1. O que é uma política de uso de IA?
2. Sinais de que a empresa precisa de uma política agora
3. Modelo de política de uso de IA: as nove seções
4. Como implantar a política sem travar a adoção
5. Erros comuns ao criar uma política de uso de IA
6. Perguntas frequentes sobre política de uso de IA
7. Conclusão
Uma política de uso de IA é o conjunto de diretrizes, geralmente manifestas na forma de um documento, nque diz aos funcionários quais ferramentas de inteligência artificial podem usar, com quais dados, para quais tarefas e com que cuidados. Ela traduz as decisões de governança da empresa em regras práticas do dia a dia, e é a primeira defesa contra o uso de assistentes em contas pessoais, o vazamento de informações e as decisões automatizadas sem revisão.
A maioria das grandes empresas já precisa de uma, porque as pessoas já usam IA no trabalho, com ou sem autorização. A diferença entre ter e não ter uma política não está no uso, mas na visibilidade: sem regras claras, a empresa simplesmente não sabe o que está acontecendo com seus dados.
Este artigo explica o que é uma política de uso de IA, quando ela se torna urgente e traz um modelo com as nove seções que o documento precisa ter, além de um caminho para implantá-la sem frear a adoção e dos erros mais comuns.
A política de uso de IA é a parte da governança de IA que o funcionário lê. A governança define papéis, comitês, classificação de risco e controles; a política transforma essas definições em orientações que cabem na rotina de quem abre um assistente para resumir um contrato ou redigir um e-mail para um cliente.
Por isso, uma boa política é curta, escrita em linguagem simples e organizada pelas dúvidas reais das pessoas: posso usar essa ferramenta, posso colar esse dado, preciso revisar essa resposta, a quem pergunto quando não sei. Documentos longos, escritos para auditores, tendem a ser assinados e esquecidos.
A política também se apoia em regras que já valem. A LGPD se aplica a qualquer dado pessoal inserido em uma ferramenta de IA, e o marco legal em discussão no Congresso, o PL 2338, deve reforçar exigências de transparência e de revisão humana. Uma política bem escrita adianta parte desse trabalho.
Leia também: Como governar tokens no Claude Enterprise? Entenda com o guia do Distrito
Alguns sinais indicam que a política deixou de ser recomendável e passou a ser urgente. O mais comum é o uso de assistentes em contas pessoais, fenômeno conhecido como shadow AI, que leva informações da empresa para ferramentas fora do seu controle. Outros sinais são áreas contratando ferramentas com IA embutida sem passar pela tecnologia, clientes perguntando como a empresa usa IA e os primeiros agentes começando a acessar sistemas internos.
O risco desse uso invisível já aparece nos incidentes. Entre as organizações que sofreram vazamentos no último ano, 68% não tinham governança para gerenciar a IA ou detectar o uso não autorizado, e a parcela de incidentes ligados a shadow AI passou de 20% para 43% em um ano (IBM, 2026). A proibição informal, sem alternativa aprovada, não resolve o problema; apenas o tira do campo de visão.
O modelo a seguir reúne as seções que uma política de uso de IA precisa ter em uma grande empresa. A ordem pode mudar e algumas seções podem ser fundidas, mas nenhuma deveria faltar. Para cada uma, o texto indica o que escrever.
Explica por que a política existe e a quem se aplica: funcionários, terceiros e fornecedores que usam IA em nome da empresa. Vale deixar claro que o objetivo é permitir o uso com segurança, e não proibi-lo, porque esse tom define como as pessoas vão receber o documento.
Lista as ferramentas de IA liberadas, com as versões corporativas que a empresa contratou, e explica como pedir a avaliação de uma ferramenta nova. Sem uma lista clara e uma alternativa aprovada, as pessoas voltam para as contas pessoais. O guia sobre segurança no uso do ChatGPT mostra por que a versão corporativa faz diferença para os dados.
É a seção mais importante. Classifica os dados em categorias, como públicos, internos, confidenciais e pessoais, e diz quais podem ser inseridos em cada ferramenta. Dados pessoais de clientes e funcionários, segredos comerciais, informações financeiras não divulgadas e documentos sob sigilo costumam ficar restritos às ferramentas corporativas ou proibidos.
Dá exemplos concretos do que está liberado, como resumir documentos internos, revisar textos e gerar rascunhos, e do que está vetado, como tomar decisões sobre pessoas sem revisão, criar conteúdo que imite pessoas reais ou usar IA para monitorar colegas. Exemplos funcionam melhor do que princípios abstratos.
Estabelece que quem usa a IA responde pelo resultado e define quando a revisão humana é obrigatória, como em comunicações a clientes, documentos jurídicos e qualquer decisão que afete pessoas. A LGPD já garante ao titular o direito de pedir a revisão de decisões tomadas apenas com base em tratamento automatizado.
Orienta sobre o uso de conteúdo de terceiros nas ferramentas, sobre a titularidade do que é produzido com IA e sobre quando informar a clientes e parceiros que um conteúdo ou atendimento envolve IA.
Trata dos sistemas que executam ações, e não só respondem. Define quem pode criar ou contratar um agente, quais permissões ele pode ter, como suas ações são registradas e quem é o responsável por ele. Essa seção ganha peso à medida que os agentes saem dos pilotos.
Explica o que fazer quando algo dá errado, como um dado sensível inserido por engano ou uma resposta incorreta enviada a um cliente, e por qual canal reportar, sem punição para quem comunica de boa-fé. O objetivo é que os problemas apareçam cedo.
Define como os funcionários serão treinados, quem é o dono da política e com que frequência ela será revista. Como as ferramentas mudam rápido, uma revisão a cada seis meses costuma ser o mínimo.
A implantação funciona melhor quando a política chega junto com as ferramentas. Publicar regras sem oferecer um assistente corporativo aprovado empurra o uso para fora do radar, enquanto liberar a ferramenta com a política e um treinamento curto cria o hábito certo desde o início.
O primeiro passo é mapear o que já está em uso, para que a política parta da realidade e não de uma lista teórica. Em seguida, vale escrever a primeira versão com um grupo pequeno de negócio, tecnologia, segurança e jurídico, testá-la com algumas áreas e só então publicá-la para toda a empresa, acompanhada de exemplos e de um canal para dúvidas.
Depois do lançamento, a política precisa ser acompanhada. Indicadores simples, como a adesão às ferramentas aprovadas, as dúvidas mais frequentes e os incidentes reportados, mostram onde ela está clara e onde precisa de ajuste.
Leia também: Deepfake: o que é, riscos e como se proteger de falsificações
O erro mais comum é escrever a política só para o jurídico. O resultado é um documento longo, cheio de termos técnicos, que ninguém consulta na hora da dúvida. O segundo é proibir sem oferecer alternativa, o que mantém o uso e apenas o esconde. O terceiro é tratar a política como um documento definitivo, quando as ferramentas e os riscos mudam a cada poucos meses.
Também é frequente esquecer os agentes e as automações, escrevendo regras pensadas apenas para assistentes de texto. Quando um agente passa a aprovar reembolsos ou atualizar cadastros, a política precisa dizer quem autorizou cada permissão e como interromper o sistema se algo der errado.
Objetivo e alcance, ferramentas aprovadas, regras sobre dados, usos permitidos e proibidos, revisão humana e responsabilidade, propriedade intelectual e transparência, regras para agentes e automações, canal de incidentes e um plano de treinamento e revisão.
A governança define papéis, comitês, classificação de risco e controles para toda a IA da empresa. A política de uso é a parte dessa governança voltada aos funcionários, com as regras práticas do dia a dia.
Pode, mas a proibição sem alternativa costuma falhar, porque as pessoas continuam usando ferramentas em contas pessoais. O caminho mais seguro é liberar ferramentas corporativas aprovadas, com regras claras sobre dados e revisão.
Em síntese, a política de uso de IA é o documento que leva as decisões de governança para a rotina dos funcionários: quais ferramentas usar, com quais dados, para quais tarefas e com que cuidados. Ela precisa ser curta, clara e organizada pelas dúvidas reais de quem usa IA no trabalho.
As nove seções do modelo se complementam. As regras sobre ferramentas e dados reduzem o risco de vazamento, a revisão humana protege clientes e funcionários, e as seções sobre agentes, incidentes e revisão mantêm o documento útil à medida que a tecnologia muda.
Na operação, a política funciona quando chega junto com ferramentas aprovadas e com treinamento, e quando é revista com base no uso real. Proibir sem alternativa apenas esconde o problema.
A pressão por regras claras deve aumentar com o avanço do marco legal da IA e com a chegada dos agentes às operações. As empresas que publicarem sua política agora vão ajustar detalhes depois; as que esperarem vão precisar descobrir, primeiro, o que já está sendo feito com seus dados.
A pergunta que fica para a liderança é se os funcionários da empresa sabem hoje, sem precisar perguntar, quais dados podem colar em uma ferramenta de IA. Conheça o AI Strategy do Distrito e estruture a governança e a política de uso de IA da sua empresa.
