Como criar uma política de IA para uma pequena empresa

O que é uma política de IA?

Uma política de IA é um documento curto da empresa que informa aos funcionários quais ferramentas de inteligência artificial podem usar, para quais tarefas, com quais informações e o que precisa acontecer antes de usar um resultado produzido com auxílio de IA. Em uma pequena empresa, costuma ter poucas páginas e ficar sob a responsabilidade de um fundador, de um líder de operações ou de quem já cuida dos dados e contratos.

A expressão abrange vários documentos que as pessoas costumam confundir. Uma política de uso aceitável é o conjunto de regras que os funcionários seguem no dia a dia. Uma política de IA generativa trata de ferramentas que produzem texto, imagens ou código e dos riscos associados ao conteúdo gerado. Uma estrutura de governança é a camada de gestão por trás das duas: quem aprova uma ferramenta, quem mantém o registro e com que frequência as decisões são revisadas. A maioria das empresas com menos de 200 pessoas pode reunir os três em um único documento, desde que cada parte esteja claramente identificada.

Este guia aborda as decisões que toda política de inteligência artificial exige, com exemplos de cláusulas para uma empresa fictícia. São informações gerais, não aconselhamento jurídico. As leis de proteção de dados, relações de trabalho e defesa do consumidor variam conforme o país e o setor, então peça a um profissional qualificado que revise a versão que você adotar.

Qual deve ser a função de uma política de IA para uma pequena empresa?

Uma política útil ajuda a decidir o que fazer antes de inserir informações em uma ferramenta ou usar sua resposta. Ela deve identificar os serviços aprovados, as tarefas adequadas, os limites de uso das informações, as responsabilidades de revisão e a quem recorrer em caso de dúvida. Uma lista de alertas sem essas decisões práticas deixa os funcionários sem saber como agir, e quem não sabe como agir ou deixa de usar as ferramentas ou as usa sem avisar.

Comece pelos fluxos de trabalho que as pessoas realmente têm. Um rascunho de convite feito com informações públicas exige controles diferentes de um resumo de material confidencial de um cliente. Para cada fluxo de trabalho, registre a finalidade, o material de referência, o público a que se destina e a consequência de um erro. Esse contexto é um ponto de partida melhor do que tratar todos os usos de IA como iguais.

Um bom teste é verificar se alguém recém-contratado consegue responder a três perguntas depois da leitura: qual conta devo usar, o que nunca devo colar e a quem devo perguntar. Se o documento não responde a essas perguntas, ainda não está cumprindo seu papel, por mais completo que pareça.

Uma pequena empresa é obrigada por lei a ter uma política de IA?

Na maioria dos lugares, não existe uma lei geral que obrigue toda pequena empresa a ter um documento chamado política de IA, mas as obrigações existentes continuam valendo para a forma como os funcionários usam IA. A legislação de proteção de dados, as cláusulas de confidencialidade em contratos com clientes, a legislação trabalhista e as regras de publicidade não deixam de valer porque uma ferramenta produziu o rascunho. Uma política é a forma prática de mostrar aos funcionários como essas obrigações existentes se aplicam ao uso de IA.

No Reino Unido, o órgão de proteção de dados publica orientações sobre IA e proteção de dados e um conjunto de ferramentas de avaliação de riscos para organizações. Atualmente, as duas páginas informam que as orientações estão em revisão após a Lei de Dados (Uso e Acesso), então verifique a situação atual antes de se basear em qualquer detalhe. Na União Europeia, o artigo 4 do EU AI Act, sobre letramento em IA, aplica-se desde 2 de fevereiro de 2025 a fornecedores e organizações que utilizam sistemas de IA. As perguntas e respostas da Comissão Europeia sobre letramento em IA dizem que não existe uma abordagem única para todos, que certificados não são exigidos e que um registro interno do treinamento é suficiente. O documento também dá o exemplo de funcionários que usam um assistente de conversa para redigir anúncios ou traduzir e que devem ser informados sobre riscos específicos, como alucinações.

Se você vende para a União Europeia, emprega pessoas lá ou trata dados pessoais de residentes da União Europeia, busque orientação sobre o que se aplica ao seu caso. O ponto deste guia é mais restrito: uma política por escrito, combinada com treinamento prático, é uma forma razoável de demonstrar que as pessoas foram informadas sobre os riscos e sobre como lidar com eles.

Quem precisa assumir a responsabilidade pelas decisões?

Defina um responsável pela política e as pessoas que podem aprovar ferramentas e fluxos de trabalho sensíveis. Em uma empresa de 12 pessoas, o fundador pode cuidar de tudo. Em uma empresa de 80 pessoas, o responsável por operações pode aprovar ferramentas, o responsável pela proteção de dados pode cuidar das informações pessoais e os chefes de departamento podem revisar os resultados de suas áreas. Os funcionários precisam de um único canal para enviar dúvidas que a política não contempla.

O material sobre a função Governar no Guia Prático do Referencial de Gestão de Riscos de IA do NIST aborda a definição de papéis e responsabilidades, a capacitação de pessoal em riscos de IA e os canais de comunicação. A estrutura apresentada aqui é uma adaptação operacional para uma equipe pequena. Usar esses títulos não torna uma política compatível com nenhuma lei nem significa que ela tenha o aval do NIST.

Inclua na própria política o nome do responsável e de um substituto, não apenas um cargo. Em pequenas empresas, os cargos mudam mais rápido que os documentos, e um canal de encaminhamento que aponta para um cargo que ninguém ocupa não serve como canal.

Como você deve registrar as ferramentas aprovadas?

Registre o serviço, o plano e o uso permitido exatos, pois o nome da marca, por si só, esconde diferenças importantes. Uma conta pessoal de uso individual, um espaço de trabalho empresarial e uma integração por API do mesmo produto podem ter termos diferentes sobre retenção, treinamento e controle por administradores. Registre as configurações e os termos relevantes em vez de presumir que uma única declaração se aplica a todas as versões.

Pergunte separadamente sobre treinamento de modelos, retenção, acesso, locais de processamento e exclusão. Uma declaração de que os dados não são usados para treinamento não significa que não sejam armazenados nem que você tenha permissão para enviar um documento de cliente. Como exemplo de como os fornecedores descrevem isso, a documentação da Microsoft para o Copilot Chat usado por organizações informa que as instruções e respostas são cobertas pelo adendo de proteção de dados e não são usadas para treinar modelos de base, e que os controles específicos variam conforme o plano contratado. Esse é o tipo de declaração específica do plano que você deve registrar, junto com a data em que a verificou.

Defina um responsável e uma data de revisão para cada aprovação, para que a lista possa mudar quando o serviço ou o fluxo de trabalho mudar. O guia de estrutura de governança apresenta um modelo de registro que cabe em uma página.

O que os funcionários podem colar em uma ferramenta de IA?

Não existe uma resposta universal que independa da ferramenta, dos dados e das obrigações da empresa, por isso a política precisa dar uma resposta para o seu contexto. Comece separando as informações em algumas categorias simples: públicas, internas, materiais confidenciais da empresa ou de clientes e informações pessoais. Depois, diga quais categorias são permitidas em cada ferramenta aprovada. Remover um nome não torna, por si só, um documento anônimo nem autoriza seu envio.

As orientações do Centro Nacional de Segurança Cibernética do Reino Unido sobre grandes modelos de linguagem são diretas quanto ao ponto geral: uma consulta fica visível para a organização que fornece o modelo. O órgão recomenda não incluir informações sensíveis em consultas a modelos públicos e ler os termos de uso e a política de privacidade antes de fazer perguntas sensíveis. Sua política pode transformar isso em instruções específicas para as contas que você aprovou.

Dê aos funcionários exemplos concretos de materiais permitidos e restritos para cada fluxo de trabalho aprovado. Use dados fictícios ou de baixo risco explicitamente aprovados nos treinamentos. Se houver dúvida, os funcionários devem interromper a tarefa e entrar em contato com o responsável indicado, em vez de improvisar uma decisão sobre privacidade no meio da tarefa.

O que deve acontecer antes de um resultado ser usado?

Todo conteúdo produzido com auxílio de IA precisa de uma verificação adequada ao uso que terá, e a política deve indicar quem a faz. Um rascunho de e-mail pode precisar de uma leitura comparando o texto com os fatos fornecidos. Uma explicação numérica precisa de um cálculo independente. Uma declaração sobre legislação, saúde, dinheiro ou segurança precisa de um revisor qualificado. A política deve preservar as aprovações existentes, em vez de dar a entender que o auxílio de IA as torna desnecessárias.

Peça aos funcionários que mantenham o rascunho gerado separado da versão aprovada para uso. Em trabalhos importantes, guarde um histórico de revisão suficiente para mostrar qual fonte foi usada, o que mudou e quem tomou a decisão final. Uma resposta fluente, ou a garantia do próprio modelo de que ela está correta, não constitui verificação independente.

Deixe explícito quais decisões continuam nas mãos das pessoas. Um exemplo comum de cláusula: ferramentas de IA podem ajudar a redigir ou resumir, mas não devem servir de base para uma decisão sobre contratação, remuneração, desempenho, crédito ou reclamação de cliente sem que uma pessoa definida revise as informações que a fundamentam.

Como fica uma política pronta para uma equipe de tamanho realista?

Este é um exemplo detalhado de uma agência fictícia de marketing com 25 pessoas, a Harbour Lane Studio. A equipe usa um espaço de trabalho empresarial de um assistente de conversa contratado pela empresa e os recursos de IA de seu pacote de aplicativos de escritório. Algumas pessoas também tinham contas pessoais. O fundador é o responsável pela política, e a pessoa à frente do atendimento a clientes aprova tudo o que envolve materiais de clientes.

Exemplo de cláusula, ferramentas aprovadas: "Use apenas o ambiente de trabalho empresarial da Harbour Lane no [assistente] e os recursos de IA da nossa suíte de aplicativos de escritório, com sua conta corporativa. Não use contas pessoais para nenhum trabalho da empresa ou de clientes."

Exemplo de cláusula, informações: "Você pode usar informações públicas e internas nas ferramentas aprovadas. Não insira arquivos de clientes, preços cobrados de clientes nem nada marcado como confidencial, a menos que a pessoa responsável pelo atendimento ao cliente tenha aprovado esse cliente e essa tarefa no registro. Nunca insira informações pessoais de candidatos, funcionários ou clientes."

Exemplo de cláusula, revisão: "Antes que um trabalho feito com auxílio de IA seja enviado a um cliente, o responsável pela conta confere cada afirmação factual com as orientações do trabalho ou uma fonte identificada e remove qualquer estatística, resultado ou endosso cuja origem não possa ser verificada. O trabalho feito com auxílio de IA está sujeito ao mesmo padrão de qualquer outro rascunho."

Exemplo de cláusula, encaminhamento: "Se tiver dúvidas, pare e pergunte a [nome do fundador] ou a [nome do substituto], se a primeira pessoa estiver ausente. Se achar que informações restritas foram inseridas na ferramenta errada, avise no mesmo dia. Você não sofrerá penalidades por comunicar o problema prontamente."

A Harbour Lane então testou a política em uma tarefa real, um resumo de campanha feito a partir de um briefing de cliente, antes de pedir que alguém a assinasse. O teste revelou uma lacuna: ninguém sabia se o guia de marca de um cliente era considerado confidencial. O fundador acrescentou uma linha ao registro, em vez de deixar a decisão a cargo de cada responsável por conta.

Como a política deve lidar com incertezas e erros?

A política deve oferecer um caminho claro para relatar uma divulgação acidental, uma resposta sem embasamento ou um fluxo de trabalho que já não corresponda ao que foi aprovado, e deve garantir segurança a quem relata. Os funcionários precisam saber o que interromper, quem contatar e quais evidências guardar para a pessoa responsável. Não invente um procedimento genérico para incidentes que entre em conflito com o que você já tem para problemas de dados ou segurança; indique o procedimento existente.

Faça uma breve simulação de cenário antes de adotar a política: alguém colou um documento de acesso restrito em uma conta pessoal não aprovada. O funcionário consegue encontrar o canal para relatar o incidente? O responsável sabe qual serviço e qual conta foram usados e quais são as opções de exclusão oferecidas pelo provedor? Use as lacunas para melhorar o procedimento real com os revisores adequados.

Como você garante que as pessoas consigam realmente seguir a política?

Uma confirmação assinada mostra que alguém recebeu a política; não mostra que essa pessoa consegue aplicá-la. As pessoas aprendem um limite ao praticá-lo em uma tarefa realista: decidir o que deixar de fora de uma instrução para a IA, conferir uma afirmação gerada com a fonte e explicar a alteração feita. É também isso que o documento de perguntas e respostas da Comissão Europeia descreve ao falar sobre informar os funcionários dos riscos específicos do trabalho que fazem.

Apresente à equipe um exemplo permitido, um exemplo restrito e um caso incerto do seu próprio trabalho. Peça a cada pessoa que explique a diferença e identifique a quem recorrer em caso de dúvida. Depois, volte à política e acrescente os exemplos que ajudaram a tornar as decisões mais claras.

Tosheo.ai está sendo concebido para essa etapa de prática. Para o lançamento, está previsto que um gestor escolha as funções e as ferramentas de IA que a equipe usa, cada participante faça uma breve avaliação inicial e as aulas terminem com uma tarefa prática em uma ferramenta real, avaliada com base em critérios de pontuação visíveis. Está previsto que os gestores vejam a evolução das habilidades e a conclusão das atividades, não os registros completos das conversas. A plataforma não redige nem faz cumprir sua política; sua finalidade é ajudar as pessoas a praticar os hábitos que uma política exige.

Como você mantém a política útil?

Revise a política sempre que ferramentas, planos, contratos ou fluxos de trabalho mudarem, e em uma data fixa pelo menos uma vez por ano. Pergunte aos funcionários quais decisões continuam difíceis de tomar. Uma política que ninguém consegue aplicar precisa de exemplos mais claros ou de um caminho melhor para encaminhar dúvidas aos responsáveis, não de mais uma caixa de confirmação de ciência.

Mantenha a data da versão e uma nota sobre a alteração no topo para que as pessoas saibam qual regra está em vigor. Quando um fornecedor mudar seus termos ou um cliente acrescentar uma cláusula de IA a um contrato, atualize a entrada no registro e avise as pessoas afetadas, em vez de esperar pela revisão anual.

Quando este guia não é a solução certa?

Esta abordagem foi pensada para equipes de aproximadamente 5 a 200 pessoas que usam assistentes de IA prontos para uso em tarefas intelectuais do dia a dia. Ela não basta por si só se você desenvolve ou vende sistemas de IA, toma decisões automatizadas sobre pessoas, atua em um setor altamente regulado, como saúde, consultoria financeira ou serviços jurídicos, ou tem contratos com clientes que contêm cláusulas específicas sobre IA. Nesses casos, você precisa de uma revisão jurídica e de proteção de dados por profissionais qualificados e, possivelmente, de uma avaliação formal de riscos antes de finalizar a política.

Também não substitui um programa de segurança da informação. Se sua empresa não tem regras básicas para senhas, segurança de dispositivos ou classificação de dados, resolva isso primeiro; uma política de IA sem essa base não se sustenta.

Fontes e escopo

Guia prático do NIST AI RMF: Governar, verificado em 16 October 2026 ↗

ICO, Orientações sobre IA e proteção de dados (em revisão), consultadas em 16 de outubro de 2026 ↗

ICO, conjunto de ferramentas para avaliar riscos de IA e proteção de dados (em revisão), consultado em 16 October 2026 ↗

Comissão Europeia, Letramento em IA - Perguntas e respostas, última atualização em 27 July 2026 ↗

NCSC, ChatGPT e grandes modelos de linguagem: qual é o risco?, 14 de março de 2023 ↗

Microsoft Learn, Proteção de dados empresariais no Microsoft Copilot e no Copilot Chat, verificado em 16 October 2026 ↗