12 MINUTOS DE LEITURA
Política de uso de IA: modelo para a empresa adotar
Por:
Henrique Sabino
Política de uso de IA é o documento interno que diz quais ferramentas de inteligência artificial a empresa libera, que dados podem entrar nelas, quem revisa o que sai e o que fazer quando algo dá errado. No Brasil, nenhuma lei exige um papel com esse nome, mas a LGPD cobra as medidas que ele organiza.
A equipe já usa assistentes de texto, transcrição e código há meses, cada pessoa com a conta que achou melhor, e alguém pergunta se aquilo pode. Quem já leu sobre LGPD e inteligência artificial dentro do produto vai reconhecer a mesma lógica, aplicada agora às pessoas e aos fornecedores.
Na Wama, a IA entra em código e automação, com Claude Code e os agentes do Framer, e todo resultado passa por leitura humana antes de ir ao cliente. Essa regra cabe numa linha e já é uma política de uso. O modelo abaixo transforma esse tipo de decisão em dez cláusulas que você adapta à sua operação.
Por que a empresa precisa de uma política de uso de IA?
Porque a lei cobra o resultado, e a política é o jeito mais barato de provar que ele existe. O artigo 50 da LGPD permite que a empresa formule regras de boas práticas e de governança, com procedimentos, normas de segurança, ações educativas e mecanismos internos de supervisão. O mesmo artigo lista o que um programa de governança em privacidade deve ter, incluindo políticas internas e planos de resposta a incidentes.
O artigo 46 exige medidas de segurança técnicas e administrativas e diz que elas valem desde a concepção do produto ou do serviço. Uma conta pessoal de assistente de IA recebendo planilha de clientes é exatamente o tipo de exposição que essas medidas existem para evitar.
Sem regra escrita, cada pessoa decide sozinha o que é aceitável, e a empresa só descobre o padrão depois do problema. O texto sobre Claude Code no desenvolvimento mostra o outro lado: com a regra clara, a IA acelera o trabalho sem que ninguém precise adivinhar o limite.
O modelo em dez cláusulas
O modelo a seguir foi pensado para empresa de porte médio, com equipe que já usa IA no dia a dia. Troque os colchetes pelos dados da sua operação e revise com quem cuida da proteção de dados antes de distribuir.
Objetivo e alcance. Esta política vale para todas as pessoas da [EMPRESA] e para quem trabalha em nome dela, inclusive fornecedores. Responsável: [NOME E CARGO].
Ferramentas liberadas. Só ferramentas da lista oficial, com conta da empresa: [FERRAMENTA, TIPO DE CONTA, USO PERMITIDO].
Pedido de ferramenta nova. Antes de liberar, verificar se o fornecedor usa os dados para treinar modelos, onde os processa e o que diz o contrato.
Dados permitidos. Seguir o semáforo verde, amarelo e vermelho (próxima seção).
Usos vetados. Decidir sobre pessoas sem revisão humana registrada; enviar a cliente texto que ninguém leu.
Revisão humana. Quem usa a IA responde pelo resultado; números, citações e fontes são conferidos na origem.
Transparência. Avisar cliente e usuário quando ele conversa com um sistema automatizado.
Fornecedores. Mesmas regras no contrato de quem trabalha para a empresa.
Incidentes. Dado vermelho exposto vai para [RESPONSÁVEL] no mesmo dia.
Revisão. A cada [6 MESES] ou quando entrar ferramenta nova.
A cláusula 3 é a que mais protege. Ela ganha peso quando a IA deixa de só responder e passa a consultar sistemas internos, assunto do texto sobre MCP para empresas.
Quais dados podem entrar numa ferramenta de IA?
Só os necessários para a tarefa, e nunca dado sensível ou credencial. O princípio da necessidade, no artigo 6º da Lei Geral de Proteção de Dados, limita o tratamento ao mínimo para a finalidade, e isso vale igual quando o tratamento acontece dentro de um assistente de IA.
Cor | O que entra | Condição |
|---|---|---|
Verde | informação pública, texto próprio sem dado pessoal, exemplo fictício | qualquer ferramenta liberada |
Amarelo | documento interno, dado de cliente sem identificação, rascunho de contrato | só ferramenta liberada com contrato da empresa |
Vermelho | senha e chave de acesso, dado de saúde, dado bancário completo, dado de funcionário para avaliação | nunca |
O amarelo é onde mora o trabalho real, e por isso a lista de ferramentas da cláusula 2 importa tanto. A mesma planilha pode ser verde depois de anonimizada e vermelha antes.
Empresa financeira tem uma camada a mais: decisão de crédito com apoio de modelo dá ao titular o direito de pedir revisão, ponto que o artigo sobre IA para fintechs detalha.
O que exigir do fornecedor que usa IA no seu projeto
A política vale para quem trabalha em nome da empresa, e isso inclui agência, estúdio e desenvolvedor. Na contratação, peça por escrito quatro respostas: quais ferramentas de IA entram no projeto, que dado seu vai para elas, quem revisa o que a IA produz e de quem é o resultado no fim do contrato.
Em software, a titularidade do código depende do contrato, e o texto sobre software sob medida e o dono do código mostra as cláusulas que fecham essa conta.
Quando a Wama entrega um projeto, ele é transferido para a conta do cliente: site, domínio e conta ficam no nome dele, e uma pessoa só responde do briefing ao deploy. É esse tipo de resposta verificável que a cláusula 8 deve exigir de qualquer fornecedor.
Se o projeto é um produto com IA dentro, a lista cresce: registro do que o modelo fez, revisão das decisões e contrato com o fornecedor do modelo. Quem vai criar um SaaS com IA precisa dessas respostas antes do design.
O que fazer quando alguém cola dado sensível na IA?
Tratar como possível incidente de segurança, no mesmo dia. O Regulamento de Comunicação de Incidente da ANPD, aprovado pela Resolução CD/ANPD nº 15 de 24 de abril de 2024, define incidente como evento adverso confirmado que viola a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais.
Se o incidente puder causar risco ou dano relevante, a comunicação à ANPD e ao titular precisa sair em três dias úteis, contados de quando a empresa soube que dado pessoal foi afetado. Para agente de pequeno porte, o prazo é contado em dobro.
Mesmo o incidente que não precisa ser comunicado entra no registro interno, guardado por pelo menos cinco anos. Por isso a cláusula 9 dá nome a um responsável e cobra aviso no mesmo dia.
Na prática, o roteiro tem quatro passos: apagar a conversa quando a ferramenta permitir, avisar o responsável, avaliar o risco com quem cuida da proteção de dados e registrar o que aconteceu.
Erros comuns
Copiar a política de outra organização. Revista científica e redação de jornal têm riscos diferentes dos seus; o texto delas raramente fala de cliente, contrato ou fornecedor.
Proibir tudo. A equipe continua usando IA no celular, agora sem regra nenhuma, e a empresa perde até a chance de saber o que circula.
Escrever e não treinar. Política que ninguém entendeu não muda o trabalho; uma conversa curta, com exemplos reais do semáforo, vale mais que o PDF.
Esquecer o fornecedor. O dado do cliente sai pela agência ou pelo desenvolvedor contratado, fora do alcance da regra interna.
Prometer que a IA vai encurtar todo prazo. Na Wama, a IA acelerou a construção, não a decisão, e o prazo total dos projetos não mudou; o ganho apareceu no acabamento.
Perguntas frequentes
É obrigatório ter política de uso de IA no Brasil?
Não existe lei brasileira que exija um documento com esse nome. A LGPD, porém, cobra medidas de segurança desde a concepção, prevenção de danos e prestação de contas, e o artigo 50 prevê regras de boas práticas e governança. A política de uso de IA é a forma mais simples de reunir essas medidas e comprovar que existem.
Quem deve aprovar a política de uso de IA?
A direção da empresa, com apoio de quem cuida da proteção de dados e de quem conhece as ferramentas no dia a dia. O documento precisa de um responsável com nome e cargo, porque é ele quem libera ferramenta nova, recebe aviso de incidente e decide os casos de dúvida que o texto não resolve.
A política de uso de IA vale para fornecedores?
Deve valer. Agência, estúdio e desenvolvedor tratam dados da empresa e produzem material em nome dela, então as mesmas regras entram no contrato. Na hora de escolher uma agência de criação de sites, pergunte quais ferramentas de IA ela usa, que dado seu entra nelas e quem revisa o resultado.
De quanto em quanto tempo revisar a política?
Uma revisão a cada seis meses costuma bastar para começar, e ela também deve acontecer sempre que entrar ferramenta nova ou mudar o uso. A lista de ferramentas liberadas envelhece rápido. Deixe a data da próxima revisão escrita no próprio documento, ao lado do nome do responsável pela atualização.
A política de uso de IA substitui o programa de LGPD?
Não. Ela é uma peça dele. O programa de governança em privacidade descrito no artigo 50 da LGPD cobre todo o tratamento de dados da empresa, com avaliação de riscos e plano de resposta a incidentes. A política de uso de IA aplica essas regras a um tipo específico de ferramenta e às pessoas que a usam.
Se a sua empresa vai colocar IA dentro de um produto ou de um site neste ciclo, comece pela política: ela define o que o projeto pode usar e o que o fornecedor precisa responder antes da primeira tela. Converse com a Wama sobre o seu projeto.
