42001 (2023) especifica requisitos para um sistema de gestão de IA e trata política e responsabilidades como parte dele. O detalhe que importa para PME: a norma cobre três papéis — quem desenvolve, quem fornece e quem apenas usa. Você provavelmente é o terceiro, e ele está no escopo. Se o vocabulário de norma ISO é novo para você, o mapa está em quais certificações ISO existem e a experiência de implantar uma, em ISO 27001 na prática.
• Regulação brasileira em formação, com lógica por nível de risco — o estado da discussão está em regulamentação de IA no Brasil.
• Exigência contratual de cliente grande. É o vetor que costuma chegar primeiro, antes de qualquer lei: o questionário de fornecedor passa a ter a pergunta "vocês têm política de uso de IA?", e a resposta precisa ser um documento.

E há a obrigação que já vale hoje: se dado pessoal entra na ferramenta, isso é tratamento com um operador novo na cadeia, com a régua de LGPD para PMEs. Isso não é futuro.

O ponto que fica

Escrever uma política de uso de IA é mais fácil do que parece, porque o documento útil é curto. O que é difícil é o item 2 — ter uma ferramenta aprovada para oferecer. Sem ele, a política é uma proibição, e proibição sem alternativa você já sabe onde vai dar: nos 38%.

Então a ordem que eu recomendaria é o contrário da intuitiva. Primeiro contrate uma conta corporativa de alguma ferramenta decente. Depois escreva a página. O comitê, se um dia precisar, vem por último.

Uma página que responde "posso colar isto?" em trinta segundos vale mais que vinte páginas que ninguém abre na hora da dúvida — e a hora da dúvida é a única que importa.