Política de Uso de IA na Empresa: o que Liberar e Proibir
Seu time já cola dados no ChatGPT. Veja quais usos liberar, quais proibir e um modelo de política pronto para adaptar na sua PME.
por Cleverson Gouvêa
Uma política de uso de IA na empresa é o documento que diz, em linguagem simples, quais ferramentas de IA o time pode usar, com quais dados e sob qual supervisão. Sem ela, a decisão fica com cada funcionário, no improviso, com a conta pessoal dele. Este guia mostra o que liberar, o que proibir e como montar a sua em poucas semanas, com um modelo pronto para PMEs.
TL;DR
- Seu time já usa IA, com ou sem autorização. A pergunta é se isso acontece em contas que a empresa controla.
- O risco real não é a IA "errar": é dado de cliente sair da empresa por um campo de texto. Segundo o relatório Cost of a Data Breach 2025 da IBM, a "IA nas sombras" apareceu em cerca de 20% dos vazamentos estudados e encareceu cada incidente em US$ 670 mil, em média.
- A LGPD já se aplica hoje. O Marco Legal da IA (PL 2338/2023) ainda não é lei, mas não é desculpa para esperar.
- Uma boa política de uso de IA na empresa cabe em 2-4 páginas: ferramentas aprovadas, classificação de dados em três cores, usos proibidos, revisão humana e um responsável.
- Política sem conta corporativa e sem treinamento é papel. O trio funciona junto.
Por que a política de uso de IA na empresa virou urgência
Há 15 anos eu mantenho servidores, ambientes Moodle e integrações em produção. Nos últimos dois anos, um padrão novo apareceu nas auditorias que fazemos: o funcionário cola na IA exatamente o que não deveria. Log de servidor com e-mail e IP de cliente. Planilha de notas de alunos para "organizar". Exportação de conversa do WhatsApp para "resumir as reclamações da semana".
Ninguém fez isso por má-fé. Fez porque a ferramenta resolve em 30 segundos o que levaria uma tarde, e não havia uma política de uso de IA na empresa dizendo que não podia.
Os números confirmam que não é um problema isolado:
- O relatório de 2025 da Menlo Security apontou que 68% dos funcionários usam ferramentas de IA gratuitas, como o ChatGPT, por contas pessoais, e 57% deles inserem dados sensíveis nelas.
- No Cost of a Data Breach 2025, da IBM, cerca de 63% das organizações que sofreram vazamento não tinham uma política de governança de IA ou ainda estavam desenvolvendo uma.
- O mesmo relatório mostra que, entre as empresas que tinham política, só 34% faziam auditoria regular para detectar uso não autorizado.
A conclusão prática: proibir tudo não funciona, porque o uso migra para o celular pessoal. Liberar tudo também não, porque o dado do seu cliente vira insumo de terceiros. A política de uso de IA na empresa existe para ocupar o meio do caminho com regras claras.
Quando você pode adiar (e quando não pode)
Se a empresa tem três pessoas, nenhuma lida com dado pessoal de terceiros e ninguém usa IA, um parágrafo no manual interno resolve. Em qualquer outro caso, especialmente se você atende pelo WhatsApp, guarda cadastro de clientes ou administra dados de alunos, adiar a política de uso de IA na empresa significa aceitar o risco sem saber o tamanho dele.
O que a LGPD já exige quando o time usa IA
Muita gente espera o Marco Legal da IA para agir. Ele ainda não chegou: o PL 2338/2023 foi aprovado pelo Senado em 10/12/2024 e, em agosto de 2026, o relator na Câmara, deputado Aguinaldo Ribeiro, afirmou que a votação ficaria para depois das eleições de outubro. Mas a LGPD (Lei 13.709/2018) vale desde 2020, e ela já cobre quase tudo o que uma política de uso de IA na empresa precisa endereçar.
Os artigos que pesam no dia a dia
| Artigo da LGPD | O que diz, em resumo | Onde a IA entra |
|---|---|---|
| Art. 6º | Princípios: finalidade, necessidade, segurança, prevenção | Colar a base inteira de clientes para "analisar" viola o princípio da necessidade |
| Art. 11 | Dados sensíveis (saúde, biometria, religião etc.) têm regras mais duras | Laudo, atestado ou dado de saúde jamais em ferramenta não aprovada |
| Art. 20 | Direito de revisão de decisões automatizadas | IA que pontua crédito, seleciona currículo ou nega atendimento precisa de caminho de revisão |
| Art. 33 | Transferência internacional só nas hipóteses previstas | A maioria das IAs processa dados fora do Brasil |
| Art. 46 | Medidas de segurança técnicas e administrativas | Política escrita e controle de acesso são medidas administrativas |
| Art. 52 | Multa de até 2% do faturamento, limitada a R$ 50 milhões por infração | O teto assusta, mas a advertência pública já dói na reputação |
Transferência internacional: o ponto que quase todo mundo ignora
Quando alguém cola um dado pessoal no ChatGPT, no Gemini ou no Claude, esse dado provavelmente é processado nos Estados Unidos ou na Europa. A Resolução CD/ANPD nº 19/2024 aprovou as cláusulas-padrão contratuais brasileiras para esse tipo de transferência, e o prazo de transição para incorporá-las terminou em 23 de agosto de 2025.
Na prática: contrato corporativo com o fornecedor, com cláusulas de proteção de dados, é muito mais defensável do que um funcionário usando conta gratuita sem contrato nenhum. Não é garantia automática de conformidade, mas é o mínimo para começar a conversa com o seu jurídico.
A ANPD também incluiu inteligência artificial entre os temas prioritários de fiscalização para 2026-2027. Não é hora de contar com a sorte.
O que liberar: usos de baixo risco que geram ganho real
Uma boa política de uso de IA na empresa começa pelo "sim". Se ela só proíbe, o time a ignora. Estes usos costumam ser liberados com tranquilidade, desde que feitos em ferramenta aprovada:
- Redação e revisão de textos genéricos: e-mails sem dados de cliente, posts, descrições de produto, roteiros.
- Brainstorming e estrutura: pautas de reunião, esboço de proposta, organização de ideias.
- Código sem segredos: explicar um trecho, sugerir teste, refatorar função. Sem credenciais, sem chave de API, sem dump de banco.
- Pesquisa e resumo de conteúdo público: legislação, documentação oficial, artigos.
- Tradução de material institucional que já é ou será público.
- Planilhas com dados fictícios ou agregados: fórmulas, modelos, análises sem nome, CPF ou telefone.
Exemplo real do nosso dia a dia
No suporte de hospedagem, usamos IA para interpretar mensagens de erro do PHP ou do Nginx. A regra interna é simples: antes de colar, troca-se domínio, IP, e-mail e caminho de diretório por marcadores como [DOMINIO] e [IP]. O diagnóstico sai igual, e nenhum dado de cliente sai da empresa. Esse hábito de "anonimizar antes de colar" é o item que mais muda o comportamento do time.
O que proibir: as linhas vermelhas que não se negociam
Na política de uso de IA na empresa, a lista de proibições deve ser curta e específica. Lista longa vira burocracia e ninguém lê.
- Dados pessoais de clientes em ferramenta não aprovada. Nome, CPF, telefone, endereço, histórico de compra, conversa de atendimento.
- Dados sensíveis (art. 11 da LGPD) em qualquer IA sem aval do encarregado (DPO). Saúde, biometria, origem racial, convicção religiosa, dados de menores.
- Credenciais e segredos. Senhas, tokens, chaves de API, arquivos
.env, certificados. Vale também para o token da API oficial do WhatsApp. - Código-fonte proprietário em conta pessoal. Em 2023, a Samsung restringiu o uso de IA generativa depois que engenheiros colaram código interno no ChatGPT. O caso virou referência justamente por ser banal.
- Decisões automatizadas sobre pessoas sem revisão humana. Contratar, demitir, negar crédito, reprovar aluno.
- Contratos, propostas e dados financeiros confidenciais fora do ambiente corporativo.
- Apresentar conteúdo de IA como verificado sem checagem. Número, citação de lei e fonte precisam ser conferidos por uma pessoa.
Armadilha comum: proibir a ferramenta, não o comportamento
"É proibido usar ChatGPT" envelhece em seis meses: surge outra ferramenta, a IA entra no navegador, no Office, no celular. Escreva a regra pelo dado e pelo uso, não pela marca. "Dados de clientes só em ferramentas da lista aprovada" continua válido quando o mercado muda.
Ferramentas aprovadas: contas corporativas versus contas pessoais
Esta é a decisão mais concreta da política de uso de IA na empresa, e a que mais reduz risco por real investido.
A diferença que importa
Nas contas pessoais gratuitas e Plus do ChatGPT, a configuração "Melhore o modelo para todos" vem ativada por padrão: as conversas podem ser usadas para treinar os modelos, a menos que o usuário desative a opção nos controles de dados. Nos planos corporativos (ChatGPT Business e Enterprise), a OpenAI informa que os dados do workspace não são usados para treinamento por padrão. A lógica se repete nos concorrentes: o plano empresarial vem com contrato, painel de administração e regras de retenção; o gratuito, não.
| Critério | Conta pessoal gratuita | Plano corporativo |
|---|---|---|
| Uso dos dados para treino | Geralmente ativado por padrão | Desativado por padrão |
| Contrato e termos de proteção de dados | Termos de consumidor | Contrato empresarial |
| Controle de acesso (SSO, MFA, remoção de usuário) | Nenhum | Painel do administrador |
| Quando o funcionário sai | Leva o histórico junto | Empresa revoga o acesso |
| Custo | Zero | Por usuário/mês |
O ChatGPT Business, por exemplo, custa na faixa de US$ 25 a US$ 30 por usuário/mês, conforme o ciclo de cobrança (confira o valor atual na página oficial da OpenAI antes de orçar). Para uma equipe de dez pessoas, é um custo previsível, menor que uma hora de advogado por mês.
Como montar a lista aprovada
- Escolha uma ferramenta principal de uso geral. Duas no máximo. Mais que isso dispersa treinamento e controle.
- Se a empresa já paga Google Workspace ou Microsoft 365, avalie primeiro a IA embutida no pacote: o contrato e a gestão de acessos já existem.
- Para cada ferramenta, registre: quem é o dono interno, quais dados são permitidos, onde os dados são processados e qual a política de retenção.
- Revise a lista e a política de uso de IA na empresa a cada seis meses. O mercado de IA muda mais rápido do que qualquer manual.
Para quem usa IA em atendimento automatizado, a régua é outra: entram SLA, logs, custo por chamada e governança de agentes. Escrevi sobre isso em agentes de IA em produção, ROI e governança.
Classificação de dados em três cores: a regra que o time entende
A política de uso de IA na empresa que funciona é a que o estagiário consegue aplicar sem perguntar. A forma mais simples que já vi funcionar é classificar os dados em três cores:
Verde: pode usar em ferramenta aprovada
Conteúdo público, textos institucionais, dados fictícios, código sem segredos, informações agregadas sem identificação de pessoas.
Amarelo: só depois de anonimizar
Logs técnicos, relatórios internos, trechos de conversa com cliente, planilhas operacionais. Antes de colar, remova ou troque nomes, documentos, telefones, e-mails e IPs. Se não dá para anonimizar, vira vermelho.
Vermelho: nunca, salvo exceção formal
Dados sensíveis, dados de menores, credenciais, contratos confidenciais, bases completas de clientes, notas e históricos de alunos identificados.
Em instituições de ensino que usam Moodle, por exemplo, o boletim de uma turma com nome e matrícula é vermelho. A mesma planilha com "Aluno 01, Aluno 02" e as notas vira amarela e pode ser usada para pedir uma análise estatística. A diferença é um minuto de trabalho e muito risco a menos.
Esse tipo de cuidado com dados de terceiros é a mesma lição que tiramos ao analisar grandes incidentes, como discuti em vazamento de dados no Reino Unido e as lições para a LGPD.
Modelo de política de uso de IA na empresa para PMEs
Abaixo, a estrutura de política de uso de IA na empresa que recomendamos para negócios de 5 a 300 pessoas. Ela cabe em 2 a 4 páginas. Adapte os termos ao seu negócio e passe pelo seu jurídico antes de publicar.
Estrutura em 10 seções
- Objetivo: "Permitir o uso produtivo de IA protegendo dados de clientes, colaboradores e da empresa."
- Abrangência: todos os colaboradores, estagiários, terceiros e prestadores com acesso a dados da empresa.
- Ferramentas aprovadas: lista nominal, com versão (plano corporativo) e responsável interno.
- Classificação de dados: verde, amarelo e vermelho, com exemplos do seu setor.
- Usos permitidos: a lista do "sim".
- Usos proibidos: a lista curta de linhas vermelhas.
- Revisão humana: todo conteúdo de IA que vai para cliente, para publicação ou para decisão sobre pessoas passa por revisão de alguém identificado.
- Transparência: quando informar ao cliente que houve uso de IA (atendimento automatizado, por exemplo).
- Incidentes: "colei algo que não devia" tem canal claro, sem punição para quem reporta rápido. Medo de punição gera silêncio, e silêncio impede a contenção.
- Responsável e revisão: quem é o dono da política, como pedir aprovação de nova ferramenta, e data da próxima revisão.
Como implantar sem travar a operação
- Semana 1: levantamento. Pergunte, sem caça às bruxas, quais ferramentas cada área usa e para quê.
- Semana 2: escolha das ferramentas aprovadas e contratação das contas corporativas.
- Semana 3: redação da política e validação com jurídico ou encarregado de dados.
- Semana 4: treinamento de 1 hora com exemplos reais do seu setor, assinatura de ciência e comunicação.
Se quiser um referencial mais robusto para crescer depois, a norma ISO/IEC 42001:2023 (sistemas de gestão de IA) e o AI Risk Management Framework do NIST são boas bases. Para a maioria das PMEs, no entanto, começar com o modelo acima já resolve 80% do risco.
Erros comuns e quando NÃO seguir o manual ao pé da letra
Depois de revisar processos de empresas de vários portes, estes são os tropeços mais frequentes:
- Copiar a política de uso de IA na empresa de uma multinacional. Documento de 40 páginas não é lido. Faça curto e específico.
- Publicar a política e não contratar a conta corporativa. Você proibiu a conta pessoal, mas não deu alternativa. O time volta para a pessoal em uma semana.
- Não envolver quem opera. TI, atendimento e comercial precisam ajudar a escrever. Senão a regra ignora como o trabalho é feito.
- Esquecer os terceiros. A agência, o freelancer e o suporte terceirizado também acessam seus dados. A política precisa estar no contrato deles.
- Tratar a IA como fonte de verdade. Ela erra lei, inventa número e cita artigo que não existe. Revisão humana não é opcional.
- Depender de uma única ferramenta sem plano B. Quando o serviço cai, a operação para. Vale ter rotina de contingência, como mostrei em o que fazer quando o ChatGPT sai do ar.
Quando flexibilizar
Times de pesquisa e desenvolvimento às vezes precisam testar ferramentas novas antes de a lista ser atualizada. Em vez de proibir, crie um ambiente de teste com dados fictícios e um prazo para decidir se a ferramenta entra ou sai da lista. Inovação controlada é melhor do que inovação escondida.
Como a Agathas Web resolve isso
Na nossa consultoria de tecnologia, governança de IA entra como parte da frente de segurança e conformidade. Não entregamos um documento genérico: olhamos como a sua empresa usa IA de verdade e escrevemos a política de uso de IA na empresa a partir disso, no seu contexto.
O que está incluso
- Levantamento do uso real de IA por área, incluindo as ferramentas que ninguém declarou.
- Mapeamento dos dados que circulam nessas ferramentas e classificação em verde, amarelo e vermelho.
- Escolha e configuração das ferramentas aprovadas, com contas corporativas, SSO/MFA quando disponível e revogação de acesso no desligamento.
- Redação da política curta, no tom da sua empresa, pronta para validação do jurídico.
- Revisão de integrações sensíveis: atendimento pela API oficial do WhatsApp, Moodle, CRM, servidores e backups, que é onde a gente opera todos os dias.
- Treinamento do time com exemplos do seu setor.
Como funciona e como contratar
Tudo começa com uma conversa inicial gratuita de 30 a 60 minutos para entender o cenário. Assinamos um NDA bilateral antes de qualquer acesso, que é sempre read-only. Uma auditoria pontual de segurança e conformidade, que é onde a política de IA costuma entrar, leva de 2 a 3 semanas e parte de R$ 6 mil; o diagnóstico completo da operação, de 4 a 6 semanas. Se preferir acompanhamento contínuo, o modelo CTO as a Service mantém a política viva e revisada a cada semestre.
Você pode agendar a conversa inicial na página de consultoria e sair dela com um escopo proposto, mesmo que decida fazer internamente.
Conclusão: comece pelo dado, não pela ferramenta
Uma política de uso de IA na empresa não é sobre frear o time. É sobre deixar claro onde ele pode acelerar sem colocar o dado do cliente em risco. O caminho mais curto tem quatro passos: descobrir o que já se usa, escolher ferramentas corporativas, classificar os dados em três cores e treinar as pessoas.
A LGPD já está valendo, a ANPD colocou IA no radar e o Marco Legal deve voltar à pauta depois das eleições. Quem organizar a casa agora sai na frente, e com menos pressa.
Se você quer um olhar externo para fazer isso com segurança, fale com a gente pela consultoria da Agathas Web. Em poucas semanas, a sua política de uso de IA na empresa deixa de ser improviso e vira processo.
Fontes
Perguntas frequentes
Minha empresa é obrigada por lei a ter uma política de uso de IA?
Não existe hoje uma lei brasileira que exija um documento com esse nome. O Marco Legal da IA (PL 2338/2023) ainda tramita na Câmara. Mas a LGPD obriga quem trata dados pessoais a adotar medidas de segurança técnicas e administrativas (art. 46) e a respeitar princípios como finalidade e necessidade. Se o time cola dados de clientes em ferramentas de IA sem regra nenhuma, fica difícil demonstrar essas medidas numa fiscalização ou num incidente. Na prática, a política escrita, somada a contas corporativas e treinamento, é a forma mais barata de provar diligência.
Posso simplesmente proibir o ChatGPT e outras IAs na empresa?
Pode, mas costuma piorar o risco. As pesquisas de 2025 mostram que a maioria dos funcionários já usa IA, muitas vezes por contas pessoais, e a proibição só empurra esse uso para o celular, onde a empresa não enxerga nada. O caminho mais seguro é aprovar uma ou duas ferramentas em plano corporativo, sem uso dos dados para treinamento por padrão, e escrever regras claras sobre quais dados podem entrar nelas. Proibir o comportamento de risco funciona melhor do que proibir a marca da ferramenta.
Colar dados de clientes no ChatGPT viola a LGPD?
Depende do contexto, mas o risco é alto. Colar dados pessoais numa conta gratuita, sem contrato com o fornecedor, dificulta justificar a finalidade, a necessidade e a transferência internacional exigidas pela LGPD, já que o processamento costuma ocorrer fora do Brasil. Com dados sensíveis, como saúde ou dados de menores, a exposição é ainda maior. O mais prudente é anonimizar antes de colar, trocando nomes, documentos, telefones e e-mails por marcadores, e usar apenas ferramentas corporativas aprovadas pela empresa e pelo encarregado de dados.
Quanto custa implantar uma política de uso de IA numa PME?
O custo tem três partes. A primeira são as licenças corporativas: o ChatGPT Business, por exemplo, fica na faixa de US$ 25 a US$ 30 por usuário/mês, e quem já tem Google Workspace ou Microsoft 365 pode aproveitar a IA do pacote. A segunda é o tempo interno para levantamento, redação e treinamento, algo em torno de quatro semanas em paralelo à operação. A terceira, opcional, é apoio externo: na Agathas Web, uma auditoria pontual de segurança e conformidade parte de R$ 6 mil.
Com que frequência a política de uso de IA deve ser revisada?
Recomendamos revisão formal a cada seis meses e revisão extraordinária sempre que acontecer uma destas situações: entrada de uma nova ferramenta, mudança nos termos de um fornecedor, incidente envolvendo IA ou mudança na legislação, como a aprovação do Marco Legal da IA. O mercado muda rápido: recursos de IA aparecem dentro do navegador, do e-mail e do pacote de escritório sem aviso. Por isso a política precisa ter um responsável nomeado e uma data de próxima revisão escrita no próprio documento.
Posts relacionados
Agentes de IA para Empresas: Do Piloto à Produção em 2026
80% das grandes empresas brasileiras já reverteram uma implantação de IA. Veja o que quebra e como montar um piloto que sobrevive.
Desenvolvimento de Aplicativo Empresarial com IA: o Guia
84% dos devs usam IA e só 29% confiam no código gerado. Onde a automação acelera, onde atrapalha e onde o projeto de verdade quebra.
Inteligência Artificial no Marketing: O Que Mudou em 2026
92% das empresas vão investir em IA no marketing e metade ignora os dados. O que separa quem colhe resultado de quem só gasta.