Política de uso aceitável de IA para funcionários: como escrever

Uma política de uso aceitável de IA é um documento curto que diz aos funcionários quais ferramentas de IA podem usar, que informações podem colocar nelas, quem precisa revisar o resultado e quando parar e consultar uma pessoa. Uma política utilizável cabe em poucas páginas, usa linguagem simples e tem um responsável nomeado. Ela funciona porque troca a cautela vaga por decisões que as pessoas conseguem aplicar no meio de uma tarefa.

Principais pontos

• Uma boa política responde a quatro perguntas: quais ferramentas, quais dados, quem revisa e quando escalar.
• Liste as ferramentas aprovadas em um documento mantido por uma só pessoa e trate todo o resto como ainda não aprovado, e não como proibido para sempre.
• Separe os dados em poucos níveis claros e diga o que cada nível permite, em vez de escrever uma lista longa de exemplos proibidos.
• Ajuste o esforço de revisão ao que o resultado vai tocar: rascunhos internos pedem menos do que qualquer coisa que clientes, órgãos reguladores ou dinheiro vão alcançar.
• Publique a política com um contato, um treinamento curto e uma data de revisão, ou ela será ignorada.

O que uma política de uso aceitável de IA realmente precisa fazer?

A maioria dos funcionários já usa IA, a empresa tendo autorizado ou não. Eles redigem e-mails, resumem documentos, traduzem, escrevem fórmulas de planilha e preparam atas de reunião. A política não existe para impedir isso. Ela existe para tornar o caminho seguro o mais fácil e para deixar o caminho inseguro evidente antes que alguém esteja no meio de um prazo apertado.

Isso dá à política três funções. Primeiro, estabelecer limites que protejam clientes, funcionários e a empresa: dados confidenciais, obrigações legais, decisões que exigem uma pessoa. Segundo, dar permissão, para que um funcionário cuidadoso não precise adivinhar se um uso legítimo é permitido. Terceiro, criar um caminho para dúvidas, de modo que ferramentas e situações novas cheguem a quem decide, em vez de serem resolvidas em particular.

Mantenha a política separada do trabalho mais amplo de governança. A política é a parte que os funcionários leem. As estruturas por trás dela, como responsabilidades, análise de risco e medição, cabem em um modelo mais amplo, como o descrito em modelo operacional de IA para empresas: quem é dono, revisa e opera. Se quiser uma referência externa para pensar em risco, o NIST AI Risk Management Framework é um ponto de partida sólido e neutro.

Um teste prático de tamanho: se um novo contratado não consegue ler a política durante um café e explicá-la de volta, ela está longa demais. Coloque a justificativa e as exceções em um documento complementar e deixe na política apenas regras que uma pessoa consiga seguir.

Quais ferramentas são permitidas e quem decide?

Comece com uma lista simples de ferramentas aprovadas. Para cada uma, registre para que foi aprovada, qual tipo de conta deve ser usado e quem é responsável pela relação com o fornecedor. O tipo de conta importa mais do que se imagina. Uma conta corporativa com as configurações corretas é diferente de uma conta pessoal no mesmo produto, mesmo que a tela seja idêntica.

Depois, defina três estados para qualquer ferramenta:

• Aprovada: os funcionários podem usá-la para as finalidades indicadas, com os níveis de dados indicados.
• Em análise: uma equipe pode testá-la apenas com dados públicos ou de baixo risco, com o responsável informado.
• Não aprovada: não deve ser usada para o trabalho nem receber informações da empresa de nenhuma forma.

A política deve dizer quem muda uma ferramenta de estado. Em uma empresa de médio porte, costuma ser um grupo pequeno: alguém de operações ou TI, alguém que entenda as obrigações jurídicas e de privacidade e um líder de negócio. Ofereça a eles um caminho simples de solicitação, porque um processo de aprovação lento é o principal motivo pelo qual as pessoas recorrem a contas pessoais.

Não esqueça o que existe ao redor da janela de chat. Extensões de navegador que leem páginas, gravadores de reunião, recursos de IA ativados dentro de softwares que você já usa e plugins que se conectam a e-mail ou agenda também contam como ferramentas. Se um recurso pode ler dados da empresa ou agir sobre eles, ele precisa estar na lista ou na fila de análise.

Se a sua empresa opera agentes de IA, e não apenas ferramentas de chat, acrescente uma cláusula curta dizendo que os agentes devem operar com identidade e contas próprias, e não com o login de um funcionário. A justificativa está em por que o agente de IA da empresa precisa de identidade e contas próprias, e isso facilita muito a gestão de permissões e de trilhas de auditoria.

Que regras de dados os funcionários precisam?

A seção de dados concentra a maior parte do risco, então faça dela a mais clara. Evite listas longas de exemplos proibidos. Use um número pequeno de níveis que os funcionários consigam aplicar por instinto.

• Público: material já publicado ou destinado à publicação. Qualquer ferramenta aprovada pode recebê-lo.
• Interno: informação de trabalho comum, como notas de processo, rascunhos de planos e correspondência não sensível. Apenas ferramentas aprovadas, em contas da empresa.
• Restrito: dados pessoais, registros de saúde ou financeiros, credenciais, contratos sob confidencialidade, resultados financeiros não divulgados, orientação jurídica e tudo o que um cliente compartilhou em confiança. Permitido apenas em ferramentas aprovadas especificamente para esse nível, ou em nenhuma.

Diga de forma explícita o que acontece na zona cinzenta: em caso de dúvida, trate a informação como o nível mais alto e pergunte. Diga também que retirar um nome nem sempre torna o dado seguro, já que alguns detalhes combinados ainda podem identificar uma pessoa ou um cliente.

Dados pessoais merecem uma frase própria. Dependendo de onde você atua e de quem atende, leis como a LGPD, fiscalizada pela ANPD, ou normas europeias podem se aplicar ao tratamento de dados pessoais, inclusive por fornecedores de IA. A política não deve tentar ensinar a lei. Deve dizer que dados pessoais só entram em ferramentas liberadas pela análise jurídica ou de privacidade e nomear quem conduz essa análise. Para um roteiro de verificação, veja LGPD e agentes de IA nas empresas: o que verificar antes de usar.

Cubra também resultados e armazenamento. Os funcionários devem saber se prompts e respostas ficam retidos, quem na empresa pode vê-los e onde podem ser salvos. Se a empresa mantém memória de longo prazo para agentes, as regras sobre o que deve ficar nela são um assunto à parte, tratado em memória de IA ou histórico de chat: o que guardar?.

O que as pessoas precisam revisar antes de usar o resultado da IA?

O princípio central é simples: quem usa o resultado da IA é responsável por ele. Se o funcionário envia, arquiva ou age com base nele, responde por sua exatidão, tom e legalidade, exatamente como se tivesse escrito o texto. A política deve dizer isso em uma frase, sem exceções para a ferramenta.

Em seguida, ajuste a revisão à consequência. Um guia de decisão ajuda:

• Rascunho privado ou brainstorming: o autor lê e corrige. Nenhuma revisão adicional.
• Documentos internos em que outras pessoas vão se apoiar: o autor confere os fatos na fonte, e um colega lê tudo o que define um processo ou um compromisso.
• Qualquer coisa enviada a cliente, parceiro ou órgão regulador: uma pessoa nomeada confere fatos, números, nomes e promessas antes do envio, e o uso de IA não é escondido de quem revisa.
• Qualquer coisa que envolva dinheiro, contratos, contratação, saúde, segurança ou compromissos jurídicos: uma pessoa com autoridade toma a decisão. A IA pode preparar material, mas não decide.

O último nível é onde muitas empresas precisam traçar uma linha firme. A IA pode montar uma comparação de candidatos, mas não deve decidir quem será contratado. Pode redigir uma cláusula, mas não deve aprovar o contrato. O princípio por trás dessas linhas, e como posicioná-las em fluxos automatizados, é explorado em quando seu agente de IA deve parar e perguntar.

Acrescente um lembrete que os funcionários raramente ouvem: o resultado da IA pode ser fluente e estar errado. Exija a conferência de números, citações, nomes, datas e de qualquer afirmação sobre uma regra ou um produto. Se a ferramenta cita uma fonte, abra a fonte. Se resume um documento, confira o resumo contra o original nos pontos que importam.

Por fim, trate dos documentos que chegam de fora. E-mails, PDFs e páginas da web podem conter instruções dirigidas à IA que os lê. Os funcionários não precisam do detalhe técnico, mas devem saber que não podem deixar um assistente agir com base em instruções encontradas dentro de um documento sem conferir antes. Esse risco é conhecido como injeção de prompt, e o OWASP Top 10 for LLM Applications é uma referência confiável para o conjunto mais amplo de riscos.

Quando o funcionário deve escalar, e para quem?

Uma política que diz apenas “use o bom senso” falha justamente quando o julgamento é difícil. Dê às pessoas gatilhos específicos e um lugar específico para onde enviá-los.

Bons gatilhos para incluir:

• Dados restritos foram colados em uma ferramenta não aprovada para eles.
• Um resultado de IA foi enviado para fora e depois se revelou errado, ou contém algo que não deveria ter sido compartilhado.
• Uma ferramenta se comporta de modo inesperado, como executar uma ação que ninguém pediu ou revelar informações de outro contexto.
• Um cliente, jornalista ou órgão regulador pergunta como a empresa usa IA.
• Alguém quer usar uma ferramenta nova, conectar IA a sistemas da empresa ou automatizar uma tarefa que toca clientes.

Para cada gatilho, indique um contato ou caixa de e-mail, diga o que informar (a ferramenta, o que foi compartilhado, quando) e prometa que relatar um erro rapidamente será tratado como o comportamento correto. Essa última promessa não é frouxidão. A empresa só descobre incidentes cedo se as pessoas não temerem as consequências de relatá-los.

Quando a escalada chega a quem decide, a qualidade da passagem importa. Quem revisa deve receber a situação, as opções e a ação recomendada, não uma pilha de históricos de conversa. A mesma disciplina vale para agentes e para pessoas, como descrito em modelo de passagem de trabalho para agentes de IA.

Um cenário ilustrativo e um checklist de uma página

Cenário ilustrativo: uma coordenadora comercial precisa de um resumo rápido de um contrato longo de cliente antes de uma reunião. Ela tem uma conta pessoal em um chatbot e fica tentada a colar o texto ali. Com uma política clara, o contrato é dado restrito, a conta pessoal não é uma ferramenta aprovada e a ferramenta corporativa aprovada só está liberada para informações do nível interno. Ela consulta a lista de ferramentas, vê que a análise de contratos é encaminhada a um contato nomeado e envia o documento para lá, com o pedido de resumo. Nada sai da empresa e, da próxima vez, ela já conhece o caminho. Uma política sem níveis nem contatos a teria deixado sozinha com o prazo.

Use este checklist para montar a sua política de uma página:

• Finalidade: um parágrafo dizendo que a política viabiliza o uso seguro e vale para todos os funcionários, prestadores e qualquer recurso de IA dentro das ferramentas de trabalho.
• Ferramentas aprovadas: uma lista com finalidade, tipo de conta e responsável, mais os três estados.
• Níveis de dados: público, interno e restrito, com o que cada um permite.
• Dados pessoais: uma regra única e um revisor nomeado.
• Responsabilidade pelo resultado: quem usa é responsável por ele.
• Níveis de revisão: ajustados à consequência, com as decisões exclusivamente humanas listadas.
• Transparência: quando informar clientes, colegas ou órgãos reguladores de que houve uso de IA.
• Escalonamento: gatilhos, contato e a promessa de não punir quem relata rapidamente.
• Responsável e data de revisão: uma pessoa nomeada e uma revisão agendada.

Escreva na segunda pessoa e no presente. Frases curtas, verbos concretos. Coloque a justificativa em uma nota separada para que as regras continuem visíveis.

Como implantar a política e mantê-la atualizada?

Publicar o documento é a menor parte do trabalho. Políticas falham por negligência, não por má intenção. Planeje estas etapas:

• Combine o rascunho com a análise jurídica ou de privacidade, com TI e com pelo menos duas pessoas que fazem o trabalho de fato, pois elas vão encontrar as ambiguidades.
• Faça uma apresentação curta com exemplos realistas de cada equipe, incluindo ao menos um que a política proíbe.
• Deixe a lista de ferramentas aprovadas e o contato de escalonamento fáceis de achar, e não enterrados em uma biblioteca de políticas.
• Defina uma data de revisão e um gatilho para revisão antecipada, como uma nova categoria de ferramenta, um incidente ou uma mudança na lei.
• Verifique a prática, não só os documentos: pergunte às equipes o que realmente usam e por quê, e trate as lacunas como insumo para a lista de ferramentas.

O treinamento pesa mais do que a maioria dos donos de empresa espera. As pessoas seguem regras que entendem e sabem aplicar. Uma sessão breve sobre o que a IA faz bem, onde falha e o que significam os níveis de dados rende mais do que um documento mais longo. O conteúdo está descrito em treinamento de funcionários para trabalhar com agentes de IA.

Espere que a política mude. Ferramentas se atualizam, fornecedores alteram seus termos e recursos aparecem dentro de softwares que você já usa. Trate a lista de ferramentas como um registro vivo e o texto da política como princípios estáveis, de modo que o primeiro seja atualizado com frequência e o segundo raramente.

Como a Be Human lida com isso na prática?

A Be Human projeta, implementa e opera infraestrutura de IA para empresas, e uma política de uso aceitável faz parte do contexto de operação, não é um complemento. Em um primeiro projeto, definimos uma função útil para o agente, a memória e as ferramentas de que ele precisa, os limites de aprovação e um critério de sucesso observável. Os níveis de dados e os níveis de revisão da sua política se tornam as permissões e os pontos de aprovação dentro dos quais o agente realmente trabalha. Na operação gerenciada, a revisão de permissões, o monitoramento e as avaliações recorrentes mantêm a política e o comportamento real alinhados, com um responsável humano do seu lado decidindo onde ficam os limites.

Perguntas frequentes

Qual deve ser o tamanho de uma política de uso aceitável de IA? Curta o bastante para que os funcionários a leiam, normalmente no máximo algumas páginas. Coloque as regras na política e a justificativa, os exemplos e o detalhe técnico em uma nota complementar. Se as pessoas não conseguem lembrar os níveis de dados sem abrir o documento, simplifique.

Devemos proibir ferramentas de IA até ter uma política? Uma proibição geral costuma empurrar o uso para contas pessoais, onde você não tem visibilidade. Uma abordagem melhor é aprovar rapidamente um conjunto pequeno de ferramentas, definir regras claras de dados e facilitar o pedido de novas ferramentas. Reserve proibições totais para tipos específicos de dados e ferramentas específicas em que você tem motivo para não confiar.

Quem deve ser o responsável pela política? Uma pessoa nomeada, normalmente em operações, TI ou riscos, com a contribuição da análise jurídica ou de privacidade e de líderes de negócio. Ser responsável significa manter a lista de ferramentas atualizada, responder às dúvidas e agendar as revisões. Responsabilidade compartilhada sem nome costuma significar responsabilidade de ninguém.

A política também cobre agentes de IA que agem por conta própria? Ela deve incluir uma cláusula para eles, porque um agente pode ler dados e executar ações, e não apenas produzir texto. A cláusula deve exigir identidade separada, permissões limitadas, pontos de aprovação definidos e registros que uma pessoa possa revisar. O restante da política, como os níveis de dados e o escalonamento, vale para os agentes como vale para os funcionários.

Orientação editorial Be Human. Exemplos são ilustrativos, salvo atribuição explícita. Fontes oferecem contexto; a implementação depende do seu processo.