Toda empresa que deixou o time usar IA sem regra clara já tem um problema, só ainda não descobriu qual. A política de uso de IA não precisa de 20 páginas nem de comitê jurídico: cabe numa página, com 3 coisas que o time pode fazer sem pedir licença, 3 que nunca pode fazer, e o nome de quem decide exceção. Esse post traz o raciocínio e o template pronto pra copiar.
O que é uma política de uso de IA e por que toda PME precisa de uma?
Política de uso de IA é o documento que diz, de forma objetiva, o que o time pode fazer com ferramentas de IA no trabalho, o que não pode, e quem decide quando aparece uma exceção. Não é manual de ética nem contrato jurídico de 20 páginas. É 1 página que qualquer pessoa da equipe lê em 3 minutos e aplica no dia a dia.
PME sem essa política não é uma PME sem uso de IA. É uma PME onde cada pessoa decidiu sozinha o próprio critério, sem ninguém saber qual foi. Isso já está acontecendo na sua empresa, com ou sem política escrita, de formas como:
- Alguém colou um contrato inteiro no ChatGPT pra resumir, sem saber se o dado ficou protegido.
- Outra pessoa perguntou pro Gemini o que responder pra um cliente bravo e mandou a resposta sem reler.
A pergunta não é se o time usa IA. É se vc sabe como.
O que a equipe pode fazer com IA sem pedir permissão?
Três categorias não precisam de aprovação de ninguém: rascunho de texto, resumo de material longo e pesquisa exploratória. Nessas três o risco de dano é baixo e o ganho de tempo é real.
Rascunho. Email chato, proposta, post, resposta de mensagem. A pessoa pede pro ChatGPT ou pro Claude gerar a primeira versão, ainda lê, ajusta o tom, decide o que sai. O risco não está na IA gerar o rascunho. Está em mandar sem ler de novo.
Resumo. Reunião de 1 hora, contrato, relatório longo. Pedir pro Gemini resumir isso economiza tempo real, sem precisar de aprovação de gestor. O que muda é o que a pessoa faz com o resumo depois: se vira decisão ou comunicado pra fora da empresa, alguém humano confirma antes.
Pesquisa. Benchmarking, primeira leitura de um tema novo, ideia de abordagem. Uso exploratório interno, sem consequência direta pra fora, é território livre.
A condição implícita nas três é a mesma: revisão humana antes de qualquer coisa sair da empresa.
O que a equipe nunca pode fazer com IA?
Três coisas nunca podem acontecer, sem exceção: colar dado de cliente numa ferramenta gratuita, decidir algo importante sem revisão humana, e apresentar output de IA como análise própria sem checar se está certo.
Dado de cliente em ferramenta gratuita. Nome, CPF, contrato, histórico financeiro, print de conversa: nada disso entra em conta pessoal de ChatGPT, Gemini ou qualquer ferramenta sem contrato de proteção de dado com a empresa. Ferramenta gratuita de uso pessoal costuma usar o que vc digita pra treinar o modelo. Isso não é teoria, está nos termos de uso da maioria delas.
Decisão sem revisão humana. IA pode sugerir preço, prazo, resposta de negociação. A decisão final passa por alguém que responde pelo resultado. Se o output vira ação direta (mandar proposta, aprovar desconto, fechar negociação) sem ninguém revisar antes, a empresa perdeu controle da própria operação.
Apresentar output como análise própria sem checar. IA erra, inventa dado, confunde contexto. Pegar o que ela escreveu e mandar pro cliente ou pro chefe como se fosse trabalho verificado, sem conferir os fatos, é o jeito mais rápido de perder credibilidade numa reunião importante.
Quais ferramentas são aprovadas e quais são proibidas?
Ferramenta aprovada é a que tem contrato de nível empresa (plano Team, Business ou Enterprise) com cláusula de que os dados digitados não treinam o modelo público. Conta pessoal gratuita da mesma ferramenta, não.
Exemplos comuns de ferramenta aprovada, quando contratada no plano empresa:
- ChatGPT Team
- Claude for Work
- Microsoft Copilot dentro do 365 já contratado pela empresa
A confusão mais comum: a pessoa acha que “já uso ChatGPT no trabalho” significa que está coberta. Mas ChatGPT grátis, aquele que qualquer um cria com email pessoal, e ChatGPT Team são contratos diferentes, com termo de dado diferente. A política precisa listar por nome quais contas são aprovadas (“ChatGPT Team da conta corporativo@suaempresa.com.br”), não “ChatGPT” de forma genérica.
Ferramenta nova que ninguém validou ainda, tipo um app de transcrição desconhecido ou uma extensão de navegador que promete resumir tudo, entra automaticamente como proibida até alguém aprovar. Não é desconfiança. É o padrão mais seguro: proibido até aprovado, não aprovado até proibido.
Quem aprova exceção quando alguém precisa de uma ferramenta nova?
Uma pessoa, nomeada por nome, com prazo de resposta definido. Essa é a regra inteira. Em PME pequena costuma ser o próprio dono ou o head de operações. Empresa maior pode levar isso pra comitê de TI, mas o princípio não muda: sem um nome claro, ninguém pede aprovação e todo mundo decide sozinho de novo.
Defina também o prazo de resposta. Se o aprovador demora 3 semanas pra responder um pedido de ferramenta nova, o time vai usar sem esperar. Um prazo curto, tipo 48 horas úteis, mantém a política viva em vez de virar gargalo que todo mundo aprende a contornar.
Quer montar a política de IA da sua empresa com apoio?
A gente ajuda PMEs a desenhar governança de IA que o time realmente aplica, sem virar burocracia que ninguém lê.
Quero ajuda pra montar minha políticaPor que proibir IA por medo empurra o time pro shadow AI?
Proibir IA sem oferecer alternativa aprovada não elimina o uso, esconde ele. Isso tem nome: shadow AI, uso de ferramenta de IA fora do controle e do conhecimento da empresa. É o pior cenário possível, pior que uso descontrolado às claras, porque ninguém sabe o que está acontecendo.
Os 2 sinais mais comuns de shadow AI numa equipe:
- Ninguém avisa que está usando IA fora do processo aprovado, porque não existe processo aprovado pra seguir.
- A ferramenta usada é pessoal e gratuita, sem contrato de proteção de dado com a empresa.
Imagine uma imobiliária (exemplo hipotético) que proíbe qualquer uso de IA por medo de vazamento de dado. O corretor, sob pressão de prazo, continua usando o ChatGPT do celular pessoal pra rascunhar a descrição de um imóvel. Só que agora sem avisar ninguém e sem regra nenhuma sobre o que pode ou não entrar ali. A proibição não impediu o uso. Só tirou a visibilidade de quem lidera.
Política de 1 página resolve isso trocando “proibido” por “aprovado com regra clara”. Quando o time tem caminho legítimo pra usar IA no que precisa, a tentação de usar escondido cai. Ninguém esconde algo que já tem permissão de fazer.
Qual é o template completo pra copiar e adaptar?
O template é um documento de 1 página com 5 blocos:
- O que a equipe pode fazer sem pedir permissão
- O que nunca pode fazer
- Quais ferramentas são aprovadas
- Quem aprova exceção (com prazo)
- O que acontece se alguém quebrar a regra
Sendo bem sincero, dá pra vender consultoria de compliance de IA com 20 páginas de anexo jurídico. Mas quase nenhuma PME aplica documento desse tamanho no dia a dia: fica engavetado depois do dia 1. Uma página que o time lê em 3 minutos tem mais chance de virar hábito. Copie o bloco abaixo, ajuste os nomes entre colchetes e distribua pro time.
Política de uso de IA [Nome da Empresa] (v1)
Pode fazer sem pedir permissão:
- Rascunhar texto (email, proposta, post) com revisão antes de enviar
- Resumir reunião, contrato ou relatório interno
- Pesquisa exploratória e benchmarking
Nunca pode fazer, sem exceção:
- Colar dado de cliente (nome, CPF, contrato, histórico, print) em ferramenta sem contrato empresarial
- Deixar IA decidir preço, prazo ou resposta de negociação sem revisão humana
- Apresentar output de IA como análise própria sem checar os fatos
Ferramentas aprovadas: [ChatGPT Team / Claude for Work / Copilot 365, listar as contas corporativas reais]
Ferramentas proibidas: contas pessoais gratuitas das ferramentas acima e qualquer app novo não validado
Aprovador de exceção: [nome da pessoa], resposta em até [48h úteis]
O que acontece se alguém quebrar a regra: conversa direta primeiro, sem punição automática na primeira vez. Reincidência depois de alinhado vira conversa de performance.
Assinado, revisado a cada [6 meses].
Esse documento resolve a grande maioria dos casos do dia a dia. O que sobrar, resolve na conversa, não em anexo jurídico.
FAQ
Preciso de advogado pra criar essa política? Não pra versão de 1 página que resolve o uso do dia a dia. Advogado entra se a empresa lida com dado sensível regulado (saúde, financeiro, jurídico) ou se quer formalizar isso em contrato de trabalho e código de conduta interno. Pra maioria das PMEs, a política interna já resolve o problema real, que é falta de critério comum, não falta de blindagem jurídica. O documento de 1 página cobre o operacional: o que pode, o que não pode, quem aprova exceção. Se depois a empresa crescer ou passar a lidar com volume maior de dado sensível, aí vale revisar com jurídico pra formalizar cláusula específica no contrato de trabalho ou no acordo com fornecedor.
A política vale pra freelancer e prestador de serviço, ou só pra time CLT? Vale pra qualquer pessoa que acessa dado da empresa ou fala em nome dela, independente do vínculo. Freelancer que edita conteúdo, agência terceirizada que atende cliente, prestador que mexe em CRM: todos entram na mesma regra. Vazamento de dado não escolhe tipo de contrato.
Isso inclui quem trabalha só algumas horas por semana ou por projeto pontual: o risco de colar dado de cliente numa ferramenta errada é o mesmo, PJ ou CLT. Se a pessoa tem acesso a CRM, planilha financeira ou histórico de atendimento, ela entra na política. Vale incluir essa regra no contrato de prestação de serviço ou no onboarding de quem chega, pra ninguém alegar depois que não sabia.
O que fazer se descobrir que alguém já quebrou uma regra antes da política existir? Trata como aprendizado, não como punição retroativa. A pessoa agiu sem regra clara porque não existia regra clara. Publica a política, explica o motivo de cada item usando esse caso (sem expor quem foi) e segue em frente. Punir uso anterior a uma regra que não existia mina a confiança no processo todo.
O objetivo é evitar que o mesmo problema se repita, não achar culpado por algo sem regra escrita na época. Marca a data de publicação oficial e deixa claro que, a partir dali, todo mundo já sabe o que pode e o que não pode fazer com IA no trabalho.
Com que frequência revisar a política? A cada 6 meses ou toda vez que uma ferramenta nova relevante aparecer no mercado. IA muda rápido: ferramenta proibida hoje por falta de contrato empresarial pode ter versão Business em poucos meses. Política parada vira decoração, igual documento que ninguém abre.
Marca essa revisão no calendário como qualquer outra rotina de gestão, pra não depender de alguém lembrar. Aproveita o momento pra perguntar pro time se apareceu ferramenta nova que ninguém validou ainda, porque isso costuma surgir antes de virar pedido formal. Uma revisão rápida e informal já resolve: confirma se as ferramentas aprovadas continuam certas, se o aprovador ainda é a pessoa certa, e se o prazo de resposta ainda faz sentido pro tamanho do time.
Vale a pena banir totalmente ferramentas gratuitas de IA? Não. Banir tudo empurra o time pro uso escondido, que é pior que uso controlado. O caminho certo é aprovar o uso de ferramenta gratuita pra tarefa de baixo risco (rascunho interno, pesquisa) e proibir especificamente a entrada de dado de cliente nela. A régua é o dado, não a ferramenta em si.
Ferramenta gratuita não é o vilão, é só menos protegida por contrato. O problema real é dado sensível saindo do controle da empresa, e isso acontece com ferramenta paga mal configurada tanto quanto com ferramenta grátis. Foca a política no que realmente importa: que tipo de dado pode entrar em cada ferramenta, não em qual ferramenta especificamente.
Como faço o time realmente aplicar isso, e não só assinar e esquecer? Apresenta em reunião, não manda só por email. Usa 1 exemplo real de erro que quase aconteceu (sem citar nome) pra mostrar o motivo de cada regra. Fixa a política num lugar visível (Notion, mural do canal do time) e cita ela quando alguém perguntar “posso usar IA pra isso?”. Regra que só existe no arquivo morre no arquivo.
Pede uma confirmação de leitura, mesmo que seja informal tipo um “recebi, entendi” no canal do time. Repete a política na integração de quem entra depois, não só uma vez pro time atual. O ponto não é burocratizar, é manter a política presente na rotina até virar reflexo.
Política de IA não é sobre desconfiar do time. É sobre dar clareza pra quem já está usando, com ou sem sua permissão. Copia o template, ajusta os nomes, publica essa semana.
Quer liderar a virada de IA na sua empresa?
No mapeamento gratuito a gente olha sua operação e define onde a IA entra primeiro, sem quebrar o que já funciona.
Fazer o mapeamento gratuito Ou me acompanhe no Instagram: @ericluciano