Agendar conversa

Política de uso de IA

A política que ninguém lê não existe.

O documento de vinte páginas aprovado pelo comitê e ignorado por todo mundo é o desfecho mais comum de política de IA. O que separa uma política seguida de uma decorativa não é a completude: é uma regra de redação que quase ninguém aplica — toda proibição vem com a alternativa autorizada ao lado. Esta página traz o template inteiro para copiar e adaptar, com essa regra embutida.

Ir para o template Por que a maioria falha
7SEÇÕES, E NENHUMA DELAS É LONGA
3NÍVEIS DE CLASSIFICAÇÃO DE DADO
1ALTERNATIVA AO LADO DE CADA PROIBIÇÃO
90DIAS ATÉ A PRIMEIRA REVISÃO

O diagnóstico

Quatro motivos, e o primeiro responde pela maioria dos casos

O critério de qualidade de uma política de IA não é o que ela cobre. É a taxa de adesão — quantas pessoas mudam de comportamento por causa dela. Por esse critério, quase toda política em vigor hoje falhou, e as causas se repetem.

01

Proíbe sem oferecer caminho

"Não cole dado de cliente em ferramenta pública" sem dizer onde colar não muda comportamento: empurra o uso para fora da vista. É assim que o shadow AI nasce dentro de empresa que tem política.

02

É longa demais para ser lida

Vinte páginas de linguagem jurídica não são lidas por quem precisa aplicá-las às três da tarde, no meio de uma entrega. Não lida equivale a não existir.

03

Não tem prazo de resposta a exceção

Quem tem prazo de projeto contorna a regra que demora. Sem compromisso de resposta em dias, o pedido de exceção deixa de ser feito — e o uso acontece assim mesmo.

04

Foi copiada sem adaptação

Template publicado com exemplos genéricos é reconhecido na primeira leitura. Política que parece genérica não é levada a sério, e o resto do documento cai junto.

O núcleo

Sem classificação de dado, toda regra vira genérica

É a parte que faz a política funcionar na prática. Enquanto a regra falar de "dado sensível" sem dizer o que é, cada pessoa decide sozinha — e decide a favor da entrega que está atrasada. Três níveis bastam.

NívelO que é, e o que pode entrar em ferramenta de IA
Público Livre material já publicado pela empresa, conteúdo de marketing, informação de domínio público. Pode ir para qualquer ferramenta, inclusive gratuita.
Interno Só em ferramenta autorizada processo, documentação, código não proprietário, texto administrativo sem dado pessoal. Vai apenas para as ferramentas da lista aprovada, com conta corporativa.
Restrito Só no ambiente privado dado pessoal, contrato, base de clientes, informação financeira não divulgada, código proprietário, segredo de negócio. Só na instância privada sob o AI Gateway, nunca em conta pessoal.
Regra que resolve a dúvida Na incerteza, trate como restrito e pergunte. E o pedido precisa ter resposta em dias, não em semanas — é isso que faz alguém perguntar em vez de decidir sozinho.

O template

Copie, substitua o que está entre colchetes, publique

O texto abaixo é o que a Tyna usa como ponto de partida em projeto. Ele é curto de propósito. Três substituições são obrigatórias antes de publicar: a lista real de ferramentas autorizadas, exemplos de dado restrito com nomes de sistemas que as pessoas reconheçam, e o nome de quem responde por exceção.

Vai em texto puro, pronto para colar em documento, intranet ou e-mail.

Seções 1 a 3 Alcance, dado e ferramentas

  1. Objetivo e alcance

    A quem se aplica — colaboradores, estagiários, terceiros e prestadores com acesso a sistemas da empresa — e a que se aplica: qualquer ferramenta que gere texto, imagem, áudio, código ou decisão, contratada ou gratuita.

  2. Classificação de dado, com exemplos da casa

    Os três níveis da tabela acima, com exemplos nomeados: o nome do CRM, o nome da pasta de contratos, o sistema onde ficam os dados de cliente. Exemplo genérico não é reconhecido, e o que não é reconhecido não é aplicado.

  3. Ferramentas autorizadas e como pedir uma nova

    A lista, curta, com o que cada uma pode receber. E o caminho para pedir a inclusão de outra, com prazo de resposta declarado. Lista fechada sem porta de entrada envelhece em semanas e vira letra morta.

Seções 4 e 5 O que não pode, e o que fazer no lugar

  1. Proibições, cada uma com a alternativa ao lado

    É a regra de redação que decide o resultado. Não existe linha proibindo algo sem, no mesmo parágrafo, o caminho autorizado para a mesma necessidade. Se não houver alternativa possível, a proibição precisa explicar por quê — senão ela é ignorada e leva as outras junto.

    Proibição sem alternativa não reduz o uso: só reduz o que a empresa consegue enxergar

  2. Conteúdo gerado por IA

    Revisão humana obrigatória antes de qualquer uso externo, responsabilidade de quem publica, e a regra sobre número: dado, valor e prazo citados em material que sai da empresa vêm de sistema, nunca do modelo.

Seções 6 e 7 Agentes, incidentes e quem responde

  1. Agentes e automações passam por aprovação separada

    Política governa pessoas; agente age sozinho e exige outro escopo. A política aponta para o processo de revisão — as dez perguntas antes de um agente ir ao ar —, não tenta cobrir o assunto em um parágrafo.

  2. Papéis, prazo de exceção e canal de incidente

    Nome do dono da política, prazo máximo para responder a um pedido de exceção, e como reportar um incidente — com a anistia declarada por escrito para quem reporta. Sem anistia, ninguém reporta, e a empresa fica sabendo pelo cliente.

Depois de escrever

Quatro passos entre o documento pronto e o comportamento mudado

Publicar na intranet e mandar um e-mail é o método mais usado, e o de menor efeito. O que muda comportamento é outra coisa.

01

Ter a alternativa pronta antes de anunciar a regra

Se a instância privada ainda não existe no dia do anúncio, a política nasce como proibição pura — e proibição pura empurra o uso para o celular pessoal, onde não há registro nenhum.

02

Anunciar com anistia, por escrito

Ninguém será punido pelo uso anterior à política nem por reportar incidente. Sem isso, o time não declara o que já usa, a empresa não descobre o que existe e a política passa a valer sobre um mapa incompleto.

Mesma regra que faz o mapeamento de shadow AI funcionar — e pelo mesmo motivo
03

Responder exceção em dias, não em semanas

O prazo de resposta é a parte da política que mais influencia adesão. Quem tem entrega para segunda-feira não espera duas semanas por autorização: contorna e segue.

04

Revisar a cada 90 dias

Ferramenta de IA muda recurso, termos de uso e política de treinamento em prazo menor que o ciclo anual de norma interna. Política que cita uma versão que não existe mais perde autoridade — e leva o resto do documento junto.

Perguntas frequentes

Política de uso de IA, em resposta direta

O que precisa ter em uma política de uso de IA?

Sete partes, e nenhuma delas é longa. Objetivo e alcance, dizendo a quem a política se aplica. Classificação de dado em três níveis, com o que pode entrar em qual categoria de ferramenta. A lista de ferramentas autorizadas e o caminho para pedir uma nova. As proibições, cada uma com a alternativa autorizada ao lado. As regras para conteúdo gerado por IA, incluindo revisão humana antes de uso externo. A regra para agentes e automações, que exigem aprovação separada. E os papéis: quem é o dono da política, em quanto tempo um pedido de exceção é respondido e como se reporta um incidente.

Por que a maioria das políticas de uso de IA não é seguida?

Porque proíbem sem oferecer caminho. Uma política que diz para não colar dado de cliente em ferramenta pública, sem dizer onde colar, não muda o comportamento: empurra o uso para fora da vista, que é como o shadow AI nasce. As outras causas comuns são tamanho, porque documento de vinte páginas não é lido e não lido equivale a não existir, e ausência de prazo de resposta a exceção, porque quem tem prazo de projeto contorna a regra que demora a responder. O critério de qualidade de uma política não é a completude do documento: é a taxa de adesão.

Dá para usar um template de política de uso de IA pronto?

Como ponto de partida, sim, e é para isso que o template desta página existe. Mas ele só funciona depois de três adaptações que ninguém pode fazer no seu lugar: a lista de ferramentas realmente autorizadas na sua empresa, os exemplos de dado restrito com nomes de sistemas que as pessoas reconheçam, e o nome de quem responde por exceção. Template publicado sem essas três substituições é reconhecido como genérico na primeira leitura, e política que parece genérica não é levada a sério.

Política de uso de IA cobre agentes autônomos?

Não, e tratar como se cobrisse é um erro comum. Política de uso governa pessoas usando ferramentas: se alguém escreve um prompt ruim, uma pessoa lê a resposta e descarta. Agente autônomo age em nome da empresa sem leitor intermediário, respondendo ao cliente ou alterando registro, e exige controles próprios: escopo de autonomia, guardrail aplicado em execução, escalonamento humano e trilha de auditoria. O que a política deve conter sobre agentes é a regra de que eles passam por aprovação separada, com o roteiro de revisão correspondente.

Com que frequência a política de uso de IA deve ser revisada?

A cada trimestre, e não a cada ano. Ferramenta de IA muda de recurso, de termos de uso e de política de treinamento em prazo muito menor que o ciclo anual de revisão de norma interna. Uma política que cita ferramentas por nome fica desatualizada em meses, e política desatualizada perde autoridade rápido: quando o time percebe que a regra fala de uma versão que não existe mais, o resto do documento também deixa de ser levado a sério.

Continue por aqui

Guias relacionados

01

Shadow AI: como mapear

Política escrita sobre um mapa incompleto regula o que a empresa enxerga e ignora o resto. O mapeamento vem antes.

02

LGPD em fluxos de IA

A classificação de dado da política só se sustenta se a base legal por finalidade estiver resolvida.

03

AI Gateway

É o "no lugar disso" de metade das proibições. Sem ele, boa parte da política vira regra sem caminho.

Próximo passo

Quer adaptar o template à sua operação?

Comece pelo diagnóstico: dez perguntas, três minutos, e as lacunas nomeadas uma a uma — inclusive as que a política sozinha não resolve.

Fazer o diagnóstico Falar com o Felipe