Um modelo de política de IA para funcionários

Como você deve usar este modelo?

Copie as cláusulas abaixo para o seu documento, substitua todos os campos entre colchetes e discuta cada cláusula com a pessoa responsável pelo respectivo fluxo de trabalho. Não adote o texto como política da empresa sem verificar as ferramentas, as informações e as obrigações envolvidas. O texto evita deliberadamente inventar uma permissão universal para enviar dados da empresa.

Use uma tarefa conhecida para testar se um funcionário consegue aplicar o documento finalizado. Por exemplo, ele consegue identificar qual conta está aprovada para redigir um e-mail com base em informações públicas e a quem consultar antes de compartilhar um relatório de cliente? Se a resposta não estiver clara, melhore a política antes de pedir que a equipe confirme que tomou ciência dela.

Este modelo contém informações gerais, não orientação jurídica. As regras de proteção de dados, trabalhistas e setoriais variam conforme o país, e um profissional qualificado deve revisar a versão que você adotar.

O que deve constar nas cláusulas de finalidade, escopo e responsabilidade?

As três primeiras cláusulas dizem por que a política existe, a quem se aplica e quem decide em caso de dúvida. Mantenha-as curtas; sua função é orientar, não produzir efeitos jurídicos.

Cláusula 1, finalidade: "A [Empresa] usa ferramentas de IA para ajudar a equipe a redigir, resumir, pesquisar e analisar. Esta política explica quais ferramentas são aprovadas, quais informações podem ser usadas nelas, como as respostas são verificadas e a quem recorrer em caso de dúvidas. Ela complementa, e não substitui, nossas políticas de [segurança da informação / proteção de dados / confidencialidade]."

Cláusula 2, escopo: "Esta política se aplica a todos os funcionários, prestadores de serviços e [profissionais autônomos / estagiários] que trabalham para a [Empresa], em qualquer dispositivo, incluindo recursos de IA integrados aos programas que já usamos, como [pacote de aplicativos de escritório, ferramenta de design, CRM]."

Cláusula 3, responsabilidade: "[Nome, cargo] é responsável por esta política e pelo cadastro de ferramentas aprovadas. [Nome do substituto] assume essa responsabilidade em sua ausência. As dúvidas devem ser encaminhadas para [e-mail ou canal]. [Nome, cargo] aprova qualquer fluxo de trabalho que envolva informações pessoais."

Como preencher as cláusulas sobre ferramentas e informações?

As cláusulas 4 e 5 concentram a maior parte do risco, por isso precisam das respostas mais específicas. A cláusula 4 identifica as contas exatas; a cláusula 5 informa quais categorias de informação podem ser inseridas em cada uma.

Cláusula 4, ferramentas aprovadas: "Use apenas as ferramentas listadas no cadastro de ferramentas aprovadas, com acesso pela sua conta da [Empresa]. Contas pessoais, versões gratuitas e extensões de navegador que não constem no cadastro não devem ser usados em trabalhos da [Empresa] ou de clientes. Para solicitar uma nova ferramenta, envie um e-mail para [responsável] informando a ferramenta, o plano, a tarefa e as informações que seriam usadas."

Cláusula 5, informações: "Você pode usar informações públicas e [informações internas] nas ferramentas aprovadas. Você não deve inserir [material confidencial de clientes / preços / dados financeiros ainda não divulgados / código-fonte / credenciais], a menos que o cadastro autorize o uso dessa ferramenta para essa tarefa. Não insira informações pessoais sobre funcionários, candidatos ou clientes, a menos que [nome] tenha aprovado o fluxo de trabalho específico. A remoção de nomes, por si só, não torna as informações seguras para compartilhamento."

Cada aprovação no registro precisa informar o serviço e o plano, a tarefa permitida, as informações autorizadas, o responsável pela revisão e uma data de revisão. Pergunte separadamente aos fornecedores sobre treinamento com seus dados, retenção, acesso de administradores e exclusão, e registre o que dizem os termos vigentes, com a data da consulta. Uma declaração de que os dados não são usados para treinamento não significa que eles não são armazenados.

O que as cláusulas sobre revisão de resultados e decisões sobre pessoas devem dizer?

A cláusula 6 responsabiliza quem usa uma resposta pela verificação dela; a cláusula 7 mantém as decisões sobre pessoas nas mãos de pessoas. Ambas devem estar alinhadas às aprovações que você já tem, e não substituí-las.

Cláusula 6, revisão dos resultados: "Você é responsável por qualquer trabalho feito com auxílio de IA que usar ou enviar. Antes de usá-lo, confira fatos, números, citações e referências com o material de origem ou uma fonte identificada. Remova qualquer estatística, resultado, endosso ou referência cuja origem você não consiga localizar. Trabalhos que normalmente seriam revisados por [jurídico / financeiro / um gestor] continuam sujeitos a essa revisão."

Cláusula 7, decisões sobre pessoas: "Ferramentas de IA não devem ser usadas como base para decisões sobre contratação, remuneração, desempenho, medidas disciplinares, crédito ou reclamações de clientes. Elas podem ajudar a redigir ou organizar materiais, mas uma pessoa designada deve revisar as informações que fundamentam a análise e tomar a decisão."

Se sua equipe realiza um grande volume de atividades, como respostas de atendimento, acrescente uma frase sobre verificações por amostragem: quem verifica as respostas feitas com ajuda de IA, com que frequência e o que acontece quando surge um padrão de erros.

Como funcionam as cláusulas de divulgação, comunicação e revisão?

As três últimas cláusulas dizem quando informar outras pessoas de que houve uso de IA, o que fazer quando algo dá errado e como manter a política atualizada.

Cláusula 8, transparência: "Informe a quem fará a revisão quando uma versão preliminar tiver sido produzida em grande parte com IA. Siga os contratos com clientes e quaisquer regras de plataformas ou publicações sobre conteúdo gerado por IA. [Opcional: imagens ou textos gerados por IA e destinados a clientes são identificados com [texto de identificação].]"

Cláusula 9, comunicação de incidentes: "Se houver a possibilidade de informações restritas terem sido inseridas em uma ferramenta não aprovada, ou se um resultado produzido com auxílio de IA tiver causado ou quase causado um problema, informe [responsável] no mesmo dia, indicando a ferramenta, a conta e o que foi compartilhado. Siga o [procedimento existente para incidentes] quando aplicável. A comunicação imediata não será tratada como má conduta."

Cláusula 10, revisão: "[Responsável] revisa esta política e o cadastro pelo menos a cada [seis / doze] meses e sempre que houver mudanças em uma ferramenta, plano, contrato ou fluxo de trabalho. Versão [número], aprovada por [nome] em [data]."

Quais campos de preenchimento exigem decisões concretas?

Cada campo entre colchetes é uma decisão pendente, não uma opção padrão segura. Por isso, marque os itens desconhecidos para revisão em vez de preenchê-los com uma regra que pareça plausível. A empresa deve informar o responsável pela política, os serviços e planos aprovados, as tarefas permitidas, as informações restritas, as responsabilidades de revisão, o canal de comunicação de ocorrências e a data de revisão.

Registre por que uma ferramenta foi aprovada para determinada tarefa. Configurações de treinamento do modelo, retenção, controles de acesso e permissão contratual são questões distintas. Uma ferramenta pode ter um uso aceitável e outro que exija aprovação adicional. Mantenha essa distinção visível no registro.

Um caso prático: um escritório fictício de escrituração contábil com 18 pessoas começou pelo preenchimento da cláusula 5 e descobriu que não conseguia respondê-la, porque seus contratos de prestação de serviços aos clientes não diziam nada sobre IA. Em vez de supor uma resposta, o proprietário marcou o material dos clientes como não permitido até a conclusão de uma revisão, aprovou de imediato o uso de material público e interno e agendou uma conversa com seu assessor sobre a atualização dos contratos.

O que um revisor deve verificar?

Quem revisa deve verificar se a política está alinhada aos processos existentes de segurança da informação, privacidade, relações de trabalho e publicação, sem se sobrepor a eles de forma implícita. Um documento curto sobre IA não deve afrouxar uma regra que já rege dados confidenciais ou decisões com consequências relevantes. As pessoas adequadas para a revisão dependem da organização, do fluxo de trabalho e da jurisdição.

O material sobre a função Governar no Guia Prático do Referencial de Gestão de Riscos de IA do NIST aborda papéis, responsabilidades, capacitação e riscos de terceiros; este modelo é nossa adaptação prática para equipes pequenas. As orientações do ICO sobre IA e proteção de dados são uma fonte oficial do Reino Unido para questões relacionadas a dados pessoais. Atualmente, suas páginas informam que as orientações estão em revisão após a Lei de Dados (Uso e Acesso), portanto consulte a versão atual. O modelo não é um certificado de conformidade nem uma declaração de que sua empresa implementou os controles.

Como apresentar a política à equipe?

Apresente isso com exemplos do seu próprio trabalho, não com uma tarefa de leitura. Analise um exemplo permitido, um exemplo restrito e um caso incerto. Peça às pessoas que expliquem a diferença e identifiquem a quem recorrer em caso de dúvida. Dê tempo para que façam perguntas sobre as ferramentas e contas que realmente usam. Uma simples confirmação de ciência não demonstra que alguém consegue aplicar um limite.

Retome a política após a primeira sessão prática. Acrescente os exemplos que ajudaram a esclarecer uma decisão e corrija qualquer instrução que não corresponda ao fluxo de trabalho. Mantenha um número de versão e uma pessoa responsável para que os funcionários saibam onde encontrar as regras atuais.

Se você quer uma prática estruturada, a Tosheo.ai está sendo desenvolvida para oferecer a cada função aulas curtas que terminam com uma tarefa prática em uma ferramenta real de IA, avaliada com base em critérios de pontuação visíveis. Ela não redige nem aprova sua política.

Quando um modelo genérico não é o ponto de partida certo?

Um modelo genérico não é o ponto de partida adequado se você incorpora IA a um produto que vende, trata dados pessoais sensíveis, atua em uma profissão regulamentada ou tem contratos que já estabelecem condições para o uso de IA. Comece por essas obrigações com a orientação de um profissional qualificado e use esta estrutura apenas como uma lista de verificação de tópicos.

Também não é adequado se ninguém assumir a responsabilidade. Um modelo preenchido uma vez e nunca revisado vira uma lista de regras sobre ferramentas que a equipe já não usa. Defina o responsável antes de preencher a cláusula 4.

Fontes e escopo

Guia prático do NIST AI RMF: Governar, verificado em 16 October 2026 ↗

ICO, Orientações sobre IA e proteção de dados (em revisão), consultadas em 16 de outubro de 2026 ↗

ICO, conjunto de ferramentas para avaliar riscos de IA e proteção de dados (em revisão), consultado em 16 October 2026 ↗