Por que as ferramentas de IA generativa precisam de regras específicas nas políticas de uso?
As ferramentas generativas produzem novos textos, imagens, áudios ou códigos, em vez de apenas buscar ou organizar informações existentes, por isso o principal risco deixa de estar no que entra e passa a estar no que sai. Uma ferramenta de busca retorna páginas que você pode examinar; uma ferramenta generativa retorna um rascunho que transmite confiança, mas pode conter fatos inventados, trechos copiados ou uma abordagem enviesada. Uma política precisa cobrir os dois sentidos.
O Perfil de IA Generativa do NIST lista doze riscos que são exclusivos da IA generativa ou agravados por ela. Para uma pequena empresa comum, cinco deles cobrem a maior parte do que uma política precisa abordar: alucinação (conteúdo apresentado com confiança, mas falso), privacidade de dados (vazamento ou divulgação não autorizada), propriedade intelectual (reprodução de conteúdo protegido ou exposição de segredos comerciais), integridade da informação (conteúdo que não separa fato de opinião nem reconhece incertezas) e o que o NIST chama de configuração entre humanos e IA, que inclui viés de automação e dependência excessiva.
Você pode colocar essas regras no mesmo documento das suas regras de uso aceitável. Muitas pequenas empresas fazem isso. Esta página se concentra nas cláusulas específicas sobre conteúdo. São informações gerais, não orientação jurídica.
| Risco no perfil do NIST | Como isso funciona no trabalho | Regra da política que trata da questão |
|---|---|---|
| Confabulação | Uma estatística inventada ou uma referência a uma página que não contém aquela informação | Confira cada afirmação factual em uma fonte que você tenha aberto antes de usar o conteúdo |
| Privacidade dos dados | Uma lista de contatos de um cliente colada para preparar uma mala direta | Classes de informação vinculadas a contas aprovadas |
| Propriedade intelectual | Uma imagem no estilo de um artista reconhecível, ou código copiado de um projeto com licença | Regras sobre instruções de estilo, reutilização e verificações de licença |
| Integridade das informações | Um resumo que apresenta uma suposição como fato | Exija que as incertezas continuem explícitas nas versões revisadas |
| Dependência excessiva | Aceitar uma análise gerada sem ler os dados | Indique quais decisões continuam nas mãos de uma pessoa |
O que uma política de uso do ChatGPT para funcionários deve dizer?
Uma política de uso do ChatGPT para funcionários deve dizer qual conta usar, o que nunca deve ser incluído em uma instrução, como conferir a resposta e a quem recorrer. As mesmas regras devem valer para Claude, Gemini, Copilot e assistentes semelhantes. Citar um produto no título pode ajudar na clareza, mas escreva as regras de modo que não precisem ser refeitas quando a equipe adicionar outra ferramenta.
A distinção mais importante é entre contas pessoais e empresariais. Os planos para consumidores e empresas do mesmo assistente podem ter termos diferentes sobre treinamento, retenção e controle por administradores. A documentação da Microsoft, por exemplo, diz que o Copilot Chat usado por organizações é coberto pelo aditivo de proteção de dados e que as instruções e respostas não são usadas para treinar modelos de base, com controles que variam conforme o plano. Registre a declaração equivalente de cada ferramenta que você aprovar, com a data da verificação, em vez de presumir que seja assim.
Cláusula de exemplo: "Use [assistente] somente pela sua conta corporativa da [Empresa]. Não use uma conta pessoal para trabalhar para a empresa, nem para uma pergunta rápida, pois contas pessoais não estão cobertas pelo nosso contrato com o fornecedor."
O que os funcionários nunca devem incluir em uma instrução para IA generativa?
Os funcionários nunca devem inserir senhas, chaves ou outros segredos em uma instrução para a IA e só devem inserir informações confidenciais, de clientes ou pessoais quando um fluxo de trabalho aprovado permitir. As orientações do Centro Nacional de Segurança Cibernética do Reino Unido observam que uma consulta fica visível para a organização que fornece o modelo e recomendam não enviar consultas que causariam problemas se fossem divulgadas publicamente.
Arquivos enviados contam como instruções para a IA. Uma planilha anexada para pedir um gráfico inclui todas as suas colunas, inclusive as que não eram necessárias para a pergunta. Uma cláusula na política que diga "remova as colunas desnecessárias antes de enviar" é fácil de seguir e evita um erro comum.
Exemplo de cláusula: "Antes de colar ou enviar um arquivo, remova tudo o que não for necessário para a tarefa. Nunca inclua segredos. Não inclua informações de clientes ou informações pessoais, a menos que o registro autorize essa ferramenta e essa tarefa. Se tiver dúvidas, pergunte primeiro a [responsável]."
Como o conteúdo gerado deve ser verificado antes do uso?
O conteúdo gerado deve ser verificado de acordo com seu destino: uma sessão privada de ideias precisa de uma leitura rápida, uma entrega para um cliente exige rastrear a fonte de cada afirmação, e qualquer conteúdo jurídico, financeiro ou relacionado à segurança precisa de um revisor qualificado. A política deve indicar quem verifica cada tipo de resultado, geralmente a pessoa que vai enviá-lo ou publicá-lo.
Um exemplo prático de uma consultoria fictícia de recrutamento com 15 pessoas, a Fenwick Talent. Um consultor dá a seguinte instrução: "Escreva uma atualização de mercado de 150 palavras para diretores financeiros sobre a contratação de contadores gerenciais em Leeds." O rascunho diz que a demanda aumentou muito neste ano e que os salários subiram um percentual específico, citando uma pesquisa salarial pelo nome. O consultor não consegue encontrar a pesquisa nem o número.
Resultado fraco mantido como está: "A demanda por contadores gerenciais em Leeds aumentou muito neste ano, com alta de [valor] nos salários, segundo [pesquisa]." Versão revisada: "Nas vagas que preenchemos neste trimestre, os diretores financeiros perguntaram com mais frequência sobre prazos de aviso prévio e condições de trabalho híbrido. Estamos vendo mais contrapropostas na etapa de oferta." A versão revisada usa apenas o que a própria Fenwick observou. A cláusula da política que fundamenta a edição: "Remova qualquer estatística, pesquisa ou resultado cuja fonte você não consiga abrir e confirmar."
Quer ver como isso se relaciona com uma função?
Conheça o período de teste planejado para equipes ↗Quando os funcionários devem informar que um conteúdo foi gerado por IA?
No mínimo, os funcionários devem informar a quem revisa seu trabalho quando um rascunho tiver sido gerado em grande parte por IA e seguir qualquer contrato com cliente, regra de plataforma ou regra de publicação que exija essa divulgação. Além disso, divulgar ou não é uma escolha da empresa, que depende do público e do contexto.
Os exemplos públicos variam. As diretrizes provisórias da Prefeitura de Boston para seus funcionários, publicadas em maio de 2023, pedem que os funcionários informem o uso de IA e o modelo utilizado, e sugerem uma indicação de autoria como "Esta descrição foi gerada pelo ChatGPT 3.5 e editada por", seguida do nome do funcionário. Isso é adequado para um órgão público. Uma agência pequena pode decidir que, para textos comuns, basta informar internamente a pessoa responsável pela revisão, exigindo identificação externa para imagens geradas ou vozes sintéticas.
Cláusula de exemplo: "Avise quem revisa seu trabalho quando a IA tiver produzido uma parte substancial de um rascunho. Identifique imagens, áudios ou vídeos gerados por IA e destinados a clientes com [texto de identificação]. Siga qualquer instrução do cliente sobre o uso de IA, que tem prioridade sobre esta cláusula."
Como uma política de IA generativa deve tratar direitos autorais e imagens?
A política deve impedir que os funcionários reproduzam deliberadamente obras protegidas, exigir a verificação de licenças antes da reutilização de código ou materiais gerados e proibir imagens ou vozes geradas de pessoas reais sem consentimento. O perfil do NIST inclui, entre os riscos da IA generativa, a maior facilidade de replicação de conteúdo protegido por direitos autorais, marcas registradas ou licenças, além da maior facilidade de exposição de segredos comerciais.
A legislação de direitos autorais sobre materiais gerados por IA varia de país para país e ainda está em desenvolvimento. Por isso, a política não deve prometer que a empresa detém os direitos ou pode registrar todos os conteúdos gerados. Ela deve explicar como a empresa lida com a incerteza: por exemplo, imagens geradas podem ser usadas livremente em esboços internos, mas qualquer material para uma campanha de cliente passa primeiro por uma verificação dos termos de licença da ferramenta e das instruções do cliente.
Cláusulas de exemplo: "Não peça conteúdo no estilo de um artista vivo ou de uma marca específica, nem peça a uma ferramenta que reproduza textos protegidos por direitos autorais. Não crie imagens, áudios ou vídeos de uma pessoa real sem o consentimento dela por escrito. Verifique os termos de uso comercial da ferramenta antes de usar materiais gerados em trabalhos para clientes." Busque orientação sobre as regras aplicáveis na sua jurisdição.
Quais decisões devem continuar nas mãos de uma pessoa?
Decisões com efeito significativo sobre alguém, como contratação, remuneração, desempenho, crédito, reclamações e qualquer questão envolvendo saúde ou segurança, devem ficar sob a responsabilidade de uma pessoa designada que revise as informações que as fundamentam. Ferramentas generativas podem ajudar a redigir, estruturar ou resumir informações para essas decisões; não devem tomá-las.
O perfil do NIST descreve o viés de automação e a dependência excessiva como parte do risco da configuração entre pessoas e IA. Uma política combate esse risco com um teste simples: a pessoa que decide deve conseguir explicar a decisão sem recorrer ao que a ferramenta disse. Quando há dados pessoais envolvidos, as orientações do ICO sobre IA e proteção de dados são a referência oficial no Reino Unido; atualmente, suas páginas informam que as orientações estão em revisão após a Lei de Dados (Uso e Acesso).
Quando uma política de IA generativa não é a ferramenta certa?
Uma política de IA generativa voltada aos funcionários não basta se você estiver incorporando recursos generativos a um produto, ajustando modelos com dados de clientes ou implantando um assistente de conversa que fala com o público em seu nome. Esses usos exigem uma análise de produto, segurança e aspectos jurídicos que vai muito além das regras para funcionários.
Ela também não substitui a prática. Saber que um rascunho pode conter um número inventado é diferente de identificar esse número com o prazo apertado. A Tosheo.ai está sendo desenvolvida para essa etapa de prática: nas trilhas de aprendizagem por função previstas, cada aula termina com uma tarefa prática em uma ferramenta real de IA, avaliada com base em critérios de pontuação visíveis. Ela não redige nem faz cumprir sua política.
Fontes e escopo
NIST, Perfil de IA generativa (NIST AI 600-1), July 2024 ↗
NCSC, ChatGPT e grandes modelos de linguagem: qual é o risco?, 14 de março de 2023 ↗
ICO, Orientações sobre IA e proteção de dados (em revisão), consultadas em 16 de outubro de 2026 ↗