Política de uso de IA na empresa: os 8 pontos que ela precisa ter

Sua equipe já usa IA, com ou sem política. A pergunta não é se vai usar, e sim com quais dados, para quais decisões e com que registro. Uma política de uso de IA responde isso em poucas páginas.

Por que proibir não funciona

Empresas que proíbem ferramentas de IA costumam descobrir, meses depois, que elas continuam sendo usadas em contas pessoais, com dados de clientes, sem nenhum controle. A proibição só empurra o uso para onde ninguém vê. Uma política boa faz o oposto: deixa claro o que é permitido, oferece ferramentas aprovadas e cria controles proporcionais ao risco.

Os 8 pontos que uma política de uso de IA precisa ter

1. Objetivo e alcance

A quem a política se aplica (colaboradores, terceiros, fornecedores) e quais ferramentas cobre: assistentes de uso geral, IA embutida em softwares, agentes e sistemas desenvolvidos internamente.

2. Ferramentas aprovadas

Uma lista curta de ferramentas liberadas, com as configurações exigidas (por exemplo, contas corporativas e opção de não usar os dados para treinamento ativada). O que não está na lista precisa de aprovação.

3. Classificação de dados

O que pode ser enviado a uma ferramenta de IA e o que não pode. Uma regra simples por nível: dados públicos, livres; dados internos, só em ferramentas aprovadas; dados pessoais e sigilosos de clientes, só em sistemas com contrato e controles adequados.

4. Usos proibidos

Decisões automáticas sobre pessoas sem revisão humana, envio de dados sensíveis para ferramentas não aprovadas, criação de conteúdo que se passe por cliente ou colaborador, entre outros definidos pelo setor da empresa.

5. Revisão humana

Quais saídas da IA precisam ser conferidas antes de ter efeito: tudo que vai para cliente, tudo que fundamenta uma decisão, tudo que altera um sistema.

6. Responsáveis

Quem aprova novas ferramentas e novos usos, quem responde por cada sistema de IA em produção e a quem reportar um problema.

7. Registro e auditoria

Para sistemas de IA da empresa, o que fica registrado (entradas, saídas, ações, quem aprovou) e por quanto tempo. Sem registro, não há como explicar uma decisão a um cliente, auditor ou regulador.

8. LGPD e revisão periódica

Como a política se conecta às regras de proteção de dados já existentes e com que frequência ela é revisada. A tecnologia muda rápido; uma política que não é revisada envelhece em meses.

Do papel para o sistema

Política sem controle técnico vira documento de gaveta. Os controles que mais fazem diferença são simples: acesso por perfil nos sistemas de IA, filtros que impedem o envio de certos dados, registro automático de cada interação e revisão humana embutida no fluxo. É aqui que governança e engenharia se encontram.

Por onde começar

1. Faça um inventário rápido: quem usa IA hoje, para quê e com quais dados.
2. Escreva uma primeira versão curta da política, com os 8 pontos acima.
3. Libere ferramentas aprovadas para os usos mais comuns, para tirar o uso da sombra.
4. Implante os controles técnicos nos sistemas de maior risco primeiro.

A Archicode estrutura a governança de IA e também implementa os controles técnicos. Veja o serviço de governança de IA ou comece pelo Diagnóstico de viabilidade de IA.

---

Leia também

• O Marco Legal da IA no Brasil: o que muda e como se preparar
• MCP explicado para diretores

Este artigo tem caráter informativo e não substitui orientação jurídica.