Política de uso de IA na empresa: como capacitar a equipe

Uma política de uso de IA na empresa é um conjunto curto de regras que diz à equipe quais ferramentas de inteligência artificial podem ser usadas, que informações nunca devem ser inseridas nelas e quem confere o resultado antes de ele ser usado.

Se as pessoas já usam ChatGPT, Gemini ou assistentes semelhantes sem combinado nenhum, o caminho não é proibir: é escrever essas regras, treinar a equipe por função e acompanhar alguns indicadores.

A pesquisa TIC Empresas 2025, do Cetic.br, mostra que 17% das empresas brasileiras com mais de dez pessoas ocupadas usaram aplicações de IA em 2025, contra 13% em 2024. Entre as pequenas, a proporção foi de 10% para 15%, e entre as grandes chegou a 50%, segundo o mesmo levantamento do Cetic.br. Na TIC Empresas 2025, 80% das empresas que usaram IA adotaram soluções prontas: ferramentas de mercado nas mãos dos colaboradores, exatamente onde a política precisa atuar.

O que é uma política de uso de IA na empresa e por que você precisa de uma?

Uma política de uso de IA é o documento que transforma o uso individual e improvisado de ferramentas de IA em uma prática da empresa, com limites, responsáveis e critérios de qualidade. Toda empresa que tem pessoas usando IA, oficialmente ou não, já precisa de uma.

Sem política, cada colaborador decide sozinho o que colar em uma ferramenta, qual conta usar e se confere ou não a resposta. Alguns ganham tempo com segurança, outros expõem dados de clientes sem perceber.

A política não precisa ser um documento jurídico extenso. A ANPD, no seu guia de segurança da informação para agentes de tratamento de pequeno porte (2021), sugere que pequenas empresas adotem uma política de segurança da informação “ainda que simplificada”, com revisão periódica. O guia afirma que essa política evidencia “boa-fé e diligência” na segurança dos dados pessoais.

A política de IA pode ser um capítulo dessa política maior ou um documento próprio, desde que converse com ela. Segundo a TIC Empresas 2025, do Cetic.br, 53% das empresas brasileiras tinham uma política de segurança digital em 2025, ou seja, quase metade ainda não tem nem a base.

Uma boa política de IA responde a cinco perguntas:

1. Quais ferramentas e contas estão autorizadas? De preferência, contas corporativas administradas pela empresa.
2. Para quais tarefas? Rascunhos, resumos, pesquisa, revisão de texto, análise de dados anonimizados.
3. O que nunca entra? Dados pessoais sem finalidade definida, dados sensíveis, credenciais, segredos comerciais.
4. Quem confere o resultado? Toda saída que vai para cliente, contrato, preço ou decisão passa por uma pessoa.
5. Quem responde por dúvidas e incidentes? Um nome, um canal e uma data de revisão.

Onde está o risco real da IA na empresa?

O principal risco da IA na empresa está na forma como as pessoas a usam: o que inserem, o quanto confiam na resposta e o quanto deixam de entender o próprio trabalho. Por isso, a governança de IA começa por pessoas e processos, não por software.

Dados. O Radar Tecnológico da ANPD sobre IA generativa lembra que o campo de instruções (o prompt) aceita trechos de documentos, e-mails, interações com clientes e até anexos inteiros, como atas e documentos confidenciais.

O documento observa que usuários muitas vezes não conhecem os riscos desse compartilhamento. Também alerta que, quando alguém compartilha dados pessoais de terceiros com um sistema de IA generativa, essa pessoa pode, a depender do contexto, ser considerada agente de tratamento. Em outras palavras: o colaborador que cola a planilha de clientes na ferramenta está tratando dados pessoais em nome da empresa.

Erros. Modelos de IA generativa podem produzir respostas falsas com aparência convincente, fenômeno conhecido como “alucinação”. A ANPD dá o exemplo de um sistema usado para analisar currículos que gera fatos infundados sobre a vida de um candidato. Em uma empresa, o equivalente é a proposta com uma condição comercial inventada, o resumo de contrato que omite uma cláusula ou o e-mail ao cliente com um dado errado.

Dependência. Quando a equipe passa a aceitar a resposta da IA sem entender o raciocínio, a empresa perde capacidade crítica. É por isso que letramento em IA (saber o que a ferramenta faz bem, onde erra e como conferir) é tão importante quanto saber escrever boas instruções.

Como escrever uma política de uso de IA em três blocos?

O jeito mais rápido de criar uma política de uso de IA na empresa é organizá-la em três blocos: o que a equipe pode fazer, o que nunca deve inserir e o que sempre precisa conferir.

O formato cabe em uma página e vale para o ChatGPT e ferramentas semelhantes.

Use o modelo abaixo como ponto de partida e adapte à realidade do seu negócio.

Bloco 1: o que a equipe pode fazer com IA

Com ferramentas e contas autorizadas pela empresa, a equipe pode usar IA para:

• Rascunhar e revisar textos internos, e-mails e materiais de marketing.
• Resumir documentos públicos ou internos sem dados pessoais.
• Gerar ideias, estruturas de apresentação e roteiros.
• Explicar conceitos, fórmulas de planilha e termos técnicos.
• Analisar dados agregados ou anonimizados.
• Traduzir textos que não contenham informações confidenciais.

Bloco 2: o que nunca inserir em ferramentas de IA

Estas informações ficam fora de qualquer ferramenta de IA, mesmo nas contas autorizadas:

• Dados pessoais de clientes, fornecedores ou colaboradores (nome com CPF, endereço, telefone, histórico de compras) sem que a empresa tenha definido finalidade, base legal e ferramenta adequada.
• Dados pessoais sensíveis, como informações de saúde, biometria, origem racial ou convicção religiosa.
• Senhas, tokens, chaves de acesso e dados bancários.
• Contratos, propostas, preços e estratégias protegidos por confidencialidade.
• Qualquer informação que a empresa se comprometeu, por contrato, a não compartilhar.

Bloco 3: o que sempre passa por conferência humana

Uma pessoa revisa estes resultados antes do uso:

• Todo conteúdo que vai para cliente, publicação externa, contrato ou proposta.
• Números, datas, nomes, citações e referências legais.
• Respostas que embasam decisões sobre pessoas (contratação, crédito, avaliação).
• Código ou fórmulas antes de entrar em uso.

Feche o documento com quatro linhas: responsável pela política, canal para dúvidas, como comunicar um incidente (por exemplo, dado inserido por engano) e data da próxima revisão.

O que conferir antes de publicar a primeira versão?

• Levantamento das ferramentas de IA que a equipe já usa, inclusive em contas pessoais.
• Definição das ferramentas e contas autorizadas.
• Os três blocos escritos em linguagem simples, com exemplos do seu negócio.
• Responsável nomeado e canal de dúvidas definido.
• Procedimento para incidentes alinhado à política de segurança da informação.
• Ciência formal da equipe (leitura e aceite).
• Data de revisão marcada, de preferência em até três meses.

O que a LGPD exige no uso de IA?

A LGPD se aplica ao uso de IA sempre que houver tratamento de dados pessoais, e isso inclui colar dados de clientes ou colaboradores em uma ferramenta de IA. Os princípios e as obrigações de segurança da lei valem para esse uso como para qualquer outro sistema.

A Lei nº 13.709/2018 define dado pessoal como “informação relacionada a pessoa natural identificada ou identificável”. Isso é mais amplo do que parece: um e-mail com nome e cargo, um print de conversa no WhatsApp ou uma lista de pedidos com endereços já são dados pessoais.

Como a finalidade dos dados limita o uso de IA?

Pelo artigo 6º da LGPD, o tratamento precisa ter finalidade legítima, específica e informada ao titular, limitar-se ao mínimo necessário e contar com medidas de segurança. São os princípios da finalidade, da necessidade e da segurança.

O artigo 7º estabelece que o tratamento só pode ocorrer nas hipóteses previstas na lei, as chamadas bases legais.

Na prática, antes de autorizar qualquer uso de IA com dados pessoais, a empresa deve conseguir responder:

• Para que usaremos esses dados nesta ferramenta?
• Essa finalidade é compatível com aquela informada ao cliente ou colaborador?
• Precisamos mesmo dos dados identificados, ou dá para anonimizar ou resumir?
• Qual base legal sustenta esse tratamento?

O guia da ANPD para pequeno porte reforça a mesma lógica ao recomendar que se colete e processe apenas os dados realmente necessários para a finalidade pretendida. Se a tarefa é melhorar o texto de uma resposta padrão, não há motivo para incluir nome e telefone do cliente.

O que verificar em versões corporativas, termos e contratos?

Ferramentas de IA são serviços em nuvem, e a escolha da versão e do contrato faz diferença. Antes de autorizar uma, verifique nos termos se os dados inseridos podem treinar modelos, por quanto tempo ficam armazenados, onde são processados e quem os acessa.

Fornecedores externos estão no centro dessa decisão: na TIC Empresas 2025, 54% das empresas que usaram IA contrataram terceiros para modificar ou desenvolver os sistemas. Versões corporativas costumam oferecer administração centralizada de contas, controles de retenção e cláusulas contratuais mais claras. Mesmo assim, confirme isso no contrato da ferramenta escolhida, não em material de divulgação.

A LGPD, no artigo 39, determina que o operador realize o tratamento segundo as instruções do controlador, e o artigo 46 exige medidas de segurança técnicas e administrativas.

O guia da ANPD recomenda, para serviços em nuvem, contrato de nível de serviço que contemple a segurança dos dados e avaliação se o serviço atende aos requisitos de segurança da empresa. Também recomenda autenticação multifator para acessar serviços que envolvam dados pessoais. O mesmo guia sugere termos de confidencialidade com funcionários e contratos com fornecedores que incluam cláusulas de segurança da informação.

Três medidas práticas resolvem boa parte do risco:

1. Contas corporativas, não pessoais. Assim a empresa controla quem tem acesso e consegue desativar contas quando alguém sai.
2. Autenticação multifator em todas as ferramentas autorizadas.
3. Revisão dos termos de cada ferramenta antes de liberar, com registro do que foi verificado.

Este artigo traz orientações gerais. Para situações específicas, como tratamento de dados sensíveis ou decisões automatizadas sobre pessoas, consulte um profissional especializado em proteção de dados.

Como estruturar a capacitação da equipe em IA?

A capacitação em inteligência artificial funciona quando é curta, organizada por função e baseada nas tarefas reais de cada área. Uma palestra genérica sobre “o futuro da IA” raramente muda o comportamento no dia seguinte; um treinamento de IA para equipes com exercícios no trabalho de verdade, sim.

O próprio guia da ANPD afirma que as pessoas são o fator preponderante para o sucesso das medidas de segurança e proteção de dados, e sugere treinamentos e campanhas de conscientização sobre obrigações e responsabilidades.

Quais trilhas criar por função?

As trilhas por função separam a capacitação em liderança, operação e comercial, porque cada grupo usa a IA de um jeito e enfrenta riscos diferentes.

Liderança. Foco em decisão e governança de IA: como escolher ferramentas, ler termos de uso, definir o que pode e o que não pode, priorizar casos de uso com retorno e acompanhar indicadores. Se a empresa ainda está definindo onde a IA entra no negócio, o guia como usar IA na empresa ajuda a organizar essa decisão antes do treinamento.

Operação e administrativo. Foco em rotinas: resumir documentos, padronizar respostas, montar procedimentos, revisar planilhas e textos. Aqui o ponto central é a conferência: o que checar, como checar e quando escalar.

Comercial e atendimento. Foco em propostas, mensagens e preparação de reuniões, com atenção redobrada a dados de clientes. A trilha ensina a trabalhar com informações resumidas ou anonimizadas e a nunca enviar ao cliente um texto que não foi revisado.

Áreas como marketing e financeiro podem ganhar trilhas próprias conforme a necessidade. Para marketing, vale incluir os cuidados com conteúdo com IA e o Google.

Como organizar a prática com tarefas reais?

O formato que costuma dar mais resultado combina sessões curtas, prática guiada com tarefas reais e materiais de consulta:

1. Sessão de fundamentos (para todos). O que a IA generativa faz, por que erra, o que diz a política da empresa e como reconhecer dados pessoais.
2. Oficinas por trilha. Cada pessoa traz duas ou três tarefas reais da semana e as resolve com a ferramenta autorizada, aplicando os três blocos da política.
3. Biblioteca de instruções aprovadas. Modelos de prompt testados para as tarefas mais comuns de cada área, guardados em um lugar acessível.
4. Guia de consulta rápida. Uma página com os três blocos, exemplos do que pode e não pode e o canal de dúvidas.
5. Acompanhamento. Um encontro curto algumas semanas depois para revisar dúvidas, erros encontrados e novas instruções que valem entrar na biblioteca.

Exemplo ilustrativo: política de IA em uma distribuidora (hipotético)

O exemplo a seguir é hipotético. Uma distribuidora fictícia com 25 colaboradores percebe que vendedores colam conversas inteiras de WhatsApp, com nome e telefone de clientes, em contas pessoais de ferramentas de IA para redigir propostas.

A empresa publica a política em três blocos e libera contas corporativas com autenticação multifator. Depois, faz uma oficina em que cada vendedor reescreve três propostas usando apenas um resumo sem dados identificáveis.

A biblioteca ganha um modelo de instrução para propostas, com campos como produto, volume e prazo. Na revisão seguinte, a liderança acompanha quantos vendedores usam a conta corporativa e quantas propostas voltaram com erro na conferência.

Quando o uso amadurece, algumas tarefas repetitivas deixam de ser feitas manualmente com a ferramenta. Elas passam a rodar em fluxos estruturados ou em agentes (veja o que é agente de IA), com regras e permissões definidas pela empresa. A política e a capacitação são a base para esse passo.

Quais usos de IA são permitidos, exigem cuidado ou são proibidos?

A forma mais fácil de a equipe aplicar a política é ver exemplos concretos classificados em três níveis: permitido, com cuidado e proibido. Adapte esta tabela às tarefas do seu negócio e inclua-a no guia de consulta rápida.

Comparativo: exemplos de uso por classificação

Comparativo: exemplos de uso por classificação

Situação	Classificação	Por quê
Pedir ideias de pauta para o blog da empresa	Permitido	Não envolve dados pessoais nem informação confidencial
Revisar a gramática de um comunicado interno sem nomes	Permitido	Texto interno sem dados identificáveis
Resumir um relatório público do setor	Permitido	Conteúdo público; conferir números citados
Redigir uma proposta com base em um resumo sem nome do cliente	Com cuidado	Revisar condições, preços e prazos antes de enviar
Analisar uma planilha de vendas agregada por região	Com cuidado	Garantir que não há dados pessoais e conferir os cálculos
Gerar a primeira versão de um contrato padrão	Com cuidado	Revisão obrigatória por quem responde pela área jurídica
Colar uma conversa de WhatsApp com nome e telefone do cliente	Proibido	Dado pessoal sem finalidade e ferramenta definidas
Enviar a lista de clientes com CPF para segmentação	Proibido	Dados pessoais identificados em volume; risco alto
Analisar atestados ou informações de saúde de colaboradores	Proibido	Dado pessoal sensível, com proteção especial na LGPD
Inserir senhas ou chaves de acesso para “testar” uma integração	Proibido	Credenciais nunca devem sair dos sistemas de origem
Usar a resposta da IA para decidir sozinha sobre contratação	Proibido	Decisão sobre pessoas exige análise humana e critérios claros

Como medir adoção e qualidade depois do treinamento?

Para saber se a política e a capacitação funcionaram, meça adoção, qualidade, tempo e conformidade nas mesmas tarefas, antes e depois do treinamento. Uma planilha e uma rotina de revisão mensal resolvem no começo.

Indicadores: o que medir e como coletar

Indicadores: o que medir e como coletar

Dimensão	O que medir	Como coletar
Adoção	Pessoas usando as ferramentas autorizadas e em quais tarefas	Painel administrativo da ferramenta corporativa ou pesquisa rápida
Qualidade	Retrabalho e erros encontrados na conferência	Registro simples feito por quem revisa
Tempo	Duração das tarefas escolhidas como piloto	Amostra de tarefas antes e depois
Conformidade	Incidentes e quase incidentes com dados	Canal de comunicação de incidentes

Alguns cuidados ajudam a ler os números:

• Escolha poucas tarefas-piloto por área e meça sempre as mesmas.
• Separe adoção de resultado. Muita gente usando não significa uso bom; olhe também a qualidade.
• Trate quase incidentes como aprendizado. Se as pessoas tiverem medo de relatar um dado inserido por engano, a empresa perde a informação mais valiosa. O guia da ANPD recomenda justamente criar um ambiente que incentive o relato de incidentes e vulnerabilidades.
• Revise a política com base nos dados. Tarefas que se mostraram seguras podem migrar de “com cuidado” para “permitido”; erros recorrentes indicam onde reforçar o treinamento.

Se a IA faz parte de um movimento maior de modernização, o guia sobre transformação digital na pequena empresa ajuda a encaixar a capacitação na ordem certa das prioridades.

Como a True Fiction pode ajudar?

A True Fiction ajuda empresas a sair do uso improvisado de IA para uma prática com regras claras, equipe capacitada e indicadores acompanhados. O foco é a autonomia: a política, os materiais e a biblioteca de instruções ficam com a sua empresa.

• Serviço de capacitação em IA: elaboração da política de uso, trilhas por função com prática em tarefas reais, biblioteca de instruções e guia de consulta rápida.
• Serviço de plano digital e de IA: para quem ainda precisa definir onde a IA gera valor no negócio, quais ferramentas adotar e em que ordem.
• Implementação de agentes de IA: quando tarefas repetitivas justificam um assistente com regras, permissões e conferência definidas.

Prazos, escopo e investimento dependem do tamanho da equipe, do número de trilhas e das ferramentas envolvidas, e são detalhados em uma reunião. Para entender por onde começar, o próximo passo é agendar uma conversa.