Um analista precisava resumir um contrato de 40 páginas até o fim do dia. Colou o texto inteiro em uma ferramenta gratuita de inteligência artificial, recebeu um resumo excelente em 30 segundos e entregou no prazo. Ninguém na empresa autorizou aquilo. Ninguém proibiu também.
Esse contrato tinha nome de cliente, valores, prazos e cláusulas de confidencialidade. Ele saiu da empresa sem passar por nenhuma aprovação, sem registro e sem que qualquer sistema de segurança percebesse. Não houve má intenção: houve pressa e ausência de regra.
A tese deste texto é que o risco de IA nas empresas brasileiras hoje não está no uso autorizado, está no uso invisível. E que a resposta não é bloquear, porque bloqueio empurra o uso para o celular pessoal, onde a empresa perde qualquer controle.
O que é uma política de uso de IA?
Uma política de uso de inteligência artificial é o documento que define o que a equipe pode fazer com ferramentas de IA, com quais informações, em quais ferramentas aprovadas e com qual nível de revisão humana antes que o resultado seja usado ou enviado a terceiros.
Ela não é um manual técnico nem um tratado de ética. Na prática eficaz, cabe em duas ou três páginas que qualquer pessoa da empresa lê em cinco minutos e entende sem precisar de tradução. Quanto mais longa, menos lida, e política não lida não protege ninguém.
O contraste com a realidade é grande. Levantamentos divulgados em 2026 indicam que cerca de oito em cada dez empresas no Brasil ainda não possuem políticas de governança para uso de IA, enquanto a adoção pelas equipes já é ampla. É uma combinação incomum: tecnologia usada todos os dias e sem nenhuma regra escrita.
Por que proibir não funciona?
Porque a ferramenta está a um navegador de distância e resolve problemas reais de quem tem prazo. Quando a empresa bloqueia sem oferecer alternativa, o uso não desaparece: ele migra para o celular pessoal, para a conta particular e para o computador de casa.
Esse deslocamento piora a situação em três aspectos. A empresa deixa de ter qualquer visibilidade do que está sendo enviado para fora. Perde a chance de negociar contratos com cláusulas de proteção de dados com os fornecedores. E cria um ambiente onde ninguém pede ajuda, porque admitir o uso significa admitir a infração.
A alternativa que funciona é conhecida em outras áreas: definir o caminho seguro e torná-lo mais fácil que o inseguro. Liberar uma ferramenta aprovada, com contrato adequado, resolve mais que qualquer bloqueio, e ainda permite medir o uso.
Quais são os riscos reais?
Vale separar o que é risco concreto do que é medo genérico:
- Vazamento de informação. Dados de clientes, contratos, folha de pagamento e estratégia colados em ferramentas cujos termos permitem uso do conteúdo para treinamento. É o risco mais imediato e o mais fácil de evitar.
- Resposta errada tratada como verdade. Modelos produzem afirmações plausíveis e incorretas com a mesma confiança. Sem revisão, o erro entra em proposta comercial, parecer ou comunicado.
- Exposição jurídica com dados pessoais. Tratar dado pessoal em ferramenta de terceiro sem base legal e sem contrato adequado é problema de LGPD, tema que já detalhamos em LGPD no desenvolvimento de software.
- Propriedade e direitos do que é gerado. Conteúdo produzido com IA pode conter trechos derivados de material de terceiros. Em peças publicadas, isso merece atenção.
- Decisão automatizada sem explicação. Usar IA para triar currículos, aprovar crédito ou classificar clientes sem critério auditável cria risco reputacional e regulatório.
Repare que quatro dos cinco riscos se resolvem com regra e revisão, não com tecnologia. O quinto exige cuidado maior no desenho da solução.
O que a regulação brasileira exige hoje?
Duas frentes precisam ser separadas, porque confundi-las gera paralisia desnecessária.
A primeira já está em vigor: a Lei Geral de Proteção de Dados. Ela não fala de IA especificamente, mas se aplica integralmente quando há dado pessoal envolvido. Se a ferramenta processa dado de cliente ou funcionário, valem as mesmas obrigações de qualquer outro tratamento, incluindo base legal, transparência e contrato com o fornecedor.
A segunda está em construção. O projeto de lei que cria o marco legal da inteligência artificial no Brasil, o PL 2338/2023, foi aprovado pelo Senado em dezembro de 2024 e segue em tramitação na Câmara dos Deputados. O texto adota classificação por nível de risco, prevê direitos como transparência e contestação de decisões automatizadas, e estabelece sanções relevantes. A Autoridade Nacional de Proteção de Dados vem sendo posicionada como coordenadora desse sistema e já incluiu inteligência artificial entre seus eixos prioritários de fiscalização para o biênio 2026 e 2027.
O recado prático para quem gere uma empresa: não é preciso esperar a votação final para agir. As exigências que já se desenham, saber onde a IA é usada, com quais dados e sob qual supervisão humana, são exatamente o que uma política interna organiza. Quem fizer isso agora chega pronto quando a regra fechar.
O que precisa ter na política?
Uma política enxuta e eficaz cobre seis pontos:
- Ferramentas aprovadas. Liste quais podem ser usadas, com conta corporativa, e deixe explícito que outras dependem de autorização.
- Classificação da informação. Diga em linguagem simples o que nunca pode ser enviado: dado pessoal de cliente, informação financeira, contrato, credencial de acesso e código-fonte proprietário.
- Usos permitidos e proibidos. Redigir e resumir texto interno costuma ser liberado. Decisão sobre pessoas, comunicação oficial sem revisão e análise de dado sensível costumam exigir aprovação.
- Revisão humana obrigatória. Defina que nada gerado por IA vai para cliente, para o público ou para decisão relevante sem uma pessoa responsável ter conferido.
- Transparência. Estabeleça quando é preciso informar que houve uso de IA, especialmente em atendimento e em conteúdo publicado.
- Responsável e canal de dúvida. Alguém precisa responder pela política e por autorizar exceções, com prazo curto de resposta.
Um detalhe que evita boa parte dos problemas: contas corporativas de ferramentas de IA costumam ter configuração que impede o uso do conteúdo para treinamento do modelo. Contas gratuitas, em geral, não. Essa única mudança já reduz de forma substancial o risco de vazamento, e o custo dela é conhecido, como discutimos em quanto custa colocar IA para rodar na empresa.
Como implementar em poucas semanas?
Não é preciso um comitê de seis meses. Um roteiro curto resolve a maior parte do risco:
Semana 1: descobrir o uso atual. Pergunte à equipe, sem tom de auditoria, quem usa o quê e para quê. A resposta costuma surpreender pela quantidade de gente e pela criatividade dos usos.
Semana 2: escolher e contratar as ferramentas aprovadas. Prefira planos corporativos, verifique os termos sobre uso de dados e formalize o contrato.
Semana 3: escrever a política. Duas páginas, linguagem direta, exemplos concretos do que pode e do que não pode. Valide com jurídico e com uma pessoa de cada área.
Semana 4: comunicar e treinar. Uma sessão curta com exemplos reais funciona melhor que um documento enviado por e-mail. Mostre o caminho fácil e seguro, não apenas a proibição.
Empresas que já usam IA conectada aos próprios dados precisam de um cuidado adicional no desenho da solução, com controle de quem enxerga o quê, ponto que aparece com força em IA generativa na empresa.
Como fiscalizar sem virar polícia?
A fiscalização eficaz é discreta e estrutural. Contas corporativas dão relatório de uso agregado, o que basta para perceber tendências sem vigiar indivíduos. A revisão humana antes de qualquer entrega externa filtra os erros que importam. E a conversa periódica sobre novos usos mantém a política viva.
O que não funciona é depender exclusivamente de bloqueio técnico e de ameaça disciplinar. Isso empurra o uso para a sombra, que é justamente o cenário que a política existe para eliminar. Segurança que depende só de proibição costuma falhar do mesmo jeito que falham as senhas anotadas em papel, tema tratado em segurança digital na empresa.
Regra clara libera mais do que restringe
A empresa que escreve sua política de uso de IA não está limitando a equipe. Está fazendo o contrário: permitindo que as pessoas usem a tecnologia com segurança, sabendo exatamente onde está a linha. O custo disso é baixo, algumas semanas de trabalho e um plano corporativo. O custo de não fazer aparece de uma vez só, no dia em que uma informação sensível estiver em um lugar que ninguém consegue recuperar.
Se você quer liberar IA na sua empresa com regras claras, ferramentas adequadas e controle sobre os dados, fale com o nosso time. A DevCore ajuda a mapear o uso atual, definir a política e implementar soluções que mantêm a informação dentro de casa.
Perguntas frequentes sobre política de uso de IA
Empresa pequena também precisa de política de IA?
Precisa, e costuma ser mais simples de fazer. Quanto menor a empresa, menos camadas para alinhar e mais rápido o documento fica pronto. O risco, por outro lado, não é proporcional ao tamanho: um único contrato ou uma base de clientes exposta causa o mesmo estrago em qualquer porte.
Usar ChatGPT no trabalho é ilegal no Brasil?
Não. Não existe proibição de uso de ferramentas de IA por empresas. O que existe é a obrigação de cumprir a legislação vigente, principalmente a LGPD quando há dado pessoal envolvido, além das regras que virão com o marco legal em tramitação. O uso é legítimo; o descuido com a informação é que gera responsabilidade.
Como saber se a ferramenta usa meus dados para treinar o modelo?
Está nos termos de uso e na configuração da conta. Planos corporativos das principais ferramentas oferecem a opção de não utilizar o conteúdo enviado para treinamento, e alguns adotam isso como padrão. Vale registrar essa verificação por escrito, junto do contrato, para ter evidência em uma eventual auditoria.