Política de uso de IA: regras para adotar IA com segurança

Por que sua empresa já tem um problema de IA — mesmo sem política

A adoção de ferramentas de inteligência artificial generativa dentro das empresas brasileiras não aconteceu por decisão do comitê de TI. Aconteceu de baixo para cima: um analista descobriu que o ChatGPT resume relatórios em segundos, um vendedor passou a redigir propostas com IA, alguém do financeiro colou uma planilha inteira em um chatbot para pedir uma análise. Nenhuma dessas pessoas agiu com má-fé — todas estavam tentando entregar mais rápido. O problema é que, em cada uma dessas ações, dados corporativos saíram do perímetro da empresa e foram enviados a um serviço de terceiros, frequentemente sem contrato, sem cláusula de confidencialidade e sem qualquer registro auditável.

Esse fenômeno tem nome: shadow AI. É a versão contemporânea do shadow IT, aquele mesmo hábito de instalar softwares não homologados que a TI combate há duas décadas. A diferença é a velocidade e a superfície de exposição. Instalar um programa pirata exige esforço; colar um contrato confidencial em uma caixa de texto do navegador leva três segundos e não deixa rastro nos controles tradicionais de endpoint. Pesquisas de mercado indicam que a maioria dos profissionais que usam IA generativa no trabalho já inseriu algum tipo de informação da empresa nessas ferramentas, e boa parte não sabe dizer se aquilo era permitido.

A conclusão prática é desconfortável, mas útil: proibir não é uma política, é uma ilusão de controle. Empresas que publicaram um comunicado dizendo "está proibido usar IA" simplesmente empurraram o uso para o celular pessoal do funcionário, onde a TI não enxerga absolutamente nada. Uma política de uso de IA eficaz parte do princípio oposto — o uso vai acontecer, então cabe à organização definir onde, como e com quais dados.

O que exatamente está em risco quando um dado sai da empresa

Nem todo prompt é um incidente. O risco real depende de dois fatores: a natureza do dado enviado e o contrato da ferramenta utilizada. Ferramentas de consumo gratuitas costumam reservar o direito de usar as conversas para treinar modelos futuros, o que significa que a informação deixa de ser exclusiva da empresa. Já as versões corporativas — Microsoft 365 Copilot, ChatGPT Enterprise, Google Workspace com Gemini — normalmente oferecem isolamento de dados, ausência de treinamento sobre o conteúdo do cliente e residência de dados contratualmente definida. É a mesma tecnologia com um regime jurídico completamente diferente.

Os vetores de vazamento que aparecem com mais frequência em auditorias são bastante concretos:

• Dados pessoais de clientes e colaboradores — CPF, endereço, dados de saúde ou financeiros colados em um prompt configuram tratamento de dados pessoais sob a LGPD, com transferência internacional embutida e sem base legal declarada.
• Código-fonte proprietário — desenvolvedores colando trechos inteiros de sistemas internos para depuração, expondo lógica de negócio e, em alguns casos, credenciais e chaves de API embutidas no código.
• Documentos contratuais e estratégicos — propostas comerciais, minutas de aquisição, planilhas de precificação e projeções financeiras submetidas para "resumo" ou "revisão".
• Informação sob NDA de terceiros — o dado nem sequer pertence à sua empresa; pertence a um cliente que assinou um acordo de confidencialidade com você. O vazamento vira inadimplemento contratual.
• Conteúdo gerado sem revisão — respostas alucinadas usadas como base para decisão técnica, jurídica ou financeira, sem qualquer conferência humana.

Há ainda um risco menos discutido: a dependência silenciosa. Quando a IA passa a redigir pareceres, responder clientes e produzir análises sem trilha de revisão, a empresa perde a capacidade de explicar como chegou a uma decisão. Em setores regulados — saúde, financeiro, jurídico — a impossibilidade de auditar o raciocínio por trás de uma decisão é, por si só, uma não conformidade.

Uma política de IA não existe para impedir o uso da tecnologia. Existe para que o uso seja defensável — perante um cliente, um auditor e a ANPD.

Os oito componentes de uma política de uso de IA que funciona

Documentos genéricos baixados da internet não sobrevivem ao primeiro caso concreto. Uma política aplicável precisa responder perguntas que o funcionário realmente faz na terça-feira à tarde: posso colar esse e-mail do cliente? Posso usar a IA para escrever o código? Preciso avisar alguém? A estrutura abaixo cobre o essencial sem transformar o documento em um manual de 40 páginas que ninguém lê.

1. Escopo e público — a quem se aplica: colaboradores CLT, estagiários, terceiros, prestadores e fornecedores com acesso a sistemas. Terceiros costumam ser esquecidos e são exatamente quem mais usa ferramentas próprias.
2. Ferramentas homologadas — lista explícita do que é permitido, com nome e versão contratada. "IA generativa" é vago; "Microsoft 365 Copilot com licença corporativa" é acionável. Tudo que não estiver na lista exige aprovação prévia.
3. Classificação de dados — três níveis bastam: público, interno e confidencial/pessoal. Regra clara por nível, por exemplo: dado público pode ir para qualquer ferramenta homologada; dado interno só em ferramenta corporativa com contrato de não-treinamento; dado confidencial ou pessoal exige aprovação formal e registro.
4. Casos de uso permitidos e proibidos — exemplos reais, não abstrações. Permitido: redigir rascunho de e-mail comercial, gerar tabelas, sugerir código de teste. Proibido: submeter documentos de RH, prontuários, dados de cartão, credenciais ou qualquer conteúdo sob NDA.
5. Revisão humana obrigatória — nenhum conteúdo gerado por IA vai para cliente, produção, publicação ou decisão sem validação de um responsável identificado. A responsabilidade pelo resultado é sempre da pessoa, nunca do modelo.
6. Transparência e propriedade intelectual — quando o uso de IA deve ser declarado (material publicado, entregável de cliente, código incorporado ao produto) e como tratar conteúdo gerado que pode conflitar com direitos de terceiros.
7. Registro e auditoria — quais logs são mantidos, por quanto tempo e quem pode consultá-los. Isso precisa estar escrito também por respeito ao colaborador: monitoramento não declarado gera passivo trabalhista.
8. Consequências e canal de dúvida — o que acontece em caso de violação e, mais importante, para quem perguntar antes de agir. Política sem canal de dúvida produz omissão, não conformidade.

Um detalhe frequentemente negligenciado: a política precisa de data de revisão. O mercado de IA muda a cada trimestre — ferramentas novas, mudanças de termos de uso, recursos que passam a tratar dados de forma diferente. Um documento revisado a cada seis meses permanece vivo; um documento de 2024 esquecido no SharePoint só serve para constar em auditoria.

LGPD, contratos e o que o regulador espera ver

A Lei Geral de Proteção de Dados não menciona inteligência artificial explicitamente, mas se aplica integralmente a ela. No momento em que um dado pessoal é enviado a um serviço de IA, a empresa está realizando uma operação de tratamento e, na maioria dos casos, uma transferência internacional — os servidores dessas plataformas raramente ficam no Brasil. Isso exige base legal adequada, registro da operação e, dependendo do risco, avaliação de impacto à proteção de dados.

Do ponto de vista prático, três documentos precisam conversar entre si. O primeiro é a própria política de uso de IA, voltada ao comportamento interno. O segundo é o registro de operações de tratamento (ROPA), que deve incluir as ferramentas de IA como operadoras quando processam dados pessoais. O terceiro são os contratos com fornecedores: é aqui que se verifica se a plataforma se compromete a não usar os dados para treinamento, onde armazena o conteúdo, por quanto tempo o retém e o que acontece no encerramento do contrato.

Vale também antecipar a exigência do cliente. Cada vez mais processos de homologação de fornecedor e questionários de segurança incluem perguntas diretas sobre uso de IA: "sua empresa possui política formal de uso de IA generativa?", "dados do contratante podem ser submetidos a modelos de terceiros?". Responder "não temos política, mas orientamos verbalmente" costuma custar o contrato. Ter o documento pronto, aprovado e com evidência de treinamento aplicado deixa de ser burocracia e vira argumento comercial.

Como implantar sem travar a operação

Política publicada não é política implantada. A diferença entre um documento eficaz e um arquivo esquecido está em três camadas que precisam existir juntas: a regra escrita, o controle técnico que a torna verificável e o treinamento que faz as pessoas entenderem o porquê. Isolar qualquer uma delas produz falha previsível — regra sem controle depende de disciplina perfeita, controle sem treinamento gera contorno criativo, treinamento sem regra não tem referência.

Um roteiro de implantação realista, executável em quatro a seis semanas na maioria das empresas de médio porte:

• Semana 1 — diagnóstico: descobrir o que já está em uso. Logs de proxy, firewall e navegador corporativo mostram acesso a domínios de IA. Uma pesquisa anônima com as equipes costuma revelar mais do que a TI imagina.
• Semana 2 — escolha e contratação: definir a ferramenta oficial. Fornecer uma alternativa boa e licenciada é o controle mais eficaz que existe — ninguém contorna a regra para usar uma ferramenta pior.
• Semana 3 — redação e aprovação: escrever a política com participação de TI, jurídico e RH. Aprovação da diretoria, não só do time técnico, para que tenha peso disciplinar.
• Semana 4 — controles técnicos: aplicar DLP para bloquear padrões sensíveis (CPF, cartão, chaves de API) em campos de texto, restringir extensões de navegador não homologadas e habilitar auditoria nas licenças corporativas.
• Semanas 5 e 6 — treinamento e aceite: sessão curta e objetiva com exemplos reais da própria empresa, seguida de aceite formal registrado. Reciclagem anual e no onboarding.

Depois disso, o trabalho vira rotina de acompanhamento: revisar mensalmente os alertas de DLP, trimestralmente a lista de ferramentas homologadas e semestralmente o texto da política. Métricas simples ajudam a mostrar valor à diretoria — número de tentativas de envio de dado sensível bloqueadas, percentual de colaboradores com aceite registrado, quantidade de solicitações de aprovação de ferramenta nova. Esses números transformam segurança em algo mensurável em vez de uma sensação.

Onde a Duk entra nessa conversa

Estruturar uma política de uso de IA cruza três territórios que raramente estão sob o mesmo responsável: governança de dados, configuração técnica das plataformas e cultura interna. É comum a empresa ter a intenção correta e travar na execução — não sabe quais controles a licença já oferece, não sabe configurar DLP sem gerar falso positivo em massa, não sabe quais cláusulas exigir do fornecedor. É exatamente nesse ponto que faz diferença ter um parceiro de TI que já percorreu esse caminho em outros ambientes.

A Duk Informática & Cloud atende mais de 550 empresas e acumula 18 anos de experiência em infraestrutura, segurança e ambientes Microsoft. Como Microsoft Gold Partner, trabalhamos diariamente com as camadas que sustentam uma política de IA na prática: licenciamento correto do Microsoft 365 Copilot, configuração de Purview e políticas de DLP, controle de identidade e acesso condicional, classificação e rotulagem de documentos, além do registro e auditoria que a LGPD exige. Não é consultoria teórica — é a mesma infraestrutura que operamos e monitoramos para os nossos clientes.

Se a sua empresa está no estágio em que a IA já é usada mas nada foi formalizado, o próximo passo é um diagnóstico honesto do uso atual e a definição da ferramenta oficial. A partir daí, política, controles e treinamento se encaixam em poucas semanas. Fale com a nossa equipe para avaliar o cenário do seu ambiente e transformar o uso de IA em algo produtivo, auditável e seguro — antes que um incidente defina a política por você.