Política de uso de IA em uma página: o que precisa estar escrito

Uma política de uso de IA que funciona cabe em uma página e responde a quatro perguntas: o que pode ser colado numa ferramenta de IA, o que nunca pode, quem responde pelo resultado, e o que fazer quando sai errado. Documento maior que isso não é lido, e política não lida não protege ninguém.

A maior parte das empresas está no pior dos mundos: a equipe já usa IA todos os dias, e não existe nada escrito. Não é caso de proibir — proibição empurra o uso para o celular pessoal, onde ninguém vê. É caso de escrever a regra que já deveria existir.

Por que uma página, e não vinte

Política longa é escrita para o auditor e ignorada pela equipe. O objetivo aqui é outro: que alguém no segundo dia de casa leia em três minutos e saiba o que fazer. Se precisar de mais de uma página, o que sobra vira anexo.

As quatro seções

1. O que pode entrar

Liste o que é liberado, por nome. Ambiguidade gera consulta ao gestor, e consulta ao gestor gera atalho.

• Texto público da empresa: material de marketing, conteúdo do site, descrição de produto.
• Documento interno sem dado pessoal e sem número financeiro: procedimento, manual, roteiro de treinamento.
• Código de projeto próprio, quando o contrato com o cliente permite.
• Rascunho, resumo de reunião e tradução que a pessoa vai revisar antes de usar.

2. O que nunca entra

Esta é a seção que a empresa precisa acertar, e é curta de propósito:

• Dado pessoal de cliente — nome com CPF, endereço, telefone, e-mail, histórico de compra.
• Dado sensível — saúde, biometria, dado de criança, origem racial, convicção religiosa ou política.
• Credencial — senha, chave de API, token, certificado, string de conexão.
• Informação sob acordo de confidencialidade, incluindo código e documento de cliente.
• Número financeiro não divulgado — faturamento, margem, folha, proposta em negociação.

E uma frase que evita metade das dúvidas: na dúvida sobre um dado, ele não entra.

3. Quem responde pelo resultado

Este é o ponto que mais falta nas políticas que circulam por aí. A regra é uma linha, e não admite exceção:

Quem envia responde pelo que sai. O modelo não assina, não responde a processo e não é citado em auditoria. Se um texto gerado por IA vai para um cliente, quem apertou o botão respondeu por ele.

Do que decorre uma lista curta do que exige revisão humana antes de sair:

• Qualquer texto enviado a cliente, fornecedor ou órgão público.
• Qualquer número que embase uma decisão.
• Qualquer código que vá para produção.
• Qualquer conteúdo publicado com o nome da empresa.

4. O que fazer quando erra

Modelos erram, e erram com confiança. A política precisa dizer o que acontece depois, sem transformar o episódio em caça às bruxas — senão o próximo erro é escondido.

• Quem percebeu avisa o responsável pela área no mesmo dia.
• O erro é anotado em um registro simples: o que aconteceu, o que causou, o que mudou.
• Se saiu dado que não podia sair, o caso vira incidente e segue o procedimento de segurança que já existe.
• A política é revista quando o mesmo tipo de erro aparece duas vezes.

Três linhas que vale acrescentar

Ferramentas autorizadas. Nomeie as que a empresa contratou e diga que outras precisam de aprovação. Sem lista, cada um usa a que achou primeiro.

Conta corporativa, não pessoal. Contas de trabalho costumam ter configuração diferente de retenção e de uso do conteúdo para treino. É a diferença mais barata que existe entre risco alto e risco baixo.

Avisar quando o cliente fala com um sistema. Se a empresa atende por agente automatizado, a pessoa precisa saber disso e ter um caminho para falar com um humano. Além de boa prática, virou obrigação legal em vários mercados.

O que não colocar

Não coloque lista de modelos permitidos por versão — envelhece em semanas. Não coloque promessa de percentual de produtividade. Não copie política de outra empresa sem adaptar: a lista do que nunca entra depende do que a sua empresa trata.

Como colocar no ar

1. Escreva a versão 1 em uma hora, com o que você já sabe. Ela não precisa ser boa, precisa existir.
2. Mostre para duas pessoas que usam IA todo dia e pergunte o que a política proíbe que elas já fazem. A resposta é o mapa do problema real.
3. Publique num lugar único, com data e responsável no rodapé.
4. Marque a revisão daqui a seis meses no calendário. Sem data marcada, não acontece.

Uma política de uma página, escrita e conhecida, protege mais do que um manual de trinta que ninguém abriu.