O que é uma política de uso aceitável de IA?
Uma política de uso aceitável de IA, muitas vezes abreviada como PUA de IA, define os comportamentos específicos esperados de qualquer pessoa que use ferramentas de IA para a empresa. Seu escopo é mais restrito que o de uma política completa de IA. Ela não explica quem aprova fornecedores nem como o registro é revisado; diz ao funcionário, no momento em que abre uma ferramenta, o que ele pode e não pode fazer.
Muitas empresas já têm uma política de uso aceitável de TI que abrange e-mail, dispositivos e internet. Uma política de uso aceitável de IA pode ser uma nova seção desse documento ou uma página separada com um link para ele. O importante é que ela fale em tarefas e exemplos, não em abstrações. "Use IA com responsabilidade" não ajuda ninguém a decidir; "não cole contratos de clientes em nenhuma ferramenta de IA" ajuda.
Esta página contém informações gerais, não orientação jurídica. Peça a um profissional qualificado que revise a versão que você adotar, principalmente se você lida com dados pessoais ou trabalha sob cláusulas de confidencialidade de clientes.
Como decidir quais usos de IA permitir?
Classifique os usos em três níveis com base nas informações envolvidas e nas consequências de um erro: permitido, permitido com aprovação e não permitido. Um uso não é arriscado por envolver IA; o risco está no que é inserido e na finalidade do resultado. A mesma ferramenta pode ser adequada para reescrever uma publicação pública de blog e inaceitável para resumir um processo disciplinar.
Defina os níveis a partir de uma lista de tarefas reais. Peça a cada líder de equipe cinco atividades em que as pessoas já usam IA ou gostariam de usar. Classifique cada atividade, e os níveis terão exemplos concretos desde o primeiro dia.
| Categoria | Exemplos típicos | O que o funcionário faz |
|---|---|---|
| Permitido | Reformular seu próprio rascunho, resumir um artigo público, gerar ideias de títulos, explicar uma fórmula de planilha | Use uma conta aprovada e confira o resultado |
| Permitido com aprovação | Resumir materiais de clientes, redigir respostas a clientes com base no histórico de chamados, analisar dados internos de vendas | Use apenas se o fluxo de trabalho estiver no registro, ou consulte primeiro a pessoa responsável |
| Não permitido | Inserir senhas ou chaves, inserir dados pessoais de funcionários ou candidatos sem um fluxo de trabalho aprovado, tomar decisões de contratação ou remuneração com IA, gerar imagens de pessoas reais | Não faça isso; consulte o responsável se achar que é necessária uma exceção |
Como são boas cláusulas de uso aceitável?
Boas cláusulas especificam a ferramenta, a tarefa e as informações, e dizem o que fazer em vez da conduta proibida. Abaixo estão exemplos de cláusulas para uma empresa fictícia de programas de computador com 40 funcionários, a Northgate Apps, que tem um ambiente empresarial de um assistente de conversa e usa os recursos de IA da plataforma de hospedagem de código e do pacote de aplicativos de escritório.
Cada cláusula é curta o suficiente para ser lembrada e específica o suficiente para orientar uma ação. Observe que nenhuma diz "tenha cuidado"; cada uma descreve um comportamento.
Contas
"Use IA apenas por meio das contas corporativas da Northgate que constam no cadastro. Não use contas pessoais, planos gratuitos ou extensões de navegador não aprovadas para nenhum trabalho da Northgate, nem mesmo para perguntas rápidas."
Código
"Você pode usar o assistente de programação aprovado nos repositórios da Northgate. Não cole dados de clientes, registros de produção que contenham dados pessoais ou informações sigilosas, como chaves de API, em nenhuma ferramenta de IA. O código gerado deve ser revisado como qualquer outro código antes de ser integrado."
Clientes
"A equipe de suporte pode usar o assistente aprovado para redigir respostas. Remova primeiro os números de conta e os dados de pagamento. Uma pessoa deve ler e editar cada resposta antes do envio."
Afirmações
"Não publique estatísticas, dados de referência ou resultados de clientes produzidos por uma ferramenta de IA sem antes abrir e conferir a fonte original."
Decisões sobre pessoas
"Não use IA para classificar, fazer a triagem ou avaliar candidatos ou funcionários. Você pode usá-la para ajustar a redação de um anúncio de vaga que você escreveu."
Relatórios
"Se você inseriu algo que não deveria, avise o responsável por operações no mesmo dia. Comunicar o ocorrido prontamente é considerado a atitude correta."
Quais informações uma política de uso aceitável de IA deve restringir?
Restrinja as informações por categoria, em vez de listar cada tipo de documento, e vincule cada categoria às contas em que seu uso é permitido. As categorias mais comuns são informações públicas, internas, confidenciais ou de clientes, informações pessoais e dados sigilosos, como senhas e chaves. Para dados sigilosos, a regra é a mais simples de escrever: nunca, em nenhuma ferramenta.
As orientações do Centro Nacional de Segurança Cibernética do Reino Unido sobre grandes modelos de linguagem destacam o ponto geral de que uma consulta fica visível para a organização que fornece o modelo e recomendam não incluir informações sensíveis em consultas a modelos públicos. Um ambiente de trabalho empresarial pode ter condições contratuais diferentes, então registre o que seu plano estabelece. A documentação da Microsoft, por exemplo, diz que o Copilot Chat usado por organizações está sujeito ao seu adendo de proteção de dados e que as instruções e respostas não são usadas para treinar modelos de base, mas observa que os controles variam conforme o plano de assinatura. Sua política de uso aceitável pode então definir quais categorias de informação são permitidas nesse ambiente e quais não são permitidas em lugar nenhum.
Para empresas do Reino Unido que lidam com dados pessoais, as orientações do ICO sobre IA e proteção de dados são a referência oficial. As páginas informam atualmente que as orientações estão em revisão após a Lei de Dados (Uso e Acesso), portanto confira o conteúdo vigente antes de se apoiar em um ponto específico.
Quer ver como isso se relaciona com uma função?
Conheça o período de teste planejado para equipes ↗O que os funcionários devem verificar antes de usar uma resposta da IA?
Os funcionários devem verificar toda afirmação factual, número, citação e referência que forem repassar e remover tudo o que não conseguirem vincular a uma fonte. O Perfil de IA Generativa do NIST descreve a confabulação como a produção de conteúdo incorreto ou falso apresentado com confiança; uma resposta fluente não é evidência. A política de uso aceitável deve responsabilizar pelo conteúdo a pessoa que o utiliza.
Um exemplo prático: um profissional de marketing da Northgate pede ao assistente um parágrafo curto sobre por que equipes pequenas adotam ferramentas de gestão de projetos. O rascunho inclui uma frase afirmando que a maioria das pequenas empresas trocou de ferramenta no ano passado, com o nome de uma fonte. O profissional não encontra esse dado na fonte citada. De acordo com a cláusula da política de uso aceitável sobre afirmações, a frase é removida e o parágrafo é reescrito para descrever os motivos relatados pelos clientes nos próprios chamados de suporte da Northgate, sem apresentar um número.
Versão fraca: "A maioria das equipes pequenas trocou de ferramenta de gestão de projetos no ano passado, segundo uma pesquisa recente do setor." Versão revisada: "As equipes que entram em contato conosco costumam mencionar dois motivos para a troca: falhas na passagem de tarefas e excesso de ferramentas." A segunda é menos impactante e inteiramente defensável.
Os funcionários devem assinar uma política de uso aceitável de IA?
Uma assinatura ou confirmação de recebimento é razoável, mas só mostra que alguém recebeu a política. Combine isso com uma explicação de dez minutos sobre três casos do seu próprio trabalho, um por nível, e peça a cada pessoa que os classifique e explique o motivo. Isso dá a você evidências de que as pessoas conseguem aplicar as regras, o que vale mais do que uma assinatura se algo der errado.
As perguntas e respostas da Comissão Europeia sobre letramento em IA, referentes ao Artigo 4 do EU AI Act, dizem que certificados não são exigidos e que um registro interno de treinamentos ou de outras iniciativas é suficiente. Se as regras da UE se aplicam a você, manter um registro breve de quem concluiu a orientação passo a passo e quando é uma prática sensata. Procure orientação sobre se e como o regulamento se aplica à sua empresa.
Como fazer cumprir uma política de uso aceitável de IA sem vigilância?
A maioria das pequenas empresas aplica uma política de uso aceitável de IA por meio de contas aprovadas, configurações padrão sensatas e uma cultura em que as pessoas relatam erros, não pelo monitoramento de cada instrução. Forneça uma conta corporativa aprovada para que o caminho mais conveniente seja o permitido. Ative as configurações de administrador disponíveis no seu plano. Crie um ambiente seguro para relatar problemas e trate o descumprimento recorrente das regras como uma conversa normal sobre desempenho.
Se você analisa os registros de uso disponíveis em um plano empresarial, informe isso na política e verifique as regras trabalhistas e de privacidade aplicáveis. O monitoramento oculto tende a prejudicar a cultura de comunicação de problemas da qual a política depende.
A Tosheo.ai segue a mesma diretriz em seu projeto planejado: gestores veem o progresso das habilidades e a conclusão das atividades, nunca os registros brutos de conversas dos participantes.
Quando uma política de uso aceitável não é suficiente?
Uma política de uso aceitável trata do comportamento dos funcionários; ela não determina quais fornecedores são seguros, se um fluxo de trabalho precisa de uma avaliação de impacto à proteção de dados ou como a IA se encaixa em um produto que você vende. Se sua empresa desenvolve recursos de IA, automatiza decisões sobre pessoas ou atua em uma profissão regulamentada, você também precisa de uma estrutura de governança e de uma análise especializada.
Também não é treinamento. É fácil concordar com uma regra como "verifique todas as afirmações", mas é difícil cumpri-la bem com um prazo apertado. As pessoas precisam praticar com tarefas realistas para criar esse hábito, e é para isso que serve a prática por função.
Fontes e escopo
NCSC, ChatGPT e grandes modelos de linguagem: qual é o risco?, 14 de março de 2023 ↗
ICO, Orientações sobre IA e proteção de dados (em revisão), consultadas em 16 de outubro de 2026 ↗
NIST, Perfil de IA generativa (NIST AI 600-1), July 2024 ↗
Comissão Europeia, Letramento em IA - Perguntas e respostas, última atualização em 27 July 2026 ↗