Política de IA na empresa: o que escrever nela

Dois números brasileiros, do mesmo levantamento, que juntos dizem tudo sobre por que tanta empresa tem um problema de IA que ela acha que é de disciplina.

Uma pesquisa da Thomson Reuters achou 38% dos profissionais brasileiros usando ferramenta de IA que a empresa não forneceu. E, na mesma pesquisa, 39,1% disseram não ter acesso a nenhuma solução de IA disponibilizada pela companhia.

Os dois números são praticamente idênticos. Isso não é coincidência: é o mesmo grupo de pessoas. Elas não estão burlando uma regra. Estão preenchendo um vazio.

É por isso que a maior parte das políticas de uso de IA que eu vejo falha antes de ser lida: elas são escritas como documento de proibição, quando o que falta na empresa é provisionamento.

Uma política de uso de IA que funciona não lista princípios; ela decide o caso concreto em trinta segundos. Duas variáveis bastam: qual dado entra e quanta autonomia a IA tem.

Por que a política de IA que já existe não funciona

Quase toda empresa que "já tem política de uso de IA" tem um documento que não decide nada.

O padrão é conhecido: um parágrafo dizendo que a empresa valoriza inovação, outro sobre uso ético e responsável, um terceiro proibindo "uso indevido de dados", e uma assinatura. Tudo verdadeiro e nada acionável. A pessoa com um contrato aberto na tela e um prazo para hoje não encontra ali a resposta para a pergunta que ela tem: posso colar isto?

Os números de governança no Brasil mostram o tamanho da lacuna e, honestamente, divergem bastante entre si:

⚠️ 51,6% e 87% não podem estar os dois certos, e não vou fingir que estão. São amostras e definições diferentes de "política de governança"; provavelmente uma conta documento formal de qualquer tipo e a outra exige estrutura de governança completa. Cito as duas porque a conclusão não depende de qual está mais próxima: em qualquer das duas leituras, a maioria não tem. Quando duas fontes divergem por 35 pontos, o número não é o argumento; o intervalo é.

O que não divergem é o par que abre este texto: quase 4 em 10 usam ferramenta não fornecida, e quase 4 em 10 não têm ferramenta fornecida. É a causa-raiz que eu detalhei em posso colocar dados da empresa no ChatGPT, medida.

A matriz que decide o caso concreto

Duas variáveis, quatro quadrantes, e a maior parte das dúvidas reais resolvida sem escalar para ninguém.

Variável 1: sensibilidade do dado. Dado público ou já divulgado de um lado; dado de cliente, contrato, credencial, folha, código proprietário e informação financeira não divulgada do outro.

Variável 2: autonomia da IA. Este é o eixo que quase toda política esquece: existe diferença enorme entre a IA sugerir algo que uma pessoa vai revisar e a IA executar algo que sai sem revisão (enviar e-mail, publicar, alterar registro, responder cliente).

A combinação das duas dá a regra:

O ganho de escrever a política de uso de IA assim é que ela para de depender da lista de ferramentas. Ferramenta nova aparece toda semana; a pergunta "que dado é esse e quem revisa?" continua valendo para todas.

O modelo de uma página

Este é o ativo do post. Copie, troque o que estiver entre < > e publique: é melhor ter isto amanhã do que um documento perfeito em três meses.

Política de uso de IA da <Empresa> Versão <1.0> · vigente desde <data> · responsável: <nome/cargo>

1. Para que serve. Esta política diz o que você pode fazer com ferramentas de IA no trabalho, sem precisar perguntar. Se a sua dúvida não estiver aqui, pergunte a <nome/canal> antes de agir.

2. Ferramentas aprovadas. Use as ferramentas da lista do anexo A, sempre pela conta da empresa. Não use conta pessoal para trabalho da empresa, mesmo que seja a mesma ferramenta. Para pedir uma ferramenta que não está na lista: <como pedir, e prazo de resposta>.

3. O que pode entrar. Pode: texto já público, rascunho seu, material de treinamento interno sem dado de pessoa, código de exemplo. Não pode: dado de cliente ou de funcionário (inclusive nome e e-mail), contrato, senha ou chave de acesso, dado financeiro não divulgado, código proprietário.

4. Quando a revisão é obrigatória. Nada gerado por IA sai da empresa (para cliente, para o público, para órgão regulador) sem revisão de uma pessoa. Número, citação, dado e nome próprio precisam ser conferidos na fonte, não com a própria IA.

5. Quem responde. Quem entrega responde pelo que entregou. IA é ferramenta: não assina, não é parte e não assume erro.

6. Se algo der errado. Colou o que não devia, ou percebeu um erro que passou? Avise <canal> no mesmo dia, sem medo de punição pelo aviso. O que é punível é esconder. Nós vamos: registrar, avaliar o impacto e trocar o que precisar ser trocado.

Anexo A: ferramentas aprovadas. <lista, com quem tem acesso e para quê. Atualizada por <nome>, revisada a cada <trimestre>.>

Repare em três escolhas deliberadas nesse texto.

O item 2 tem um caminho para pedir ferramenta nova. É o item que quase nenhuma política tem e o que mais reduz uso não aprovado, porque a alternativa ao pedido é o desvio.

O item 6 protege quem avisa. Política que pune o aviso não recebe aviso; recebe silêncio, e o incidente aparece meses depois. Isso é a mesma lógica de um plano de resposta a incidentes que funciona.

A lista de ferramentas está num anexo. Porque ela muda todo mês e o resto não. Política que embute a lista no corpo precisa de nova aprovação a cada ferramenta nova, e quando isso trava as pessoas param de pedir.

O que não escrever

Cinco coisas que aparecem em quase toda política de uso de IA e não fazem trabalho nenhum:

• "Use a IA com responsabilidade e bom senso." Não decide nada. Todo mundo acha que está sendo responsável.
• Lista de ferramentas proibidas. Envelhece em semanas e sugere que o que não está na lista está liberado. Lista de aprovadas, sim; de proibidas, não.
• Seção de princípios éticos. Importa, e não é aqui. Isso é assunto de ética em IA, que é panorama; a política é o documento operacional. Misturar os dois faz o documento crescer e perder uso.
• Proibição geral sem alternativa. Já discutido: troca risco visível por risco cego.
• Detalhe técnico de como a ferramenta funciona. Isso muda mais rápido que o documento e não muda a decisão de ninguém.

E um erro de forma que mata boas políticas: exigir treinamento para entender o documento. Se ele precisa de aula, ele é grande demais. A capacitação é outra frente: o método de trabalho está em como usar IA no trabalho e a conferência de saída em alucinação de IA.

Quem assina, quem mantém

Duas perguntas curtas com consequência grande.

Quem assina é quem responde pelo risco, normalmente a direção, não a TI. Uma política de uso de IA assinada só pela TI é lida como regra de sistema, e o que ela regula é decisão de negócio: que dado a empresa aceita expor e que erro ela aceita correr.

Quem mantém precisa ter nome. Em empresa pequena, "comitê de IA" costuma ser uma pessoa com o assunto no escopo, e isso está bom. O que não funciona é o documento sem dono, que envelhece até virar ficção. Um ciclo de revisão trimestral do anexo A e anual do corpo resolve.

Vale dizer o que não precisa: comitê formal antes de existir a política de uso de IA. Começar pela estrutura é o caminho mais rápido para produzir burocracia sem efeito.

Quando a política de IA deixa de ser opcional

Hoje, para a maioria das empresas brasileiras, política de uso de IA é boa prática. Três movimentos indicam para onde isso vai:

• ISO/IEC 42001 (2023) especifica requisitos para um sistema de gestão de IA e trata política e responsabilidades como parte dele. O detalhe que importa para PME: a norma cobre três papéis (quem desenvolve, quem fornece e quem apenas usa). Você provavelmente é o terceiro, e ele está no escopo. Se o vocabulário de norma ISO é novo para você, o mapa está em quais certificações ISO existem e a experiência de implantar uma, em ISO 27001 na prática.
• Regulação brasileira em formação, com lógica por nível de risco. O estado da discussão está em regulamentação de IA no Brasil.
• Exigência contratual de cliente grande. É o vetor que costuma chegar primeiro, antes de qualquer lei: o questionário de fornecedor passa a ter a pergunta "vocês têm política de uso de IA?", e a resposta precisa ser um documento.

E há a obrigação que já vale hoje: se dado pessoal entra na ferramenta, isso é tratamento com um operador novo na cadeia, com a régua de LGPD para PMEs.

O ponto que fica

Escrever uma política de uso de IA é mais fácil do que parece, porque o documento útil é curto. O que é difícil é o item 2: ter uma ferramenta aprovada para oferecer. Sem ele, a política é uma proibição, e proibição sem alternativa você já sabe onde vai dar: nos 38%.

Então a ordem que eu recomendaria é o contrário da intuitiva. Primeiro contrate uma conta corporativa de alguma ferramenta decente. Depois escreva a página. O comitê, se um dia precisar, vem por último.

Uma página que responde "posso colar isto?" em trinta segundos vale mais que vinte páginas que ninguém abre na hora da dúvida.