Quase toda empresa tem hoje um documento chamado "política de uso de IA". Quase nenhum é lido depois de aprovado. A diferença entre os dois grupos não está no tamanho do texto. Está em doze decisões que o documento toma ou evita.
A urgência aumentou. A Gartner projeta que até 2028 mais da metade das empresas usarão plataformas de segurança de IA para proteger seus investimentos, e a governança de IA saiu da lista de "bom ter" para a de requisito competitivo e regulatório. Abaixo, os doze elementos que fazem uma política funcionar, cada um com o erro mais comum.
1. Escopo com nomes
Diga quais ferramentas são aprovadas, para quais usos e para quais times. "Ferramentas de IA generativa" não é escopo. "Copilot do Microsoft 365 para todos; Claude e ChatGPT nas contas corporativas para marketing e dados" é.
Erro comum: escopo tão amplo que ninguém sabe se está dentro ou fora.
2. Classificação de dados
Quatro níveis bastam: público, interno, confidencial, restrito. A política diz o que pode entrar em cada ferramenta por nível.
Erro comum: proibir "dados sensíveis" sem definir o que são.
3. Regras de entrada
O que nunca vai num prompt: credenciais, dados pessoais identificáveis sem base legal, código proprietário em ferramentas sem contrato de não retenção.
Erro comum: confiar que as pessoas saberão sem uma lista.
4. Regras de saída
O que fazer com o que a IA produz. Texto para cliente passa por revisão humana. Código passa por revisão de segurança. Números passam por conferência na fonte.
Erro comum: tratar a saída como pronta.
5. Responsabilidade nomeada
Quem assina o conteúdo responde por ele. A IA não é autora nem culpada.
Erro comum: "foi a IA que errou".
6. Transparência com terceiros
Quando o cliente precisa saber que houve IA no processo. Em atendimento, contratos e decisões que afetam pessoas, a resposta costuma ser sempre.
Erro comum: esconder para parecer mais humano.
7. Base legal e privacidade
Alinhamento com a LGPD: finalidade, minimização, direito de revisão de decisões automatizadas. Nome do encarregado.
Erro comum: copiar um trecho genérico sem citar quem decide.
8. Registro e rastreabilidade
Onde ficam os prompts e as saídas de processos críticos. Por quanto tempo. Quem acessa. Para agentes que executam ações, qual consulta rodou e com quais parâmetros.
Erro comum: nenhum registro, e a primeira auditoria descobre isso.
9. Avaliação de risco por caso de uso
Um formulário curto antes de colocar um uso novo em produção: dado envolvido, impacto de um erro, reversibilidade, supervisão humana.
Erro comum: um comitê que só se reúne quando algo já quebrou.
10. Treinamento obrigatório e prático
Não um vídeo de dez minutos. Exemplos reais da empresa: o prompt certo, o prompt proibido, o resultado que passou e o que foi barrado.
Erro comum: confundir aceite de termo com capacitação.
11. Consequências proporcionais
O que acontece quando a regra é quebrada, do aviso à demissão, com gradação. Sem isso, a política é uma sugestão.
Erro comum: consequência única e desproporcional que ninguém aplica.
12. Revisão com data
As ferramentas mudam a cada trimestre. A política tem data de revisão, dono e um canal para sugerir mudanças.
Erro comum: versão 1.0 de 2024 ainda em vigor.
Um teste rápido
Pegue a sua política e responda: um analista novo, no primeiro dia, consegue decidir sozinho se pode colar uma planilha de clientes numa ferramenta de IA? Se a resposta demanda perguntar a alguém, a política ainda não governa.
Política de IA boa é a que resolve a dúvida de terça-feira às 15h, sem reunião.
Fontes: Gartner, Top Strategic Technology Trends for 2026, Keyrus, Tendências de Dados e Analytics para 2026.