Modelo de política de uso de IA para pequenas empresas

Se o seu time já usa ChatGPT, Claude, Gemini ou qualquer outra IA no trabalho (e provavelmente usa, com ou sem você saber), vale ter uma política de uso. Não precisa ser um documento jurídico de vinte páginas. Uma página clara, que todo mundo lê no onboarding, já evita os erros mais comuns.

Abaixo está um modelo para copiar e adaptar. Os trechos entre colchetes são para você preencher.

Este modelo é um ponto de partida e não substitui a orientação de um advogado, principalmente se a sua empresa trata dados sensíveis, como dados de saúde, ou atua em setor regulado.

O modelo

1. Para que serve esta política

A [nome da empresa] incentiva o uso de inteligência artificial para trabalhar melhor e mais rápido. Esta política existe para que esse uso proteja os nossos clientes, a empresa e o próprio time.

2. Ferramentas aprovadas

Só podem ser usadas para trabalho as ferramentas desta lista, com a conta da empresa:

• [Ferramenta 1, plano empresarial]
• [Ferramenta 2]

Para usar uma ferramenta nova, fale com [responsável] antes. Contas pessoais não devem ser usadas para trabalho.

3. O que nunca deve ser enviado a uma IA

• Dados pessoais de clientes, fornecedores ou colegas: nome completo, CPF, RG, e-mail, telefone e endereço, quando não forem necessários para a tarefa
• Dados sensíveis: saúde, origem racial ou étnica, religião, opinião política, filiação sindical, vida sexual, dados genéticos ou biométricos
• Senhas, chaves de acesso, tokens e dados bancários
• Contratos, propostas ou documentos que o cliente pediu sigilo
• [Outros itens específicos do seu negócio]

Na dúvida, troque o dado por um marcador ("Cliente A", "[CPF]") antes de enviar.

4. O que pode ser enviado

• Textos próprios para revisar, resumir ou reescrever, sem dados pessoais
• Documentos internos sem dados pessoais nem informação sigilosa
• Dados agregados ou anonimizados, que não permitem identificar ninguém

5. Revisão humana

• Todo texto gerado por IA que vai para um cliente ou para o público é revisado por uma pessoa antes de ser enviado.
• Decisões que afetam alguém (contratação, avaliação, crédito, preço) são tomadas por uma pessoa. A IA pode ajudar a analisar, mas não decide.
• Quem envia um conteúdo é responsável por ele, tenha sido escrito por IA ou não.

6. Agentes de IA conectados aos nossos sistemas

• Cada agente tem uma identidade e uma chave próprias, criadas por [responsável].
• Agentes só executam as etapas do processo marcadas como automatizáveis.
• As chaves são revogadas quando o agente deixa de ser usado ou quando alguém sai do time.

7. Transparência

Quando um cliente perguntar se a IA foi usada num trabalho, respondemos com honestidade. [Opcional: informamos proativamente o uso de IA em entregas do tipo X.]

8. Incidentes

Se alguém enviar por engano um dado que não deveria, avise [responsável] no mesmo dia. Erro comunicado cedo é erro que dá para tratar.

9. Revisão desta política

Esta política é revisada a cada [6] meses ou quando adotarmos uma ferramenta nova.

Última atualização: [data]. Responsável: [nome].

Como colocar a política em prática

Política escrita e esquecida não protege ninguém. Três coisas fazem diferença:

1. Leia junto com o time. Quinze minutos explicando o porquê de cada item valem mais que uma assinatura num PDF.
2. Coloque no onboarding. Ela entra no checklist de quem chega (veja o checklist de onboarding).
3. Facilite o caminho certo. Se tirar dados pessoais antes de usar a IA dá muito trabalho, ninguém vai fazer. Prefira ferramentas que já protegem esses dados por padrão.

O guia dados de clientes no ChatGPT: o que diz a LGPD explica o motivo de cada regra do item 3.

No Ocary, os trechos de um documento marcados como privados nunca chegam à IA: ela recebe só a descrição do trecho. Os agentes têm chave própria e só assumem as etapas que você liberou. Assim, cumprir os itens 3 e 6 desta política deixa de depender só da memória de cada pessoa.