Modelo de política de uso de IA para pequenas empresas (com plano de implantação em duas semanas)

Nesta página 11

1. O que uma política de uso de IA precisa cobrir
2. Por que uma pequena empresa precisa de uma política de IA (mesmo com cinco pessoas)
3. Quatro decisões para tomar antes de preencher o modelo
4. O modelo de política de uso de IA
5. Como adaptar o modelo ao seu negócio
6. Uma nota sobre leis no Brasil (e fora dele)
7. Como implantar: um plano simples de duas semanas
8. Cartão de consulta rápida para a equipe
9. Como manter a política atualizada
10. Erros comuns que vale evitar
11. Quando buscar orientação jurídica ou profissional

A resposta curta

Uma política de uso aceitável de IA é um documento curto que diz à sua equipe quais ferramentas de inteligência artificial podem ser usadas no trabalho, para quê, com quais dados e quem confere o resultado. Para uma equipe de 1 a 50 pessoas, tudo cabe em duas a quatro páginas. Depois de tomar as quatro decisões descritas abaixo, dá para preencher o modelo em uma tarde.

• Regra de dados em formato de semáforo (verde, amarelo e vermelho), com uma exceção controlada para dados pessoais.
• Registro de ferramentas aprovadas e cartão de consulta rápida para a equipe.
• Ajustes por tipo de negócio, notas sobre a LGPD e um plano de implantação em duas semanas.

O que uma política de uso de IA precisa cobrir

Você também vai encontrar esse documento com outros nomes: política de IA, diretrizes de uso de IA para funcionários, política de IA generativa ou simplesmente “regras para usar o ChatGPT na empresa”. Para uma pequena empresa, normalmente é tudo a mesma coisa.

Ela deve cobrir:

• Ferramentas aprovadas: quais ferramentas são permitidas e em quais contas.
• Regras de dados: o que pode e o que não pode entrar em uma ferramenta. O modelo usa um sistema de semáforo: verde, amarelo e vermelho.
• Usos permitidos: para que a equipe é incentivada a usar IA.
• Usos proibidos: o que está fora de questão.
• Revisão humana: quem confere o que a IA produz, e como.
• Transparência com clientes: quando você avisa o cliente de que houve uso de IA.
• Contas e segurança: contas corporativas, autenticação multifator, remoção de acessos.
• Comunicação de incidentes: o que fazer quando algo dá errado.
• Data de revisão: quando a política será revista.

O modelo completo abaixo foi feito para ser editado, não copiado palavra por palavra.

Por que uma pequena empresa precisa de uma política de IA (mesmo com cinco pessoas)

Os riscos do uso de IA não diminuem junto com o número de funcionários. Uma empresa de cinco pessoas pode expor os dados de um cliente tão facilmente quanto uma grande. Só tem menos gente para perceber.

Sua equipe provavelmente já usa IA

As pessoas testam chatbots como ChatGPT, Claude, Gemini ou Microsoft Copilot por conta própria, muitas vezes em contas pessoais. Isso costuma ser chamado de “shadow AI” (uso de IA fora do controle da empresa).

Raramente há má intenção: as pessoas só querem trabalhar mais rápido. Uma política traz esse uso para a luz, para que você possa enxergá-lo e orientá-lo.

Os riscos: dados, erros, contratos e propriedade intelectual

Risco com dados. Quando alguém cola o e-mail de um cliente ou uma planilha em uma ferramenta, esses dados vão para um terceiro. Dependendo da ferramenta, do plano e das configurações, o fornecedor pode armazená-los, submetê-los a revisão ou usá-los para melhorar seus modelos. Planos gratuitos e pessoais podem tratar dados de forma diferente dos planos empresariais, e esses termos mudam com o tempo.

Risco de erro. Ferramentas de IA generativa, incluindo as baseadas em grandes modelos de linguagem (LLMs), podem dar respostas que soam confiantes e estão erradas. São as chamadas alucinações. Números inventados, citações que não existem e informações jurídicas incorretas são exemplos típicos. Alguém precisa ser dono da conferência final.

Risco contratual e com clientes. Alguns contratos e acordos de confidencialidade (NDAs) restringem o compartilhamento de informações com serviços de terceiros. Colar o documento de um cliente em uma ferramenta de IA pode violar esses termos, mesmo que nada vaze.

Incerteza sobre propriedade intelectual. Ainda não está definido se conteúdo gerado por IA pode ter dono, nem se ele pode reproduzir o trabalho de outra pessoa. A resposta também varia de país para país.

Também é uma autorização

Uma boa política não é só uma lista de proibições. Ela diz claramente o que a equipe pode fazer, o que acaba com a adivinhação e incentiva hábitos úteis e seguros.

Quatro decisões para tomar antes de preencher o modelo

O modelo depende de quatro escolhas. Faça-as primeiro e os colchetes ficam fáceis de preencher.

1. Quais ferramentas você vai aprovar?

Liste as ferramentas que as pessoas já usam e as que você quer que elas usem. Decida se vai pagar por planos empresariais ou de equipe. Esses planos costumam trazer mais controle administrativo e termos de dados diferentes, mas confira os termos atuais de cada fornecedor em vez de presumir.

Se você ainda está escolhendo, nosso guia sobre como escolher um assistente de escrita com IA para a sua empresa mostra critérios e um plano de teste curto. Um ponto de partida prático para muitas equipes pequenas é um assistente de uso geral em plano empresarial, mais os recursos de IA que já vêm nos programas que vocês usam.

2. Quais são seus dados vermelhos, e há exceções?

Dados vermelhos são informações que não podem entrar em ferramentas de IA. Escreva a sua lista. Ela costuma incluir dados pessoais de clientes e funcionários (como nome completo, CPF, endereço e telefone), senhas e chaves de acesso, dados bancários e de pagamento, informações de saúde e tudo que estiver sob NDA. Seu setor pode acrescentar mais itens.

Depois, seja realista sobre como vocês trabalham. Uma ferramenta de anotações de reunião com IA ouve nomes e vozes. A IA integrada ao seu e-mail lê mensagens de clientes. As duas tratam dados pessoais.

Decida se alguma ferramenta específica pode lidar com dados pessoais em condições controladas:

Decisão rápida

• Sim, alguma ferramenta pode tratar dados pessoais em condições controladasmarque-a no registro como exceção, como o modelo permite.
• Não, nenhuma ferramenta deve tratar dados pessoaismantenha dados pessoais como vermelhos em tudo e retire esses usos da política.

As duas escolhas são válidas. O que não funciona é uma regra que contradiz o dia a dia, porque as pessoas simplesmente vão ignorá-la.

3. Quem será o responsável por IA?

Escolha uma pessoa. Em uma pequena empresa, costuma ser o dono, o gerente de operações ou quem cuida do administrativo. Essa pessoa aprova ferramentas, responde dúvidas, trata incidentes e conduz as revisões.

Não precisa ser alguém técnico, só organizado e que vá de fato fazer isso. Se sua empresa já tem um encarregado de dados (DPO), faz sentido envolvê-lo.

4. Qual será sua postura sobre transparência com clientes?

Decida se vai avisar os clientes sobre o uso de IA sempre, só quando perguntarem ou quando for exigido, ou apenas em certos tipos de trabalho. O modelo traz três opções para você escolher.

O modelo de política de uso de IA

---

INÍCIO DO MODELO

Política de Uso de Inteligência Artificial da [Nome da empresa]

• Versão: [1.0]
• Data de vigência: [DD/MM/AAAA]
• Última atualização: [DD/MM/AAAA]
• Responsável pela política (responsável por IA): [Nome, cargo, e-mail]
• Próxima revisão: [DD/MM/AAAA]

1. Objetivo e abrangência

A [Nome da empresa] quer que todos usem ferramentas de IA sempre que elas ajudarem a fazer um trabalho melhor e mais rápido. Esta política explica como fazer isso com segurança. Ela protege nossos clientes, nossos colegas e a empresa.

A quem se aplica: todos os funcionários, prestadores de serviço (inclusive PJ), freelancers e estagiários que trabalham para a [Nome da empresa].

O que abrange: qualquer ferramenta de IA generativa usada no trabalho, incluindo:

• chatbots e assistentes de IA;
• assistentes de escrita e revisão;
• geradores de imagem, áudio e vídeo;
• assistentes de programação;
• ferramentas de anotações de reunião e transcrição com IA;
• recursos de IA integrados aos programas que já usamos, como e-mail, documentos, CRM e videochamadas;
• extensões de navegador que usam IA.

Vale para equipamentos da empresa e para equipamentos pessoais usados no trabalho.

2. Termos principais

• Ferramenta de IA generativa: software que cria textos, imagens, áudio, vídeo ou código a partir de instruções.
• Prompt: o que você digita, envia ou fala para a ferramenta. Resultado: o que a ferramenta produz.
• Dado pessoal: qualquer informação sobre uma pessoa identificada ou identificável, como nome, e-mail, telefone, endereço, gravação de voz, CPF ou RG. Alguns tipos, como informações de saúde, são especialmente protegidos e a LGPD os chama de dados pessoais sensíveis.
• Informação confidencial: tudo que não é público sobre nossa empresa ou nossos clientes, incluindo o que estiver coberto por NDA ou contrato.
• Ferramenta aprovada: uma ferramenta que consta no registro da seção 3, usada no tipo de conta indicado ali.
• Dados verdes, amarelos e vermelhos: os três níveis de dados definidos na seção 4.

3. Ferramentas aprovadas e como pedir uma nova

No trabalho, use apenas as ferramentas da lista abaixo. Use a conta administrada pela empresa, não uma conta pessoal.

Uma conta corporativa administrada pela empresa, como o pacote de e-mail e documentos que a [Nome da empresa] contrata e administra, conta como conta empresarial para as regras de dados da seção 4. Uma conta pessoal ou gratuita que você mesmo criou não conta.

A coluna “Dados pessoais permitidos?” mostra as únicas ferramentas que podem tratar dados pessoais (veja a seção 4). Se estiver “Não”, trate dados pessoais como vermelhos naquela ferramenta.

Para pedir uma nova ferramenta, mande uma mensagem para [responsável por IA] em [e-mail] com o nome da ferramenta, para que você quer usá-la e quais dados ela vai envolver. O responsável por IA verifica os termos de dados, o custo e as configurações de segurança antes de aprovar. Não comece a usar uma ferramenta no trabalho antes de ela entrar na lista.

Registro de ferramentas aprovadas

4. Regras de dados: verde, amarelo, vermelho

Antes de colocar qualquer coisa em uma ferramenta de IA, consulte esta tabela. Regra prática: se você não publicaria em um fórum aberto na internet, não é verde. Na dúvida, trate como vermelho e pergunte a [responsável por IA].

Exceção controlada para dados pessoais. Dados pessoais de clientes ou funcionários só podem entrar em ferramentas marcadas no registro como “Dados pessoais permitidos: Sim”. Uma ferramenta só recebe “Sim” se for usada em conta empresarial e se [responsável por IA] tiver verificado os termos de tratamento de dados e as configurações do fornecedor.

Exemplos: [a IA integrada ao nosso e-mail], [nossa ferramenta aprovada de anotações de reunião]. Mesmo assim, use só os dados pessoais de que a tarefa realmente precisa, e apenas para os usos aprovados no registro.

Sempre vermelho, em qualquer ferramenta, sem exceção:

• senhas, chaves de API e códigos de acesso;
• dados bancários, de cartão ou de contas financeiras;
• informações de saúde e outros dados pessoais sensíveis;
• qualquer coisa sob NDA ou contrato que restrinja o compartilhamento [a menos que o cliente tenha autorizado por escrito];
• resultados financeiros não divulgados;
• assuntos de RH, disciplinares ou salariais.

Tirar os nomes nem sempre basta. Se os detalhes que sobraram ainda permitirem identificar uma pessoa ou um cliente, trate como vermelho.

Os termos de uso e retenção de dados dos fornecedores variam conforme o plano e mudam com o tempo. O responsável por IA verifica esses termos ao aprovar uma ferramenta e a cada revisão.

5. Para que você pode usar IA

Você é incentivado a usar as ferramentas aprovadas para:

• escrever e revisar e-mails, posts para redes sociais, documentos e propostas;
• resumir materiais públicos, verdes ou amarelos;
• gerar ideias, títulos, estruturas e alternativas;
• ter um ponto de partida para pesquisas, desde que confira os fatos nas fontes originais;
• pedir ajuda para escrever, explicar ou corrigir código, dentro das regras de dados;
• rascunhar respostas e orçamentos para clientes, sem os dados pessoais ou em uma ferramenta que o registro aprova para dados pessoais;
• fazer atas de reunião, mas só com uma ferramenta que o registro aprova para dados pessoais e com todos os participantes avisados e de acordo;
• [inclua usos específicos do seu negócio].

6. Para que você não pode usar IA

Não use ferramentas de IA para:

• inserir dados vermelhos, exceto dados pessoais em uma ferramenta que o registro aprova para isso (seção 4);
• tomar decisões finais sobre pessoas, como contratação, demissão, salário, crédito ou preço individual, sem que uma pessoa revise e assuma a decisão;
• criar conteúdo enganoso, se passar por outra pessoa ou criar deepfakes e mídia sintética de pessoas reais;
• apresentar resultados de IA como fato verificado ou como orientação profissional sem conferir;
• contornar controles de segurança ou instalar extensões e plug-ins de IA não aprovados;
• criar conteúdo que viole direitos de terceiros ou os termos de uso da ferramenta;
• gravar ou transcrever reuniões ou ligações sem o consentimento dos participantes.

7. Revisão humana e precisão

Tudo que a IA ajuda a produzir passa por uma pessoa. Quem usa a IA é responsável pelo resultado. Antes de usar qualquer resultado:

• confira nomes, números, datas, citações e referências em uma fonte confiável;
• revise com cuidado redobrado qualquer coisa jurídica, médica, financeira ou de segurança;
• verifique se o texto tem a nossa cara e se é adequado ao público.

Trabalhos de maior risco passam por uma segunda revisão de [cargo ou nome] antes de sair. Isso inclui entregas para clientes, conteúdo publicado, contratos e qualquer coisa com preços ou compromissos.

Quando for viável, guarde o prompt ou o material de origem junto com o trabalho, para sabermos como ele foi produzido.

8. Transparência com clientes e com o público

[Escolha uma opção e apague as outras.]

• Opção A: avisamos os clientes sempre que ferramentas de IA ajudaram a produzir uma entrega.
• Opção B: informamos sobre o uso de IA quando o cliente pergunta ou quando o contrato exige.
• Opção C: sempre informamos o uso de IA em [imagens geradas por IA / artigos publicados / outras categorias] e, nos demais casos, quando solicitado.

Em qualquer caso, os termos do contrato com o cliente vêm primeiro. Identifique imagens, áudios e vídeos gerados por IA quando isso for relevante para o público.

9. Propriedade intelectual e direitos autorais

As regras sobre direitos autorais e material gerado por IA ainda não estão definidas e variam de país para país. Por isso:

• não presuma que somos donos absolutos do resultado gerado por IA; consulte [responsável por IA] antes de contar com isso em trabalhos importantes;
• não peça às ferramentas que imitem obras protegidas específicas, ou o estilo de artistas vivos, para uso comercial [ajuste à sua posição];
• sempre que possível, verifique se textos e códigos gerados têm trechos que parecem copiados de outro lugar;
• respeite os termos do cliente sobre quem é dono do trabalho e se a IA pode ser usada nele.

10. Contas, acessos e segurança

• Use apenas contas empresariais no trabalho. Nada de contas pessoais de IA para materiais da empresa ou de clientes.
• Ative a autenticação multifator (MFA), também chamada de verificação em duas etapas. Use login único (SSO) onde tivermos.
• Não compartilhe logins.
• [Responsável por IA] remove os acessos quando alguém sai da empresa ou muda de função.
• Ao configurar uma ferramenta, revise as configurações de dados, histórico e treinamento e anote-as no registro.
• Tenha cuidado com ferramentas ou extensões de IA que se conectam ao e-mail, ao armazenamento de arquivos ou à agenda. Dê o mínimo de acesso necessário e consulte [responsável por IA] antes.

11. Como comunicar erros e incidentes

Erros acontecem. Rapidez importa mais do que culpa.

Se dados vermelhos entraram em uma ferramenta não aprovada para eles, ou se um resultado de IA errado ou prejudicial chegou a um cliente ou ao público, avise [responsável por IA] em até [24 horas]. Use [e-mail / telefone / WhatsApp / canal no chat].

O responsável por IA vai:

1. registrar o que aconteceu, quando, e quais ferramentas e dados estavam envolvidos;
2. apagar a conversa ou o arquivo, se a ferramenta permitir, e verificar as opções de exclusão do fornecedor;
3. avaliar imediatamente se é um incidente de segurança com dados pessoais que pode precisar ser comunicado à ANPD e, em certos casos, aos titulares dos dados, buscando orientação se necessário (pode haver prazos curtos para isso);
4. avisar o cliente, se o contrato ou a situação exigir;
5. atualizar esta política ou o treinamento, se isso ajudar a evitar que se repita.

Comunicar um erro rapidamente não será tratado como questão disciplinar. Escondê-lo pode ser.

12. Treinamento, descumprimento, revisão e ciência

• Quem entra na empresa recebe uma orientação rápida sobre esta política na primeira [semana].
• Descumprimentos são tratados conforme [nosso regulamento interno / o contrato de prestação de serviços].
• Esta política é revista a cada [6 meses], e antes disso se mudarem as ferramentas, os termos dos fornecedores, as exigências de clientes ou as leis.

Termo de ciência

Li e entendi a Política de Uso de Inteligência Artificial da [Nome da empresa], versão [1.0].

Nome: ______________________

Assinatura: ______________________

Data: ______________________

FIM DO MODELO

---

Como adaptar o modelo ao seu negócio

O modelo serve de base para a maioria das pequenas empresas. Alguns setores precisam de regras mais rígidas em pontos específicos.

Uma versão de uma página para freelancers e profissionais autônomos

Se você trabalha sozinho, inclusive como MEI, não precisa de doze seções. Escreva uma página com:

1. Minhas ferramentas: as ferramentas de IA que uso, em qual plano, as configurações que verifiquei e quais (se alguma) autorizo a tratar dados pessoais.
2. Meus dados vermelhos: o que nunca coloco em ferramentas de IA, incluindo todos os dados de clientes sob NDA.
3. Minha regra de revisão: confiro todos os fatos, números e referências antes de entregar.
4. O que digo aos clientes: por exemplo, “Uso ferramentas de IA como apoio para rascunhos e pesquisa. Todo o trabalho é revisado e editado por mim, e nunca coloco suas informações confidenciais nelas.”
5. Se algo der errado: aviso o cliente rapidamente e sigo o que o contrato prevê.

Guarde essa página em um lugar fácil de compartilhar com clientes que perguntarem.

Uma nota sobre leis no Brasil (e fora dele)

LGPD: dados pessoais, dados sensíveis e transferência internacional

• LGPD: a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) se aplica aos dados pessoais que você coloca em ferramentas de IA. Quando um fornecedor trata dados pessoais em nome da sua empresa, em geral ele atua como operador e sua empresa como controladora. É importante ter termos contratuais claros com ele, muitas vezes chamados de acordo ou aditivo de tratamento de dados (DPA, na sigla em inglês). É uma das coisas que o responsável por IA deve procurar antes de marcar uma ferramenta como “Dados pessoais permitidos: Sim”.
• Dados sensíveis: a LGPD trata alguns dados pessoais como sensíveis, entre eles os dados de saúde, biométricos e genéticos. Eles têm regras mais rígidas.
• Transferência internacional: muitas ferramentas de IA processam dados em servidores fora do Brasil. A LGPD tem regras próprias para transferência internacional de dados, então confira como cada fornecedor trata isso nos termos.

ANPD, decisões automatizadas e marco legal da IA

• ANPD: a Autoridade Nacional de Proteção de Dados fiscaliza a LGPD e publica guias e regulamentos, incluindo regras sobre comunicação de incidentes de segurança. Confira no site da ANPD o que vale hoje.
• Decisões automatizadas: a LGPD prevê que o titular pode pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais. Mais um motivo para manter uma pessoa responsável por decisões sobre pessoas.
• Marco legal da IA: o Brasil discute uma lei específica para inteligência artificial (PL 2338/2023). Acompanhe o andamento nos sites da Câmara dos Deputados e do Senado Federal, porque, se aprovada, ela pode trazer novas obrigações.

União Europeia e referências internacionais

• União Europeia: se sua empresa opera na UE, ou usa sistemas de IA cujos resultados são usados lá, o AI Act europeu pode se aplicar. Ele entrou em vigor em agosto de 2024, e a obrigação de letramento em IA (AI literacy, artigo 4º) vale desde 2 de fevereiro de 2025 para organizações sujeitas à lei que usam sistemas de IA. O GDPR também pode se aplicar. Mesmo quando a lei não se aplica diretamente, clientes europeus podem exigir esse tipo de cuidado em contrato. Confirme seu caso com um consultor.
• Leitura complementar: o NIST AI Risk Management Framework, dos EUA, é voluntário, está em inglês e é mais detalhado do que a maioria das pequenas empresas precisa, mas é uma boa referência se você quiser se aprofundar.

Como implantar: um plano simples de duas semanas

Uma política só funciona se as pessoas a seguirem. Este plano transforma o documento em hábito.

Semana 1: decidir e escrever

Semana 2: apresentar e migrar

Cartão de consulta rápida para a equipe

Copie, coloque os nomes e fixe onde todos vão ver.

IA na [Nome da empresa]: o resumo

Faça:

1. Use ferramentas aprovadas na sua conta da empresa.
2. Confira o semáforo antes de colar qualquer coisa.
3. Tire nomes e identificadores de material amarelo.
4. Confira todos os fatos, números, citações e referências antes de usar o resultado.
5. Pergunte a [responsável por IA] quando tiver dúvida ou quiser testar uma ferramenta nova.

Não faça:

1. Colocar dados vermelhos em ferramentas de IA. Dados pessoais só entram em ferramentas que o registro aprova para isso.
2. Usar contas pessoais de IA no trabalho.
3. Instalar extensões de navegador com IA sem aprovação.
4. Gravar ou transcrever reuniões sem consentimento.
5. Deixar a IA tomar decisões finais sobre pessoas.

Semáforo:

• Verde: informações públicas, seus próprios rascunhos, perguntas genéricas. Liberado em ferramentas aprovadas.
• Amarelo: material interno ou de clientes sem nomes. Só em ferramentas aprovadas com conta empresarial.
• Vermelho:
  • Dados pessoais: só em ferramentas que o registro aprova para isso.
  • Senhas, dados de pagamento, informações de saúde e material sob NDA: nunca, em nenhuma ferramenta.

A quem perguntar: [nome do responsável por IA], [e-mail, WhatsApp ou canal no chat].

Se algo der errado: avise [responsável por IA] em até [24 horas]. Não tente resolver sozinho em silêncio. Anote o que aconteceu e em qual ferramenta. Avisar rápido não vai te trazer problemas.

Como manter a política atualizada

As ferramentas de IA mudam rápido, então defina uma revisão fixa, por exemplo a cada seis meses. Revise também quando:

• você incluir ou abandonar uma ferramenta;
• um fornecedor mudar seus termos, planos ou configurações de dados;
• um contrato com cliente trouxer exigências sobre IA;
• acontecer um incidente ou um quase incidente;
• mudar uma lei relevante ou uma orientação da ANPD ou de outro órgão;
• a equipe fizer sempre a mesma pergunta, o que geralmente indica que uma regra está confusa.

Erros comuns que vale evitar

• Proibir IA de vez. Muitas vezes isso não impede o uso. Só empurra as pessoas para contas pessoais, onde você não tem visibilidade nem controle.
• Copiar a política de uma grande empresa. Vinte páginas escritas para um departamento jurídico não vão ser lidas. Curta e específica é melhor do que completa e ignorada.
• Regras que contradizem o trabalho real. Se a política proíbe qualquer dado pessoal, mas a equipe depende de uma ferramenta de anotações de reunião, a regra vai ser ignorada. Crie uma exceção controlada ou abandone a ferramenta.
• Não ter um responsável definido. Se todo mundo é dono, ninguém aprova ferramentas nem trata incidentes.
• Esquecer a IA integrada. Recursos de IA no e-mail, nos documentos, no CRM e nas videochamadas também tratam seus dados. Coloque-os no registro.
• Esquecer prestadores de serviço e freelancers. Eles costumam lidar com dados de clientes e usar as próprias ferramentas. Inclua-os e peça que assinem.
• Nunca atualizar. Uma política escrita uma vez e deixada de lado fica desatualizada conforme ferramentas e termos mudam.
• Achar que plano pago significa que os dados nunca são guardados. Planos pagos e empresariais podem oferecer termos melhores, mas retenção e uso variam. Leia os termos atuais de cada ferramenta e plano.

Quando buscar orientação jurídica ou profissional

Este modelo é um ponto de partida, não aconselhamento jurídico. Peça a um advogado ou consultor qualificado para revisar sua política se algum destes casos se aplicar:

• Você atua em setor regulado, como saúde, finanças, serviços jurídicos ou educação com menores de idade.
• Você trata dados pessoais em grande volume, ou dados pessoais sensíveis, como informações de saúde.
• Você quer aprovar ferramentas de IA para dados pessoais e não tem certeza se os termos do fornecedor são adequados, inclusive sobre transferência internacional.
• Seus contratos com clientes têm cláusulas sobre IA, tratamento de dados ou subcontratação.
• Você usa, ou pretende usar, IA em decisões sobre pessoas, como contratação, avaliação de desempenho ou crédito.
• Você quer aplicar medidas disciplinares com base na política e precisa saber como encaixá-la no regulamento interno e nos contratos de trabalho.
• Você opera ou atende clientes em vários países.
• Houve um incidente que pode envolver vazamento de dados pessoais.

Decisão rápida

• Algum desses casos se aplicapeça a um advogado ou consultor qualificado para revisar sua política.
• Nenhum desses casos se aplicaum dono cuidadoso muitas vezes consegue concluir e implantar esta política sem ajuda externa. Reavalie essa decisão à medida que o negócio e o uso de IA crescerem.

Perguntas frequentes

Uma pequena empresa precisa mesmo de uma política de uso de IA?

Se alguém da equipe usa ferramentas de IA no trabalho, sim. Uma política curta reduz o risco de dados confidenciais irem parar na ferramenta errada e de resultados errados da IA chegarem aos clientes. Ela também deixa claro o que a equipe pode fazer. Para uma equipe pequena, duas a quatro páginas bastam.

A política de IA é obrigatória por lei no Brasil?

Em geral, não existe uma lei que exija um documento chamado “política de IA”. Mas a LGPD exige que você trate dados pessoais com segurança e responsabilidade, e regras do seu setor ou conselho profissional podem trazer exigências próprias. Se sua empresa opera na União Europeia, ou usa sistemas de IA cujos resultados são usados lá, o AI Act europeu e sua obrigação de letramento em IA podem se aplicar. Uma política escrita é um jeito prático de mostrar esse cuidado. Confirme as regras do seu caso com um advogado ou consultor.

Os funcionários podem usar a versão gratuita do ChatGPT ou de outros chatbots no trabalho?

Depende da sua política e dos termos do fornecedor. Planos gratuitos e pessoais podem tratar dados de forma diferente dos planos empresariais, por isso muitas empresas liberam ferramentas gratuitas apenas para dados verdes, como informações públicas e perguntas genéricas. Confira os termos e as configurações atuais de cada ferramenta antes de decidir.

Precisamos avisar os clientes quando usamos IA?

Siga primeiro o que dizem os contratos com seus clientes. Fora isso, escolha uma postura do modelo: avisar em todas as entregas, avisar quando perguntarem ou quando for exigido, ou avisar em categorias específicas, como imagens e artigos publicados. Transparência sobre imagens e conteúdos publicados gerados por IA é cada vez mais esperada.

Qual a diferença entre política de IA e política de uso aceitável de IA?

A política de uso aceitável foca no que a equipe pode e não pode fazer com ferramentas de IA. Uma política de IA mais ampla, ou um modelo de governança, também pode tratar de estratégia, decisões de compra e avaliação de riscos. Para a maioria das pequenas empresas, um único documento cobre as duas coisas.

Quem deve ser o responsável pela política de IA em uma pequena empresa?

Uma pessoa definida, muitas vezes o dono, o gerente de operações ou quem cuida do administrativo. Essa pessoa aprova ferramentas novas, responde dúvidas, trata incidentes e conduz as revisões. Não precisa ser alguém técnico, só organizado e disponível.

O que fazer se alguém colou dados confidenciais em uma ferramenta de IA?

Avise o responsável por IA imediatamente. Apague a conversa, se a ferramenta permitir. O responsável deve avaliar rápido se é um incidente de segurança com dados pessoais que pode precisar ser comunicado à ANPD e, em certos casos, aos titulares, porque pode haver prazos curtos, e avisar o cliente se o contrato ou a situação exigir. Uma comunicação sem caça a culpados incentiva as pessoas a falar logo.

Com que frequência devemos atualizar a política?

Defina uma revisão fixa, por exemplo a cada seis meses. Atualize também quando incluir uma ferramenta, quando um fornecedor mudar seus termos, quando um cliente trouxer uma exigência nova, quando a lei mudar ou quando acontecer um incidente.

A política vale para os recursos de IA dos programas que já usamos?

Deveria. A IA integrada ao e-mail, aos documentos, ao CRM e às videochamadas também trata seus dados. Liste esses recursos no registro de ferramentas aprovadas, confira as configurações como faria com qualquer outra ferramenta e anote se cada um está aprovado para tratar dados pessoais.