Uma política de uso de IA é o documento que define quais ferramentas de inteligência artificial os colaboradores podem usar, para quê, com que dados e sob quais responsabilidades. É a peça central da governança de IA — e o documento que separa a empresa onde a IA acelera com segurança da empresa onde cada um faz do seu jeito com dado de cliente. Este guia mostra as 8 seções que toda política precisa ter, com exemplos práticos de regras e um modelo de estrutura para adaptar à sua realidade.
Por que sua empresa precisa de uma política de uso de IA (hoje)
O ponto de partida é aceitar um fato: seu time já usa IA, com ou sem política. A ausência de regras não impede o uso — só o torna invisível e sem controle, o fenômeno do shadow AI. Escritórios de advocacia como o Assis e Mendes alertam justamente para isso: dados pessoais, informações confidenciais e segredos de negócio processados em sistemas não regulamentados geram exposição jurídica real — trabalhista, de propriedade intelectual e de LGPD.
A política resolve três problemas de uma vez: dá segurança jurídica para a empresa, clareza para o colaborador (que hoje decide sozinho o que pode) e destrava a adoção — porque o jurídico e a segurança param de travar aquilo que agora tem regra.
As 8 seções essenciais da política
1. Objetivo e escopo
A quem a política se aplica (colaboradores, terceiros, prestadores) e o que cobre (IA generativa, agentes, ferramentas embutidas em software). Uma frase de intenção ajuda a dar o tom: a política existe para habilitar o uso seguro, não para proibir.
2. Ferramentas aprovadas (e proibidas)
Lista viva das ferramentas autorizadas, por categoria de uso — e o processo para pedir a aprovação de uma nova. Exemplo de regra prática:
Ferramentas corporativas contratadas pela empresa (com SSO): liberadas conforme a classificação de dados da seção 3. Versões gratuitas/pessoais de ferramentas de IA: vedadas para qualquer conteúdo de trabalho.
O princípio da lista: as ferramentas aprovadas precisam ser boas o suficiente para ninguém sentir necessidade de contornar — política com ferramenta ruim fabrica shadow AI.
3. Classificação de dados: o coração da política
A seção mais importante e a mais negligenciada. Define o que pode entrar em cada ferramenta, por classe de dado:
| Classe | Exemplos | Pode entrar em IA? |
|---|---|---|
| Público | Conteúdo do site, material publicado | Sim, em ferramentas aprovadas |
| Interno | Processos, apresentações internas | Só em ferramentas corporativas com contrato |
| Confidencial | Estratégia, financeiro, contratos | Só com aprovação específica |
| Dado pessoal | Nome, CPF, e-mail de clientes/colaboradores | Regra própria alinhada à LGPD (seção 4) |
4. Dados pessoais e LGPD
Como a análise da Macher resume, a política de uso é o instrumento que operacionaliza a LGPD no dia a dia da IA. O mínimo a cobrir: o que é dado pessoal (com exemplos do seu negócio), minimização (usar o mínimo necessário, anonimizar quando possível), onde dado pessoal pode ser processado (apenas ferramentas com contrato de tratamento) e o canal para dúvidas e incidentes.
5. Revisão humana obrigatória
Em que situações o output da IA exige validação humana antes de virar ação. Calibre pelo risco, não pelo medo:
- Sempre revisar: contratos e peças jurídicas, decisões sobre pessoas, comunicação externa sensível, código em produção.
- Revisão leve: conteúdo interno, rascunhos, análises exploratórias.
Exigir aprovação para tudo mata a produtividade; para nada, cria risco — o equilíbrio é o mesmo que defendemos no pilar de governança de IA na prática.
6. Papéis e responsabilidades
Quem aprova ferramentas, quem revisa a política (e com que frequência), quem responde por incidentes, e quem decide os casos-limite. Sem dono, a política vira PDF esquecido na intranet.
7. Propriedade intelectual e transparência
Duas regras que evitam dores de cabeça: (a) tratamento de conteúdo gerado por IA — revisão e responsabilidade final são sempre humanas; (b) quando informar clientes/parceiros de que IA foi usada, especialmente em entregáveis.
8. Consequências e canal de dúvidas
O que acontece em caso de violação (proporcional: orientar antes de punir, salvo má-fé) e — tão importante quanto — para quem perguntar quando a regra não cobrir o caso. Política sem canal de dúvidas empurra o colaborador de volta para decidir sozinho.
Essas oito seções cobrem o que a maioria das empresas precisa hoje. Quando a política já está em funcionamento e a empresa precisa comprovar maturidade de forma auditável — a clientes, parceiros ou reguladores — o passo seguinte é usar um framework de referência estruturado; veja como funciona em ISO/IEC 42001: o que é e como implementar na empresa.
O erro mais comum: política que só proíbe
Referências como FCamara e Load convergem no mesmo alerta que fazemos: a política restritiva demais produz o risco que queria evitar. Se a regra é "não pode nada", o time não para de usar — passa a usar escondido, em ferramenta pessoal, sem nenhum controle. A política eficaz é a que diz claramente o que pode, oferece ferramenta aprovada de qualidade e reserva as proibições para o que de fato é crítico.
O mesmo princípio vale para casos específicos como o vibe coding nas empresas: a resposta certa ao risco não é bloquear a criação com IA — é definir o que cada área pode criar e com quais controles.
Política escrita não basta: ela precisa virar comportamento
O passo que quase todas as empresas pulam: política que ninguém conhece não governa nada. Os três movimentos que fazem a política sair do papel:
- Embutir na capacitação. Cada trilha de capacitação em IA ensina a técnica e as regras juntas — a pessoa aprende a usar e a usar certo no mesmo momento, começando pela alfabetização em IA de todos. O checklist do dia a dia — o que colar e o que nunca colar num prompt — está em uso seguro de IA no trabalho.
- Exemplificar com casos reais. Regra abstrata não gruda; "nunca cole a planilha de clientes no chat público — use a ferramenta X que tem contrato" gruda.
- Revisar em ciclo curto. Ferramentas e riscos mudam a cada trimestre; política de IA parada um ano já está desatualizada.
Modelo de estrutura (para adaptar)
Copie esta espinha dorsal e preencha com a realidade da sua empresa:
1. Objetivo e escopo
2. Ferramentas aprovadas e processo de aprovação
3. Classificação de dados × ferramentas (tabela)
4. Dados pessoais e LGPD
5. Revisão humana por nível de risco
6. Papéis: dono da política, comitê, líderes de área
7. Propriedade intelectual e transparência
8. Consequências e canal de dúvidas
Anexo A — Lista viva de ferramentas aprovadas
Anexo B — Exemplos práticos de o-que-pode / o-que-não-pode por área
Importante: este modelo é um ponto de partida operacional, não aconselhamento jurídico — valide a versão final com o jurídico da sua empresa, especialmente as seções de LGPD e consequências.
FAQ
O que é uma política de uso de IA?
É o documento que define quais ferramentas de IA os colaboradores podem usar, com que tipos de dado, em quais situações a revisão humana é obrigatória e quem responde pelo quê. É a peça central da governança de IA na empresa.
O que não pode faltar numa política de uso de IA?
Oito seções: escopo, ferramentas aprovadas, classificação de dados, regras de dados pessoais (LGPD), revisão humana por risco, papéis e responsabilidades, propriedade intelectual, e consequências com canal de dúvidas. A classificação de dados é o coração do documento.
Posso proibir o uso de IA na empresa?
Pode, mas quase sempre é a pior opção: a proibição não elimina o uso — empurra para ferramentas pessoais, fora de qualquer controle (shadow AI). A política eficaz habilita com regras: ferramentas aprovadas de qualidade e proibições reservadas ao que é crítico.
Como a política de uso de IA se relaciona com a LGPD?
A política operacionaliza a LGPD no uso diário de IA: define o que é dado pessoal, onde ele pode ser processado (só ferramentas com contrato de tratamento), o princípio da minimização e o canal de incidentes. Sem ela, cada colaborador toma decisões de tratamento de dados sozinho. O guia LGPD e IA generativa aprofunda as bases legais, o papel do DPO e as cláusulas contratuais a exigir de cada fornecedor.
Quem deve escrever a política de uso de IA?
Um grupo pequeno com TI/segurança, jurídico e representantes das áreas de negócio, com um dono claro (patrocinador executivo). Escrever a política só no jurídico tende a gerar texto restritivo demais; só na TI, texto que ignora riscos legais.
Com que frequência revisar a política?
A cada trimestre, ou imediatamente quando: uma ferramenta nova é aprovada, um incidente acontece, ou uma mudança regulatória relevante entra em vigor. Ferramentas e riscos de IA mudam rápido demais para revisão anual.
Conclusão: a política é o que transforma risco difuso em uso controlado
A política de uso de IA não é burocracia — é o documento que permite à empresa acelerar com segurança: o colaborador sabe o que pode, o jurídico dorme tranquilo e a adoção sai da sombra. Escreva-a para habilitar, embuta-a na capacitação e revise-a em ciclo curto.
Se quiser desenhar a política junto com o programa de capacitação — regras e competência instaladas no mesmo movimento — o diagnóstico gratuito da Jetpacks é o ponto de partida: mapeamos riscos, ferramentas em uso e o nível de cada área em uma conversa de 30–45 minutos.
Descubra onde a IA gera mais resultado na sua empresa.
Comece com um diagnóstico gratuito: mapa de impacto por área e o desenho de um primeiro piloto medível, sem compromisso.