Em muitas indústrias, a IA já circula pelo dia a dia sem que ninguém tenha combinado nada: notas coladas em chatbots, desenhos técnicos enviados para análise, planilhas preenchidas com apoio de assistente virtual. O resultado é uma decisão tomada caso a caso, sem critério comum e sem registro. Este texto mostra como estruturar uma política de inteligência artificial que faça sentido na operação: o que ela precisa cobrir, quem participa da aprovação, como tratar dados sensíveis, exceções e revisão periódica.
O que é uma política de inteligência artificial e por que sua empresa precisa de uma
Uma política de inteligência artificial é um documento interno que define como as pessoas da empresa podem usar ferramentas de IA no trabalho, o que é proibido, quem aprova exceções e quem responde pelo resultado. Ela existe para reduzir riscos de vazamento de dados, decisão mal fundamentada e uso incompatível com as obrigações legais da operação, sem bloquear o ganho de produtividade que a tecnologia oferece.
O ponto de partida é simples: a IA já entrou na empresa, mesmo que ninguém tenha autorizado. Um analista cola uma nota fiscal no ChatGPT para resumir, um engenheiro pede ajuda para interpretar um desenho, um comprador usa IA para comparar propostas. Sem regra escrita, cada pessoa decide sozinha o que é aceitável, e a empresa descobre o risco depois que ele acontece.
Uma política bem feita cumpre três funções ao mesmo tempo:
- Protege informações que não podem sair do ambiente controlado, como dados pessoais de funcionários e clientes, fórmulas, contratos e especificações técnicas.
- Preserva a responsabilidade humana: a IA sugere, mas quem assina, aprova ou libera continua sendo a pessoa.
- Dá segurança para o time usar a ferramenta sem medo de errar por falta de orientação.
Instituições públicas brasileiras já trilharam esse caminho. O Tribunal de Justiça do Paraná publicou uma política de IA generativa com o objetivo explícito de "incentivar e garantir o desenvolvimento e o uso legal e ético da tecnologia", segundo a Secretaria de Tecnologia da Informação do TJPR. O IFSP, ao publicar a sua, definiu como pilar a proibição de inserir dados sensíveis em ferramentas externas, em conformidade com a LGPD, conforme o Portal Institucional do IFSP.
Para uma indústria ou empresa B2B, a política de uso de IA cumpre o mesmo papel: transforma uma decisão individual e arriscada em um padrão coletivo e auditável. Sem ela, o gestor descobre o uso inadequado pela consequência, não pela prevenção. Se a sua empresa ainda está começando a estruturar o uso de IA, vale entender antes como começar a aplicar inteligência artificial nas empresas.
Segundo Portal Institucional, o IFSP definiu como pilar a proibição de inserir dados sensíveis em ferramentas externas, em conformidade com a LGPD.
Segundo Portal Institucional, a própria portaria do IFSP informa que foi redigida com o auxílio de um sistema de Inteligência Artificial, servindo como exemplo de uso transparente e produtivo da tecnologia.
Política interna, política nacional e política de fornecedor: o que cada uma resolve
Três documentos com nomes parecidos confundem quem começa a pesquisar o tema, e cada um resolve um problema diferente:
- A política interna é a que a sua empresa escreve e aplica ao próprio time.
- A política nacional é uma diretriz pública, de governo, que orienta o desenvolvimento de IA no país.
- A política de fornecedor é o termo de uso ou contrato que uma empresa de software impõe a quem usa a ferramenta dela.
A política nacional não substitui a sua. Em dezembro de 2025, a Comissão de Ciência e Tecnologia do Senado aprovou um relatório com sugestões para aperfeiçoar a Política Pública Nacional de Inteligência Artificial, apontando que essas políticas "não podem ser improvisadas, tampouco dispersas", segundo o Senado Federal. O documento orienta o poder público, mas não diz o que o seu analista pode ou não colar no ChatGPT.
A política de fornecedor também não resolve o seu problema. Quando sua equipe usa uma ferramenta gratuita ou paga, ela aceita os termos daquela empresa, que normalmente preveem uso dos dados para treinar modelos ou armazenamento fora do Brasil. A política interna existe justamente para decidir, antes do uso, quais ferramentas são aceitas e sob quais condições.
Na prática, a política interna dialoga com as outras duas: ela observa as diretrizes nacionais aplicáveis e define quais fornecedores passam no crivo de segurança da empresa. Mas a decisão sobre o que é permitido no dia a dia da operação é sua.
Quem deve participar da elaboração e da aprovação
Uma política de IA escrita só pelo jurídico tende a ser genérica demais para a operação. Escrita só pela TI, tende a ignorar obrigações legais e riscos de negócio. Escrita só por um gestor entusiasmado, tende a liberar tudo sem critério. O documento precisa nascer de um grupo pequeno, com autoridade para decidir, e ser validado por quem executa.
O núcleo de elaboração costuma ter quatro perfis:
- Um representante da área jurídica ou de compliance, que conhece as obrigações de proteção de dados, propriedade intelectual e contrato de trabalho.
- Um responsável de segurança da informação ou TI, que sabe quais ferramentas existem, como os dados trafegam e o que dá para bloquear tecnicamente.
- Um líder de operação, que conhece os processos reais onde a IA será usada.
- Um representante de pessoas ou treinamento, que vai transformar a regra em capacitação.
A aprovação final precisa vir de quem tem autoridade sobre a operação inteira, normalmente a diretoria ou o comitê executivo. Política de IA aprovada apenas por um gerente de área vira regra local, que os outros setores ignoram com razão.
Um erro comum é não ouvir quem executa antes de publicar. O analista que preenche planilha, o engenheiro que lê desenho técnico e o comprador que valida nota fiscal sabem exatamente onde a IA ajuda e onde ela erra. Entrevistar três ou quatro dessas pessoas antes de redigir evita criar regra para um uso que não existe e esquecer um risco que já acontece todo dia.
Escopo: quais ferramentas, áreas e usos a política deve cobrir
O escopo responde a três perguntas: quais ferramentas entram na regra, quais áreas da empresa estão sujeitas a ela e quais usos são permitidos, restritos ou proibidos. Sem escopo claro, a política vira um texto bonito que ninguém sabe aplicar.
Quanto às ferramentas, a política vale para qualquer sistema baseado em IA usado em atividade profissional, incluindo chatbots de uso geral, assistentes integrados a editores de texto e planilhas, ferramentas de geração de imagem e sistemas internos que usam IA. O TJPR, por exemplo, aplica a sua política a todos os agentes que utilizem ou desenvolvam aplicativos, modelos ou sistemas de IA no âmbito do tribunal, independentemente do vínculo.
Quanto às áreas, a regra vale para toda a empresa, sem exceção de setor. Engenharia, comercial, qualidade, manutenção, logística, compras, financeiro e back-office usam IA de formas diferentes, mas todos estão sujeitos à mesma política. O que muda é o detalhamento dos usos permitidos em cada área, que pode vir em anexo.
Uso permitido, uso restrito e uso proibido
Classificar os usos em três níveis é a forma mais prática de dar clareza sem escrever um manual para cada tarefa. Uso permitido é aquele que a pessoa pode fazer sem pedir autorização:
- resumir um texto público;
- reescrever um e-mail sem dados sensíveis;
- gerar uma primeira versão de um relatório interno;
- traduzir um documento não confidencial.
Uso restrito é aquele que exige condição ou aprovação prévia: usar IA com dados pessoais, com informações comerciais sensíveis ou em decisão que afeta cliente, fornecedor ou funcionário. Nesses casos, a política define quem autoriza e o que precisa ser registrado.
Uso proibido é aquele que não pode acontecer em nenhuma hipótese: colar dados pessoais ou informações confidenciais em ferramenta externa não aprovada, usar IA para decidir sozinha sobre contratação, demissão, concessão de crédito ou liberação de material, e apresentar conteúdo gerado por IA como se fosse produção humana sem revisão e sem identificação.
Dados pessoais, informações confidenciais e propriedade intelectual
Esta é a seção que mais evita prejuízo. A política precisa separar três categorias de informação e dar regra distinta para cada uma. Informações confidenciais são as de negócio: preço, margem, fórmula, desenho técnico, contrato, estratégia, dado de produção. Propriedade intelectual é o que a empresa criou ou licenciou: código, projeto, texto, marca, método.
A regra central é simples de escrever e difícil de burlar: nenhuma dessas três categorias entra em ferramenta externa sem aprovação prévia e sem garantia de que o fornecedor não usa os dados para treinar modelo nem os armazena fora do controle da empresa. O IFSP adotou exatamente esse critério ao proibir a inserção de dados sensíveis em ferramentas externas como pilar de sua política, conforme o Portal Institucional.
Para ferramentas internas ou contratadas com cláusula de confidencialidade, o uso pode ser liberado com registro. O que a política precisa deixar claro é que a responsabilidade pela classificação do dado é de quem vai usar a ferramenta, não da ferramenta.
Regras que precisam estar no documento
Depois do escopo, o documento precisa de regras operacionais que digam como o uso acontece na prática. Três blocos são indispensáveis: transparência, supervisão humana e tratamento de riscos.
Transparência e identificação de conteúdo gerado por IA
A regra de transparência diz quando e como informar que um conteúdo foi produzido ou apoiado por IA. Para documentos internos, a exigência pode ser simples: indicar no próprio documento que houve uso de IA relevante. Para conteúdo externo, como proposta comercial, relatório para cliente ou material técnico, a identificação precisa ser explícita e registrada.
Se a IA participou de forma relevante de uma entrega, quem recebe a entrega tem o direito de saber.
Transparência não significa burocracia para todo uso. Reescrever um e-mail interno com IA não exige declaração formal. Produzir um relatório técnico que vai para o cliente, sim.
Supervisão humana e responsabilidade pelo resultado
A regra mais importante de qualquer política de IA é esta: o uso da ferramenta não transfere responsabilidade para a ferramenta. Quem usa a IA responde pelo resultado como se tivesse feito sozinho.
Nenhuma decisão relevante pode ser delegada integralmente a um sistema de IA. Para a empresa, isso significa que o engenheiro que usa IA para interpretar um desenho continua responsável pela interpretação, o comprador que usa IA para comparar propostas continua responsável pela escolha, e o analista que usa IA para preencher uma planilha continua responsável pelo dado lançado.
A política precisa definir também o que exige revisão humana obrigatória:
- todo conteúdo que sai da empresa;
- toda decisão que afeta terceiros;
- todo dado lançado em sistema de registro.
Nesses casos, a IA pode propor, mas não pode concluir sozinha.
Vieses, segurança da informação e incidentes
O terceiro bloco trata de riscos que não dependem de má-fé. Viés é a tendência da IA de reproduzir padrões injustos ou imprecisos presentes nos dados em que foi treinada. A política precisa orientar que decisões sobre pessoas, como seleção, avaliação e promoção, não podem ser tomadas com base apenas em saída de IA, e que toda saída que pareça discriminatória deve ser reportada.
Segurança da informação entra como regra de acesso e de ambiente: cada pessoa usa a IA com seu próprio login, ninguém compartilha conta, e ferramenta nova só entra na operação depois de avaliação de segurança. Incidente é o que acontece quando alguém insere dado sensível em ferramenta errada ou quando uma saída de IA causa prejuízo: a política define o que registrar, para quem reportar e em quanto tempo.
O objetivo dessas regras não é criar um tribunal, é garantir que o erro vire aprendizado e não se repita em escala.
A utilização de inteligência artificial não transfere nem reduz a responsabilidade dos autores, pareceristas ou editores, conforme diretriz da USP.
Como redigir, aprovar e comunicar a política na prática
A redação segue uma sequência que funciona melhor do que começar pelo texto:
- O grupo de elaboração levanta os usos reais de IA na empresa: onde as pessoas já usam, o que colam nas ferramentas, o que deu certo e o que quase deu errado.
- Classifica esses usos em permitido, restrito e proibido.
- Só então escreve o documento.
O texto precisa ser curto o suficiente para ser lido e específico o suficiente para ser aplicado. Cada regra deve responder a quatro perguntas: o que pode, o que não pode, o que exige aprovação e quem aprova.
A aprovação formal passa pela diretoria ou pelo comitê responsável, com registro em ata ou documento equivalente. Depois de aprovada, a política precisa ser comunicada de forma ativa:
- reunião por setor;
- versão resumida de uma página;
- exemplos do que mudou na prática.
Publicar na intranet e esperar que leiam não é comunicação.
Um cuidado específico: a política precisa prever exceção. Nenhuma regra cobre todos os casos, e sem canal de exceção as pessoas simplesmente ignoram a regra. Defina quem autoriza exceção temporária, como ela é registrada e por quanto tempo vale.
Monitoramento, atualização e treinamento contínuo
Política de IA não é documento estático. As ferramentas mudam a cada trimestre, e uma regra escrita em janeiro pode estar desatualizada em julho. O documento precisa de dono, prazo de revisão e indicador de aderência.
O dono da política é a pessoa ou área responsável por revisar, tirar dúvidas e propor atualização. Pode ser o jurídico, a TI ou um comitê, mas precisa ser alguém nomeado. A revisão deve acontecer sempre que a empresa adotar uma ferramenta nova relevante, mudar de fornecedor ou sofrer um incidente.
Monitorar aderência não significa vigiar cada prompt. Significa verificar, por amostragem e por relato, se as regras estão sendo seguidas:
- As ferramentas aprovadas são as que estão em uso?
- Os conteúdos externos gerados com IA estão identificados?
- Os incidentes estão sendo reportados?
Onde a regra está sendo ignorada, vale investigar se o problema é falta de treinamento ou regra mal desenhada.
Treinamento contínuo fecha o ciclo. A política só funciona se as pessoas souberem aplicá-la no próprio trabalho. Treinamentos curtos por setor, com exemplos reais da operação, funcionam melhor do que palestra genérica. O IFSP, ao publicar sua política, reforçou o caráter de convite à comunidade: a regra existe para dar segurança a quem quer usar IA de forma produtiva, não para punir.
Erros comuns ao criar uma política de IA e como evitá-los
O primeiro erro é copiar a política de outra empresa ou de um órgão público e trocar o nome. Política de tribunal de justiça resolve problema de tribunal, não de indústria. O documento precisa nascer dos usos reais da sua operação.
O segundo é escrever regra genérica demais, do tipo "usar IA de forma ética e responsável". Isso não orienta ninguém. Regra boa tem exemplo: "não cole dados de cliente em ferramenta externa; para resumir contrato, use a ferramenta interna aprovada".
O terceiro é proibir tudo. Política que bloqueia qualquer uso de IA não reduz risco, empurra o uso para fora da vista. As pessoas continuam usando no celular pessoal, sem nenhum controle. Melhor liberar com critério do que proibir sem efeito.
O quarto é criar a política e não treinar ninguém. Documento sem treinamento é enfeite. O quinto é não revisar: ferramenta nova entra, regra velha fica, e a política perde validade prática em poucos meses. Evitar esses erros é mais simples do que parece:
- comece pelos usos reais;
- escreva com exemplo;
- libere com critério;
- treine por setor;
- revise com dono nomeado.
Perguntas frequentes
Qual a diferença entre política de IA e termo de uso da ferramenta?
O termo de uso é o contrato que o fornecedor da ferramenta impõe a quem usa o serviço. A política de IA é o documento interno que a sua empresa escreve para definir quais ferramentas podem ser usadas, com quais dados e sob quais condições. Uma não substitui a outra: o termo regula a relação com o fornecedor, a política regula o comportamento do time.
Preciso bloquear o acesso a ferramentas de IA na rede da empresa?
Não necessariamente. É mais eficaz manter as ferramentas acessíveis, definir quais são aprovadas, orientar o que não pode ser inserido e monitorar por amostragem. O bloqueio técnico faz sentido para ferramentas específicas que representem risco alto e não tenham alternativa aprovada, mas não substitui a regra escrita e o treinamento.
Quem responde se a IA gerar uma informação errada que causar prejuízo?
Quem usou a ferramenta responde pelo resultado, como se tivesse produzido a informação manualmente. A política precisa deixar isso explícito: o uso da ferramenta não transfere nem reduz a responsabilidade de quem assina, aprova ou entrega o trabalho. Por isso, a regra de supervisão humana obrigatória para conteúdo externo e decisão que afeta terceiros é a mais importante do documento.
Com que frequência a política de IA deve ser revisada?
Pelo menos uma vez por ano, e também sempre que houver mudança relevante: adoção de ferramenta nova, troca de fornecedor, incidente de segurança ou mudança em obrigação legal aplicável. A revisão periódica deve ser responsabilidade de um dono nomeado, que consulta as áreas usuárias, verifica se as regras continuam fazendo sentido e propõe atualização. Política sem dono e sem prazo de revisão perde validade prática em poucos meses, porque as ferramentas mudam rápido.
Uma política de IA pode liberar o uso de qualquer ferramenta gratuita?
Pode, desde que a liberação venha com condições claras: nenhum dado pessoal ou confidencial pode ser inserido, o uso é limitado a tarefas de baixo risco e o conteúdo gerado passa por revisão humana. A política precisa separar o que pode ser processado ali do que exige ferramenta contratada com cláusula de confidencialidade.
Precisa de ajuda com isso?
Se a sua operação já usa IA em processos de engenharia, qualidade, logística ou back-office e ainda não tem regra clara para esse uso, vale começar por um diagnóstico dos processos e dos riscos. Converse com a equipe para entender por onde começar.
