Política de uso de IA: um modelo em 7 passos para a sua organização

A IA generativa entrou nas organizações pela porta dos fundos. Antes de qualquer decisão formal, colaboradores já usavam assistentes gratuitos para redigir e-mails, resumir documentos e analisar planilhas. A reação mais comum foi oscilar entre dois extremos: proibir tudo ou não dizer nada.

Nenhum dos dois funciona. A proibição empurra o uso para contas pessoais, longe de qualquer controle. O silêncio deixa cada pessoa decidir sozinha o que pode ser colado em uma ferramenta externa. Uma política de uso de IA resolve o impasse ao dizer, de forma simples, o que é permitido, em que condições e com que responsabilidades.

Por que proibir não basta

O Data Privacy Benchmark 2024, da Cisco, com 2.600 profissionais de privacidade e segurança em 12 países, mostrou que 27% das organizações tinham banido a IA generativa, ao menos temporariamente. Ao mesmo tempo, 63% haviam estabelecido limites para os dados que podem ser inseridos e 61% restringiam quais ferramentas os funcionários podem usar. O caminho que prevaleceu foi regular, não vetar.

No setor público, a lacuna é parecida. A pesquisa TIC Governo 2025, do CGI.br/Cetic.br, indica que, entre os órgãos federais, a oferta de cursos sobre IA generativa está à frente da contratação de ferramentas e da publicação de diretrizes de uso.

O modelo em 7 passos

O roteiro abaixo serve para empresas, órgãos públicos e organizações do terceiro setor. O que muda de uma para outra é o grau de detalhe, não a estrutura.

1. Definir objetivo e alcance

Explique em um parágrafo por que a política existe: aproveitar a IA com segurança, proteger dados e preservar a qualidade do trabalho. Defina a quem ela se aplica (servidores, empregados, estagiários, terceirizados, fornecedores) e quais tecnologias cobre: assistentes de texto, geração de imagens, transcrição, copilotos e agentes.

2. Inventariar ferramentas e usos

Uma pesquisa interna rápida e a análise do tráfego de rede revelam quais ferramentas já circulam. O inventário deve registrar finalidade, área, tipo de dado envolvido e existência de contrato. Ele é a base para decidir o que autorizar.

3. Classificar os usos

Use três categorias. Permitidos: tarefas sem dados sensíveis em ferramentas autorizadas, como revisar um texto público ou gerar ideias. Condicionados: usos que exigem aprovação ou cuidados extras, como analisar documentos internos ou atender o público. Proibidos: decisões automatizadas sobre direitos sem revisão humana, inserção de dados pessoais ou sigilosos em ferramentas não contratadas, criação de conteúdo enganoso.

4. Estabelecer regras para dados

Liste o que nunca pode ser inserido em ferramentas externas: dados pessoais de clientes, cidadãos ou colaboradores, dados sensíveis, informações sigilosas, credenciais, código-fonte proprietário e estratégias não divulgadas. Relacione a regra à LGPD (Lei 13.709/2018) e à política de segurança da informação. Exija contratos que impeçam o uso dos dados para treinar modelos do fornecedor.

5. Exigir revisão humana e transparência

Quem assina responde pelo conteúdo, com ou sem IA. Defina quando é preciso informar o uso de IA, por exemplo em atendimento ao público, em documentos oficiais e em imagens geradas. Para decisões que afetam pessoas, garanta revisão humana: o art. 20 da LGPD já assegura ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado.

6. Nomear responsáveis

Uma política sem dono envelhece rápido. Defina quem aprova novas ferramentas, quem avalia riscos e quem recebe dúvidas e incidentes. Em geral, funciona um pequeno comitê com TI, segurança da informação, jurídico ou compliance, o encarregado pelo tratamento de dados pessoais e representantes das áreas de negócio.

7. Capacitar e revisar

Publique a política com exemplos práticos e um guia de bolso. Treine por perfil: usuários, gestores e equipes técnicas. Revise o documento ao menos uma vez por ano, ou antes, se houver nova regulação. No Brasil, o PL 2338/2023, que cria o marco legal da IA, foi aprovado pelo Senado em dezembro de 2024 e, em outubro de 2026, aguardava parecer em comissão especial da Câmara.

Erros comuns ao escrever a política

• Texto longo demais: se ninguém lê, ninguém cumpre. Prefira poucas páginas e anexos práticos.
• Lista de ferramentas no corpo do texto: mantenha a relação de ferramentas autorizadas em anexo, fácil de atualizar.
• Regras vagas: “usar com responsabilidade” não orienta ninguém. Dê exemplos concretos.
• Falta de canal: as pessoas precisam saber a quem perguntar e como relatar um erro.
• Política sem ferramenta: proibir o uso de serviços abertos sem oferecer alternativa contratada mantém o uso paralelo.

Próximos passos

Comece pelo inventário: em poucas semanas, ele mostra os usos reais e os riscos mais urgentes. Com ele em mãos, escreva uma primeira versão curta, aprove-a com a alta gestão e publique com treinamento. A segunda versão virá da experiência real.

A Midnal atua desde 2013 com tecnologia, governança e educação para órgãos públicos, empresas e terceiro setor, e pode apoiar o inventário de usos, a redação da política e a capacitação das equipes. Conheça a frente de governança, LGPD e compliance.