Política de IA em uma página: sete regras para liberar o uso

Antes de liberar IA generativa, a empresa pode concentrar em uma página sete decisões: a quem a política se aplica, quais ferramentas são autorizadas, quais dados podem entrar, o que é proibido, quando a revisão humana é obrigatória, quem aprova exceções e como registrar e atualizar os usos.

Essa página funciona como porta de entrada, não como substituta dos controles de privacidade, segurança, contratos e gestão de riscos. Ela deve responder às dúvidas rotineiras antes do primeiro prompt e encaminhar casos sensíveis aos responsáveis por negócio, tecnologia, segurança, privacidade ou jurídico.

Delimite o uso real antes de escrever

Faça um inventário das ferramentas e contas já usadas, das áreas envolvidas, dos tipos de informação inseridos e das saídas que chegam a clientes, sistemas ou decisões sobre pessoas. A distinção entre uma solução corporativa contratada e uma conta pessoal precisa aparecer na política, porque as condições de acesso, retenção e tratamento podem ser diferentes.

O modelo publicado pela SquadOS reúne sete blocos relacionados a escopo, ferramentas, dados, proibições, supervisão, aprovação e registro. A estrutura cabe em uma página, mas os campos devem refletir os contratos, os processos e os riscos da organização.

Modelo copiável: as sete regras

Política corporativa de IA reúne sete regras editáveis antes da liberação de acesso.

Substitua os campos entre colchetes e ajuste os exemplos ao trabalho da empresa. Quando um caso não puder ser autorizado pela página, o texto deve identificar quem decide, em vez de deixar a lacuna ser interpretada como permissão.

Objetivo e alcance. “Esta política disciplina o uso de IA generativa na [empresa] por empregados, estagiários, administradores, terceiros e fornecedores. Aplica-se a textos, imagens, áudio, código, análises e automações produzidos ou processados com IA.”
Ferramentas permitidas. “Somente [ferramentas e versões aprovadas] podem ser usadas, por meio de conta corporativa administrada por [área]. Contas pessoais, extensões, integrações e recursos fora do catálogo exigem aprovação prévia.”
Classificação dos dados. “Dados públicos podem ser usados nas finalidades autorizadas. Dados internos ficam restritos a ambientes corporativos aprovados. Dados confidenciais, pessoais ou sensíveis, credenciais, segredos comerciais e código restrito exigem autorização específica e controles documentados.”
Usos proibidos. “É proibido inserir informação empresarial em conta pessoal não aprovada, compartilhar credenciais, contornar controles, apresentar uma saída como verificada sem revisão ou delegar exclusivamente à IA uma decisão com efeito jurídico, financeiro, trabalhista ou relevante sobre uma pessoa.”
Revisão humana. “O responsável pela entrega deve conferir exatidão, contexto, viés, sigilo, direitos de terceiros e adequação à finalidade. Saídas destinadas a clientes, publicação, decisões relevantes ou produção exigem revisão de profissional competente no assunto.”
Aprovação e exceções. “Novas ferramentas, integrações, automações e usos com dados não públicos serão solicitados em [canal]. A decisão cabe a [responsável de negócio], com análise de [TI/segurança], [privacidade/encarregado] e [jurídico/compliance] conforme o risco.”
Registro e atualização. “O inventário registrará ferramenta, finalidade, área responsável, classes de dados, fornecedor, aprovadores, controles, data da decisão e próxima revisão. A política será revista em [periodicidade] e após incidente, mudança contratual, alteração relevante da ferramenta ou novo uso.”

A matriz público–interno–confidencial

Materiais públicos, internos e confidenciais recebem permissões diferentes antes de entrar na IA.

Público é o conteúdo cuja divulgação foi autorizada, como uma página já publicada pela própria organização. Ainda devem ser respeitados a finalidade do uso e os direitos de terceiros. Interno inclui procedimentos, atas e documentos de circulação limitada e só deve entrar em solução corporativa aprovada quando necessário para a tarefa.

Confidencial pode ser adotado como rótulo conservador para contratos não publicados, bases de clientes, informações financeiras restritas, credenciais, segredos comerciais e código proprietário. Dados pessoais e dados pessoais sensíveis merecem identificação própria, pois sua proteção decorre da LGPD, independentemente do rótulo interno escolhido pela empresa.

O guia orientativo da ANPD para agentes de pequeno porte esclarece que o artigo 46 da LGPD exige medidas técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas. Por isso, uma ferramenta não deve ser considerada aprovada apenas porque possui plano pago: a avaliação precisa abranger acesso, autenticação, tratamento pelo fornecedor, retenção, exclusão, registros e condições contratuais.

Revisão humana com responsável e bloqueio

A frase “a saída deve ser revisada” é insuficiente se ninguém souber quem revisa, quais critérios aplica e quando o processo fica bloqueado. Um texto para publicação requer checagem factual e editorial; uma análise de recursos humanos pode demandar avaliação da área responsável e do jurídico; código exige teste e revisão técnica antes de entrar em produção.

O manual da Secretaria Municipal de Gestão de São Paulo determina, em seu próprio âmbito, que código produzido por IA seja revisado por especialistas de TI antes da implementação prática e tenha o desempenho monitorado continuamente. Para outras organizações, a sequência pode ser adaptada como geração, revisão competente, teste, aprovação e acompanhamento.

Quando uma saída apoiar decisão sobre uma pessoa, o registro deve identificar a finalidade, as informações consideradas, o responsável pela decisão e o canal de contestação aplicável. Revisão humana efetiva pressupõe autoridade, conhecimento e tempo para modificar ou rejeitar o resultado.

Fluxo de aprovação para ferramentas e exceções

Pedido de integração de IA passa por negócio, segurança e privacidade antes da decisão registrada.

Centralize os pedidos em um formulário que informe finalidade, usuários, fornecedor, integração, classes de dados, destinatários da saída e duração pretendida. O dono do processo confirma a necessidade; tecnologia e segurança avaliam arquitetura e acesso; privacidade e jurídico participam quando houver dados pessoais, contratos, direitos de terceiros ou impacto relevante.

A decisão deve terminar como aprovação nas condições registradas, piloto limitado, devolução para mitigação ou recusa. Exceções precisam de justificativa, responsável, controles compensatórios e prazo de validade. Uma autorização temporária sem vencimento tende a permanecer ativa sem nova análise.

Checklist de implantação e atualização

Mapear ferramentas, contas pessoais, extensões, integrações e automações já utilizadas.
Publicar o catálogo autorizado com proprietário, versão ou plano aprovado e canal de suporte.
Configurar acesso corporativo, autenticação e registros proporcionais ao risco.
Treinar empregados e terceiros com exemplos reais das três classes de informação.
Obter o aceite da política pelas pessoas abrangidas.
Testar o fluxo de aprovação com um pedido real antes da liberação ampla.
Definir o canal para incidentes, usos indevidos e suspeitas de exposição.
Atribuir a manutenção da página a um responsável e marcar a próxima revisão.

A periodicidade deve acompanhar o risco e a velocidade das mudanças, sem depender apenas do calendário. Novos termos do fornecedor, integrações adicionais, incidentes, entrada de dados mais sensíveis ou automação de decisões são motivos para reavaliar a autorização antes da revisão programada.

Política de IA em uma página: sete regras antes de liberar o uso