Sem regra escrita, cada pessoa da equipe decide sozinha o que pode colar em uma ferramenta de IA. Uma política de uma página resolve, e para negócio pequeno ela precisa caber em uma página mesmo.
Por que escrever isso
Não é burocracia, é proteção. O risco real não é alguém usar IA, é alguém colar a base de clientes em um site qualquer achando que está ajudando.
Regra escrita também tira o peso da decisão de cada um. Quando está claro o que pode, ninguém precisa adivinhar.
O que a política precisa ter
- Quais ferramentas são autorizadas.
- O que nunca pode ser colado.
- O que precisa de revisão humana antes de sair.
- Quem é o responsável por dúvidas.
- Com que frequência a regra é revisada.
Modelo para adaptar
Ferramentas autorizadas. A empresa usa [nome da ferramenta], na conta corporativa. Uso de outras ferramentas para tarefas de trabalho precisa de autorização.
Nunca cole nestas ferramentas: documento de cliente, contrato, extrato, folha de pagamento, senha, chave de acesso, base de contatos, dado de saúde e qualquer informação que identifique uma pessoa.
Como usar com segurança: substitua nomes e documentos por referências genéricas antes de pedir qualquer coisa.
Revisão obrigatória: nada gerado por IA vai para cliente, para publicação ou para documento oficial sem revisão de uma pessoa responsável.
Proibido: usar IA para dar orientação técnica ou profissional a cliente, prometer resultado, criar depoimento fictício ou imagem que simule situação real.
Responsável: dúvidas com [nome]. Revisão desta política a cada seis meses.
A regra que mais evita problema
A da substituição. Se a equipe pegar o hábito de trocar nome por "cliente A" antes de colar qualquer coisa, a maior parte do risco de dados desaparece sem precisar de mais nada.
Contas corporativas, não pessoais
É o ajuste estrutural mais importante e o mais esquecido. Quando cada um usa a conta pessoal, o histórico de trabalho da empresa fica no login particular de alguém que um dia sai.
Além disso, planos corporativos costumam ter tratamento diferente de retenção e de uso do conteúdo, como explicado em dados da empresa no ChatGPT.
Como manter viva
Marque revisão a cada seis meses e trate como documento de trabalho, não como contrato. Ferramenta nova que a equipe começou a usar entra na lista; regra que ninguém segue é sinal de que ela é impraticável e precisa mudar.
Como apresentar para a equipe
Em quinze minutos de conversa, não por e-mail. Mostre o que pode, explique o porquê da lista do que não pode e peça exemplos do que cada um já vinha usando.
Essa última parte costuma ser reveladora: quase sempre alguém já estava colando coisa que não deveria, sem má intenção nenhuma. Descobrir isso em uma conversa é muito melhor que descobrir depois de um problema, e ainda mostra para a equipe que a política existe para proteger todo mundo, não para vigiar ninguém.
Quer colocar a IA para trabalhar no seu negócio?
Eu ajudo pequeno negócio a usar IA no atendimento, no conteúdo e na rotina, sem enrolação e sem promessa mágica. Me chama que a gente vê o que faz sentido no seu caso.
Falar no WhatsAppO que pode e o que não pode ir para a IA: tabela de três níveis
O jeito mais simples de a equipe acertar é classificar a informação em três níveis: liberado, com cuidado e proibido. A tabela entra na política e fica num lugar visível, e a dúvida do dia a dia se resolve olhando para ela.
| Nível | Exemplos | Regra |
|---|---|---|
| Liberado | Texto público do site, post já publicado, ideia de pauta, rascunho sem nome de ninguém | Pode usar na ferramenta autorizada |
| Com cuidado | Resumo de reunião interna, proposta comercial, números da empresa | Só na conta corporativa e trocando nomes por "cliente A" |
| Proibido | CPF, documento, contrato de cliente, dado de saúde, senha, base de contatos, extrato | Nunca vai para ferramenta de IA |
Se a empresa usa IA para atender cliente, como um agente no WhatsApp, a política ganha mais três regras: o cliente sempre consegue falar com uma pessoa, a IA não promete resultado nem dá parecer, e alguém revisa uma amostra das conversas todo mês. Mais sobre isso em IA para atendimento ao cliente.
O que fazer se alguém colou dado de cliente na IA?
Primeiro, sem caça às bruxas: a pessoa precisa se sentir segura para avisar rápido. Depois, registre o que foi colado, em qual ferramenta e conta, apague a conversa se a ferramenta permitir e avalie com o responsável se o caso traz risco para o cliente.
- Avisar o responsável no mesmo dia.
- Registrar data, ferramenta, conta usada e tipo de dado.
- Apagar a conversa do histórico e conferir, nas configurações da ferramenta, se o conteúdo pode ser usado para treinamento.
- Avaliar o risco: a LGPD (art. 48) manda comunicar a ANPD e o titular quando o incidente pode causar risco ou dano relevante. Na dúvida, consulte um advogado de proteção de dados.
- Corrigir a causa: ajustar a política ou o treinamento para não repetir.
Esses cinco passos cabem na própria política, num bloco chamado "se algo der errado". Sobre o que as ferramentas fazem com o que você cola, veja dados da empresa no ChatGPT.
Existe lei de IA no Brasil que obriga a ter política?
Até outubro de 2026, o Brasil não tem uma lei geral de inteligência artificial em vigor. Vale acompanhar a tramitação do PL 2338/2023, o projeto de marco legal da IA no Brasil, no site do Congresso. Mas a LGPD já vale para qualquer dado pessoal colocado numa ferramenta de IA, e é ela que torna a política útil desde já.
- LGPD, art. 46: a empresa precisa adotar medidas de segurança para proteger dados pessoais. Regra escrita sobre o que vai para a IA é uma dessas medidas.
- LGPD, art. 6º: finalidade e necessidade. Usar dado de cliente numa ferramenta só faz sentido se for para o propósito que ele conhece, e só com o necessário.
- Conselhos profissionais: em áreas reguladas, as regras de sigilo e de publicidade do conselho valem também para texto gerado por IA.
Para revisar o que a IA produz antes de sair, a política pode apontar para o guia de como conferir o que a IA produz. E para quem está começando a usar IA com a equipe, há um roteiro em como começar com IA em 30 dias.
Perguntas frequentes
Existe lei que obriga a empresa a ter política de uso de IA?
A LGPD já exige medidas de segurança para dados pessoais, e uma política escrita é uma das formas mais simples de mostrar que a empresa cuida disso. Sobre uma lei específica de IA, acompanhe a tramitação do PL 2338/2023, o projeto de marco legal da IA, no site do Congresso.
O que fazer se um funcionário colou dado de cliente no ChatGPT?
Avise o responsável, registre o que foi colado e em qual conta, apague a conversa e verifique as configurações de uso dos dados na ferramenta. Se houver risco relevante para o cliente, a LGPD prevê comunicação à ANPD e ao titular; na dúvida, consulte um advogado de proteção de dados.
A política de IA vale para freelancer e prestador de serviço?
Deveria valer para qualquer pessoa que trabalhe com dados da empresa, inclusive quem não é funcionário. O caminho mais simples é citar a política no contrato do prestador e enviar o documento junto.
A equipe precisa assinar a política de uso de IA?
Não há forma obrigatória, mas registrar que cada pessoa leu ajuda muito. Pode ser uma assinatura, um formulário de ciência ou uma resposta por e-mail. O importante é ter como mostrar que a regra foi comunicada.
Empresa com três pessoas precisa disso?
Precisa, e é mais rápido de fazer. Uma página resolve, e evita justamente o cenário em que alguém cola dado de cliente em um site desconhecido sem saber que não podia.
Preciso de advogado para escrever?
Para o uso interno básico, não. Se a sua empresa trata dado sensível em volume, como clínica, vale a revisão de um advogado especializado em proteção de dados.
E se alguém descumprir?
Trate como qualquer regra interna: primeiro orientação, depois consequência. O objetivo é evitar o vazamento, não punir quem tentou trabalhar melhor.
Devo proibir IA para a equipe?
Proibir costuma gerar uso escondido, que é pior porque ninguém consegue supervisionar. Autorizar com regra clara protege mais que proibir sem fiscalização.