Política de uso de inteligência artificial nas empresas: limites, aprovações e responsabilidade interna

Por que a empresa precisa de uma política específica

Em muitas organizações, a inteligência artificial entra primeiro pela porta lateral. Um colaborador testa uma ferramenta gratuita. Um time de marketing usa o sistema para acelerar peças publicitárias. O setor de atendimento pede ajuda para resumir reclamações. O jurídico usa apoio automatizado para organizar cláusulas. Em pouco tempo, a prática já está disseminada, mas ninguém sabe com precisão qual ferramenta foi usada, com qual conta, com quais dados e com qual tipo de revisão humana.

Esse cenário gera risco porque a empresa perde a capacidade de demonstrar que controlou a operação. Se uma informação sigilosa for inserida em uma plataforma pública, se um dado pessoal for compartilhado sem base adequada, se uma resposta automatizada for enviada sem revisão ou se um conteúdo for reproduzido com erro relevante, a discussão deixa de ser apenas tecnológica e passa a envolver confidencialidade, proteção de dados, relações de consumo, responsabilidade contratual e até questões trabalhistas.

A política também protege a própria equipe. Muitos profissionais querem usar IA porque acreditam que estão ganhando produtividade, mas nem sempre percebem que ferramentas diferentes tratam dados de modo diferente. Algumas soluções armazenam conversas por mais tempo, outras podem treinar modelos com entradas do usuário, outras operam com contas corporativas e controles mais robustos. Sem orientação, o colaborador pode adotar a ferramenta mais conveniente, e não a mais segura.

Onde a ausência de regra costuma aparecer primeiro

• envio de informações internas para ferramentas públicas sem autorização
• uso de contas pessoais para tarefas corporativas
• respostas ao cliente geradas por IA sem revisão
• triagem de documentos ou currículos sem critério claro
• criação de campanhas, textos e propostas com dados sensíveis

Quais riscos a política precisa enfrentar

O primeiro risco é o vazamento de dados e de confidencialidade. Muitas empresas trabalham com informações de clientes, fornecedores, estratégias de negócio, preços, contratos, documentos internos e comunicações que não podem circular livremente. Se um colaborador inserir esse conteúdo em uma ferramenta aberta, a empresa pode perder controle sobre o material e até violar obrigações assumidas em contrato ou por dever de sigilo profissional.

O segundo risco está na proteção de dados pessoais. A política precisa dizer com clareza que dados pessoais, dados sensíveis e dados de terceiros só podem ser usados quando houver necessidade real, autorização interna e avaliação prévia do impacto. Não basta confiar que a ferramenta é famosa ou que o uso é “só para resumir”. Se a entrada contém informações identificáveis, a empresa já entrou em um campo que merece controle específico.

Há ainda o risco de erro e alucinação. Ferramentas de IA podem produzir conteúdo convincente, mas incorreto. Isso é especialmente sensível quando a saída alimenta um contrato, uma proposta comercial, uma resposta ao consumidor, uma análise interna ou uma orientação sobre direito ou compliance. Uma política madura precisa exigir revisão humana e deixar claro que a IA não substitui validação técnica.

Outro ponto importante é o risco de discriminação algorítmica. Quando a empresa usa IA para apoiar recrutamento, avaliação de produtividade, ranqueamento de candidatos ou priorização de atendimentos, pode haver viés, exclusão indevida ou tratamento desigual. A política precisa tratar desses casos com cuidado, porque o problema não está apenas no sistema, mas também na forma como ele é configurado, treinado e supervisionado.

Por fim, existe o risco contratual. Muitas ferramentas operam em termos de uso pouco transparentes, com cláusulas sobre retenção, subcontratação, local de armazenamento, uso dos dados do cliente e limitação de responsabilidade. Se o jurídico não olhar isso antes da adoção, a empresa pode descobrir depois que aceitou condições que não combinam com seu nível de exposição.

O que não pode faltar na política interna

A política deve começar pelo básico: definir o que a empresa entende por inteligência artificial, quais ferramentas estão dentro do escopo e quem pode utilizá-las. Parece simples, mas essa precisão evita dúvidas sobre sistemas de texto, imagem, voz, automação, classificação de documentos, assistentes de atendimento e soluções embutidas em softwares já contratados.

Depois disso, o texto precisa indicar o que é permitido, o que exige autorização e o que é proibido. Em geral, uma boa política distingue casos de baixo risco, uso condicionado e uso vedado. Essa separação facilita o dia a dia, porque a equipe não precisa consultar o jurídico a cada tarefa trivial, mas também não fica livre para usar a ferramenta que quiser em situações sensíveis.

Outro elemento essencial é o fluxo de aprovação. Quem libera uma nova ferramenta? Quem valida a contratação? Quem examina cláusulas de uso, segurança e confidencialidade? Quem decide se determinado caso pode ou não ser automatizado? Sem essa cadeia, a política vira um texto bonito e sem efeito prático.

Cláusulas ou tópicos que merecem atenção

• objetivo e alcance da política
• definição das ferramentas autorizadas
• categorias de dados que não podem ser inseridas
• regras de uso de contas corporativas
• revisão humana obrigatória antes do envio externo
• responsável interno por aprovação e monitoramento
• registro de incidentes e revisão periódica
• consequências para uso fora da regra

Como aprovar ferramentas e fluxos de uso

Uma política bem feita não serve apenas para proibir. Ela também cria caminho seguro para usar a tecnologia de forma útil. Para isso, o ideal é que a empresa tenha um fluxo de avaliação antes de liberar qualquer ferramenta nova. O primeiro passo é identificar o caso de uso real. A ferramenta será usada para apoio à redação? Para resumo de documentos? Para atendimento ao cliente? Para triagem interna? Cada finalidade muda o nível de risco.

O passo seguinte é classificar os dados envolvidos. Se o uso envolve informações públicas, o risco é um. Se envolve dados internos sem sigilo relevante, o risco é outro. Se envolve dados pessoais, informações estratégicas, documentos confidenciais, prontuários, dados financeiros ou conteúdo de cliente, a análise precisa ser mais cuidadosa. Nessa fase, jurídico, segurança da informação e área responsável pelo negócio devem conversar entre si.

Depois da classificação, vale testar a ferramenta em ambiente controlado. É nessa etapa que a empresa verifica se o serviço guarda conteúdo, se permite configurar retenção, se utiliza dados para treinamento, se oferece controle de acesso, se há histórico de uso e se o contrato realmente corresponde ao que o fornecedor promete comercialmente. Aprovar sem testar é uma forma comum de exposição desnecessária.

Em usos mais sensíveis, também pode ser útil registrar quem autorizou, por quanto tempo a ferramenta ficará ativa, quais perfis poderão usá-la e em que hipóteses a autorização será revista. Esse tipo de rastreabilidade ajuda a empresa a saber não apenas o que foi contratado, mas por que foi contratado e quem decidiu pela contratação.

Exemplos por área da empresa

No marketing, a IA pode ajudar a estruturar ideias, títulos e versões preliminares de campanhas, mas a política deve impedir o envio de listas de clientes, contratos internos ou dados sensíveis para sistemas públicos. No atendimento, a ferramenta pode sugerir respostas, mas a saída precisa passar por revisão quando houver risco de promessa indevida, informação errada ou tratamento de reclamação complexa.

No jurídico, a IA pode apoiar organização de documentos, mas não deve ser tratada como substituta da análise técnica. No RH, a triagem de currículos e a classificação automática de candidatos pedem cautela redobrada, porque a empresa pode criar discriminação involuntária ou um procedimento pouco transparente. Na área comercial, a tecnologia pode ajudar a resumir reuniões e organizar propostas, desde que não haja compartilhamento indevido de informações estratégicas do cliente.

Documentos e provas que a empresa deve manter

Uma política sem prova de implementação perde força quando a empresa precisa demonstrar diligência. Por isso, não basta publicar o texto e arquivar em alguma pasta esquecida. A organização precisa guardar versões atualizadas, registros de aprovação, lista de ferramentas autorizadas, memorandos internos e evidências de treinamento. Esses elementos mostram que a empresa saiu da teoria e transformou a regra em rotina.

Se houver fornecedor externo, os contratos também merecem atenção. Cláusulas sobre confidencialidade, proteção de dados, subcontratação, retenção, suporte, local de armazenamento e resposta a incidentes podem fazer enorme diferença em caso de problema. Em muitos casos, a política interna só funciona de verdade quando conversa com o contrato e com o processo de aquisição da tecnologia.

Outro conjunto de provas útil envolve os registros de uso. Dependendo da atividade, pode ser importante preservar logs, datas de aprovação, responsáveis pela revisão humana e versões anteriores dos materiais produzidos. Isso ajuda a reconstruir o raciocínio da empresa caso surja uma reclamação, uma auditoria ou uma dúvida interna sobre quem decidiu o quê.

Também vale registrar treinamentos e orientações de equipe. Uma empresa que comunica a política, treina os times e atualiza o conteúdo periodicamente tem mais condições de provar que buscou prevenir o problema. Se a regra existe apenas em tese, a chance de uma defesa consistente cai bastante.

1. versão vigente da política e histórico de alterações
2. aprovações internas e responsáveis nomeados
3. inventário das ferramentas em uso
4. contratos e termos de serviço dos fornecedores
5. registros de treinamento e ciência da equipe
6. evidências de revisão humana em tarefas sensíveis
7. relatórios de incidentes e medidas corretivas

Erros comuns que enfraquecem a governança

Um erro recorrente é copiar uma política pronta da internet e apenas trocar o nome da empresa. Isso gera texto genérico, sem ligação com a operação real. Em pouco tempo, a política passa a ser ignorada porque ninguém se reconhece nela. O correto é construir um texto ajustado à forma como a empresa realmente trabalha, às ferramentas que usa e aos riscos que efetivamente enfrenta.

Outro erro é permitir o uso irrestrito de contas pessoais. Quando a equipe trabalha fora do ambiente corporativo, a empresa perde controle sobre retenção, histórico, acesso e segurança. A política pode até admitir uso em casos específicos, mas isso precisa ser exceção e nunca a regra principal.

Também é um problema aceitar a ideia de que a saída da IA pode ser enviada sem revisão porque “o texto está bom”. Ferramentas desse tipo podem errar na informação, no tom, na precisão técnica e na adequação jurídica. Se a empresa não define quem confere o resultado, a responsabilidade tende a recair sobre ela mesma, e não sobre o sistema.

Outro equívoco é esquecer de revisar a política. A tecnologia muda, os fornecedores mudam, os usos internos mudam e a própria empresa muda. O que fazia sentido há seis meses pode estar desatualizado hoje. A política deve ter data, responsável e periodicidade de revisão. Sem isso, ela envelhece rapidamente e deixa de orientar.

• usar modelo genérico sem adaptação
• permitir envio de dados sensíveis para ferramentas públicas
• não definir revisão humana obrigatória
• ignorar o contrato com o fornecedor
• deixar de treinar os usuários internos
• não revisar a política após mudança de ferramenta

Quando a situação pede análise jurídica específica

Há momentos em que a empresa não deve confiar apenas em uma política interna pronta. Se a ferramenta processa dados pessoais, dados sensíveis, informações de saúde, dados de crianças ou adolescentes ou informações financeiras relevantes, vale uma análise jurídica mais detalhada. O mesmo vale quando o fornecedor está fora do país, quando há dúvida sobre base contratual, quando a operação impacta clientes ou quando o uso automatizado pode influenciar decisões relevantes.

Também é prudente buscar orientação quando a inteligência artificial é usada em contexto trabalhista, como recrutamento, avaliação de desempenho, monitoramento ou apoio a decisões de RH. Nessas hipóteses, a empresa precisa observar não apenas privacidade e segurança, mas também tratamento isonômico, transparência e documentação mínima de critérios. Quanto maior o impacto sobre pessoas, mais cuidadosa deve ser a estrutura de controle.

Se a empresa já passou por incidente, vazamento, uso indevido de dados ou reclamação de cliente, o momento de revisar a política é imediato. Nesses casos, a resposta costuma exigir mais do que um texto novo. Pode envolver revisão de contrato, coleta de evidências, comunicação interna, ajuste de ferramenta e definição de quem fala em nome da empresa.

Se for útil iniciar a análise com um contato objetivo, a página de contato pode ser o ponto de partida para organizar a documentação e entender quais medidas fazem sentido no caso concreto.

Perguntas frequentes

A empresa pode proibir o uso de ferramentas públicas de IA?

Sim. A empresa pode restringir ou proibir o uso de ferramentas públicas quando entender que o risco é alto ou que os controles disponíveis não são suficientes. Em muitos casos, essa é a forma mais simples de proteger dados e segredos internos.

É permitido usar IA com dados de clientes?

Somente depois de avaliar a necessidade, o tipo de dado, o fornecedor e os controles aplicáveis. Em regra, o uso não deve ser improvisado. Quando há dado pessoal ou confidencial, a análise precisa ser mais rigorosa.

Quem responde por um erro produzido pela IA?

A responsabilidade costuma recair sobre a empresa e sobre os profissionais envolvidos no processo, porque a ferramenta é apenas um instrumento. Por isso a supervisão humana e a definição de responsáveis são tão importantes.

A política deve fazer parte do regulamento interno?

Pode fazer parte, mas o essencial é que a regra esteja clara, acessível e vinculada aos fluxos reais da empresa. Em muitos casos, a política de IA funciona melhor quando dialoga com código de conduta, segurança da informação, privacidade e contratação de fornecedores.

Precisa treinar os colaboradores?

Sim. A política só funciona quando as pessoas entendem o motivo das restrições e sabem como agir na prática. Treinamento curto, objetivo e periódico costuma ser mais útil do que uma orientação longa que ninguém lê.

Como o Cardoso Advogados Associados pode ajudar

O escritório pode revisar a política existente, criar uma versão alinhada à rotina do negócio, analisar contratos com fornecedores de tecnologia, ajustar cláusulas de confidencialidade e apoiar a implementação de controles internos. Em estruturas com maior exposição, também é possível integrar a política de IA com privacidade, proteção de dados, gestão de incidentes e governança documental.

Esse trabalho é útil porque evita dois extremos. De um lado, a empresa que quer liberar tudo sem critério. De outro, a empresa que tenta impedir qualquer uso e acaba perdendo produtividade sem resolver o problema de fundo. A abordagem correta tende a ser mais equilibrada: limitar o que precisa ser limitado, autorizar o que pode ser autorizado e registrar o que precisa ser comprovado.

Se você enfrenta uma situação semelhante, o Cardoso Advogados Associados pode analisar os documentos, esclarecer os riscos e indicar os caminhos jurídicos possíveis com segurança e responsabilidade.