Política de uso de inteligência artificial: modelo para pequenas empresas

Para uma empresa com 5 a 200 pessoas, uma política de uso de inteligência artificial precisa orientar as decisões do dia a dia: quais contas a equipe pode usar, quais dados devem ficar de fora e quem revisa o resultado. Comece com uma política de uma página, acesso empresarial aprovado e uma pessoa designada para tirar dúvidas. Todo trabalho feito com ajuda de IA deve permanecer como rascunho até passar pela revisão de um responsável.

Modelo de política de uso de inteligência artificial

Copie o modelo abaixo para o manual da empresa ou para um documento compartilhado. Preencha os campos entre colchetes, inclua apenas as contas já aprovadas e garanta que todos tenham acesso antes de a política entrar em vigor. O modelo foi pensado para caber em uma página; confira a diagramação depois de inserir os dados da empresa.

Antes de adotar a política, peça a um advogado que a revise considerando seus contratos e suas obrigações.

Uso de IA na [Empresa]

Vigência: [data]. Responsável: [nome e cargo]. Dúvidas ou incidentes: [contato]. Próxima revisão: [data]. Contas aprovadas e dados permitidos: [link para nossa lista atualizada].

1. A quem se aplica. Todos que trabalham para a empresa, incluindo funcionários, gestores e prestadores de serviço, devem seguir estas regras. Elas abrangem ferramentas de IA para conversa, escrita, programação, imagens, reuniões e buscas, além de recursos de IA integrados a outros softwares.

2. Use contas aprovadas. Utilize apenas ferramentas, planos e espaços de trabalho da empresa que constem na lista aprovada. Ter uma assinatura pessoal ou usar um e-mail corporativo não significa ter aprovação. Não adicione conexões com outros aplicativos, extensões de navegador, gravação de reuniões, ações automatizadas ou opções de compartilhamento de dados sem a aprovação do responsável. Nunca compartilhe credenciais de acesso.

3. O que você pode fazer. Nas contas aprovadas, use informações públicas e materiais internos permitidos para levantar ideias, redigir rascunhos, resumir ou preparar trabalhos. Use somente materiais que você tem autorização para compartilhar. Mantenha uma pessoa responsável por cada tarefa. Não use IA para enganar, assediar, discriminar ou contornar controles de acesso.

4. O que nunca deve ser inserido. Esta política proíbe inserir nessas ferramentas senhas, tokens de acesso, chaves privadas, dados completos de cartões de pagamento, números de documentos de identificação oficiais, prontuários médicos ou registros confidenciais de funcionários. Não envie segredos comerciais, informações financeiras ainda não divulgadas ou código-fonte privado, a menos que a lista aprovada permita expressamente esse material. As mesmas regras valem para arquivos, capturas de tela, gravações e pastas conectadas.

5. Dados de clientes. Sempre que possível, use exemplos fictícios ou remova os detalhes que permitam identificar alguém. Antes de usar informações que identifiquem um cliente, obtenha aprovação por escrito para a tarefa, a ferramenta, a conta e os dados específicos. O responsável deve verificar nossos compromissos com o cliente, a autorização para compartilhar, os termos do fornecedor e as configurações de acesso e retenção. Envie apenas o necessário para a tarefa. Se a aprovação não existir ou não estiver clara, pare e pergunte.

6. Revise antes de usar. Antes de se basear em um resultado, enviá-lo ou publicá-lo, confira fatos, fontes, cálculos, confidencialidade e direitos de uso do material, além de verificar se há conteúdo injusto ou enganoso. Quem envia continua sendo responsável. Código deve passar pelas revisões e pelos testes habituais. Não permita que a IA envie mensagens, gaste dinheiro, altere registros ou tome decisões sobre contratação, remuneração, crédito ou outras questões de impacto por conta própria. Esses usos exigem um processo aprovado separadamente.

7. Seja transparente sobre o uso de IA. Avise o revisor interno quando a IA tiver participação relevante na redação ou na análise do trabalho. Avise os clientes quando o contrato exigir, quando eles interagirem diretamente com IA ou quando omitir essa participação puder induzi-los ao erro. Não apresente um resultado de IA como entrevista feita por uma pessoa, pesquisa original ou trabalho verificado pessoalmente, a menos que isso seja verdade. Em caso de dúvida, consulte o responsável.

8. Tire dúvidas e comunique problemas sem demora. Encaminhe ao responsável os pedidos de novas ferramentas e de exceções antes do uso. Comunique imediatamente qualquer suspeita de exposição de dados, ações inseguras ou resultados prejudiciais pelo contato acima, sem copiar conteúdo sensível para um canal aberto. Interrompa a atividade afetada e siga as orientações do responsável. Confirme que tomou ciência desta política; as infrações serão tratadas pelos procedimentos já existentes para funcionários ou prestadores de serviço. O responsável deve revisá-la trimestralmente e sempre que houver mudanças nas ferramentas, nos termos ou nos fluxos de trabalho.

Para manter a política curta, deixe a lista de contas aprovadas em um documento separado. Cada registro deve informar o produto e o plano exatos, o espaço de trabalho da empresa, os dados permitidos, a tarefa autorizada, a pessoa responsável e a data de aprovação. Um registro em branco significa que a ferramenta ainda aguarda aprovação.

Por que os planos empresariais importam no uso de IA pela equipe?

Aprove a conta e seus termos de tratamento de dados antes de a equipe usar materiais privados da empresa. O compromisso de um fornecedor de não usar dados empresariais no treinamento dos modelos tem valor, mas, por si só, não autoriza o compartilhamento de registros de clientes.

Verificado na documentação publicada pelos fabricantes em 19 de outubro de 2026: os serviços empresariais abaixo se comprometem a não treinar modelos com os dados de clientes abrangidos por seus termos, seja por padrão, seja sem autorização. O alcance e as exceções variam. Treinar um modelo significa usar dados para aprimorar a IA que sustenta o serviço; isso é diferente de armazenar uma conversa ou processá-la para responder à sua solicitação.

OpenAI ChatGPT: use o espaço de trabalho empresarial aprovado

O ChatGPT, assistente de IA conversacional da OpenAI, exclui por padrão o conteúdo de clientes do ChatGPT Business e do ChatGPT Enterprise do treinamento de modelos. A documentação de governança de dados da OpenAI confirma esse compromisso e trata separadamente do armazenamento do histórico de conversas. Ao aprovar uma conta, avalie a retenção junto com os termos de treinamento.

Reembolsar uma assinatura pessoal e aprovar um espaço de trabalho da empresa são decisões distintas. A lista de contas deve identificar o espaço permitido, e a equipe precisa saber reconhecê-lo antes de colar qualquer informação interna.

O guia do ChatGPT para empresas aprofunda a escolha da conta.

Anthropic Claude: inclua uma regra para o envio de feedback

O Claude, assistente de IA da Anthropic para redação e análise, não usa por padrão as entradas e saídas dos produtos comerciais no treinamento de modelos. Para equipes que usam Claude Team ou Enterprise, há uma exceção importante: o feedback. A Anthropic informa que feedbacks ou relatos de falhas enviados explicitamente, assim como outras formas de compartilhamento voluntário, podem permitir o uso de conversas e sessões de programação no treinamento. A política de dados comerciais da Anthropic explica a regra e a exceção.

Deixe a decisão de compartilhar feedback com o responsável. A Anthropic documenta um controle para o proprietário da organização em Organization settings > Data and Privacy > Rate chats, que permite desativar as avaliações positivas e negativas dos membros dos planos Team e Enterprise. A configuração deve vir acompanhada de uma regra para a equipe: “não compartilhe conversas da empresa como feedback”.

Microsoft Copilot: confirme a proteção de dados empresariais

O Microsoft Copilot, assistente de trabalho da Microsoft anteriormente chamado Microsoft 365 Copilot, e o Microsoft Copilot Chat contam com proteções para dados organizacionais. Segundo a Microsoft, prompts, respostas e dados acessados pelo Microsoft Graph, sua conexão com as informações de trabalho, não são usados para treinar modelos de base. A documentação observa que nomes antigos dos produtos podem continuar aparecendo durante a transição. A página da Microsoft sobre proteção de dados empresariais detalha o alcance dessas proteções.

Peça ao administrador que confirme a conta da empresa e o serviço abrangido. A Microsoft documenta a presença de um escudo verde no Copilot Chat quando a proteção de dados empresariais está ativa. Também documenta o registro das conversas, portanto a equipe não deve interpretar a restrição ao treinamento como “nada fica armazenado”. A página de privacidade e proteções do Copilot Chat explica essas verificações.

As consultas de busca na web enviadas ao Bing seguem termos próprios de tratamento de dados, e os agentes também exigem uma análise de seus termos. Registre se esses recursos estão permitidos em cada fluxo de trabalho aprovado. Aprovar o assistente principal não deve liberar automaticamente todos os serviços conectados.

Google Gemini: confira a edição do Workspace

O Gemini, assistente de IA do Google, oferece proteções empresariais quando usado pelos serviços adequados do Google Workspace. O Google afirma que os dados de clientes do Workspace não são usados para treinar modelos de IA generativa sem autorização prévia ou instrução do cliente. Isso inclui os prompts e conteúdos abrangidos pela central de privacidade de IA generativa do Google Workspace.

No caso do app Gemini, confirme se a licença do Workspace o inclui como serviço principal, ou seja, um serviço abrangido pelos termos pertinentes do Workspace. A lista atual do Google inclui Business Starter, Business Standard e Business Plus. Outras configurações de conta podem ter proteções diferentes; consulte a tabela de edições para contas de trabalho, em vez de aprovar qualquer conta com login do Google.

Se você ainda está escolhendo qual serviço adotar como padrão, os comparativos Gemini vs Claude e Copilot vs Gemini ajudam a avaliar os produtos. A política para a equipe deve apontar para as opções que você já aprovou.

Como funciona uma política de uso aceitável de IA generativa?

Uma política de uso aceitável de IA reúne as regras da empresa para trabalhos feitos com apoio de inteligência artificial. “IA generativa” é o nome dado às ferramentas que criam textos, imagens, código ou outros conteúdos a partir de instruções. Pense nas regras de uma cozinha compartilhada: todos podem ter acesso aos equipamentos, enquanto certos ingredientes ficam guardados e alguém confere o que sai da bancada.

O dono da empresa autoriza as ferramentas e define quem toma as decisões. O responsável por operações transforma essa decisão em uma lista de contas fácil de consultar e tira dúvidas. Cada funcionário confere o que insere na ferramenta e se responsabiliza pelo resultado.

Diferencie materiais públicos, internos e restritos

Dê exemplos que a equipe reconheça. Uma descrição de produto já publicada é informação pública. Um checklist operacional ainda não publicado é material interno e só pode entrar em uma conta aprovada para esse tipo de conteúdo. Uma exportação da folha de pagamento contém informações confidenciais de funcionários e fica fora do que esta política básica permite.

Confira também os anexos. A captura de tela de um erro aparentemente inofensivo pode conter o e-mail de um cliente ou um token de acesso. Enviar a imagem também compartilha esses dados. Uma regra que se limita aos prompts digitados deixa de fora parte do trabalho real da equipe.

Dados de clientes exigem aprovação para a tarefa específica

“Remover o nome” é um bom primeiro passo, mas ainda podem restar um endereço, um número de pedido, uma reclamação peculiar ou uma combinação de detalhes que identifique a pessoa. Prefira um exemplo fictício quando a identidade do cliente não fizer diferença.

Para responder a um atraso de entrega, um responsável pelo atendimento pode pedir ajuda com a redação usando “um cliente cuja entrega está atrasada” e a política de entrega já publicada. Depois, ele acrescenta os dados corretos do cliente no sistema habitual de atendimento. Enviar todo o histórico da reclamação é outro uso e exige aprovação expressa.

Quando a identificação for necessária, o responsável deve registrar quais campos podem ser compartilhados, com que finalidade, em qual conta, quem terá acesso e por quanto tempo os dados ficarão armazenados. Ter permissão para manter dados de clientes não significa ter aprovação automática para usá-los em um novo fluxo de trabalho com IA.

Revisar exige conferir o trabalho de verdade

O revisor precisa ter acesso ao material de origem e conhecimento suficiente para questionar a resposta. Um texto bem escrito ainda pode prometer um reembolso que a empresa não oferece; um resumo convincente de uma planilha ainda pode se basear na coluna errada.

Antes de liberar o trabalho, confira as afirmações nas fontes, refaça os cálculos dos totais importantes e verifique os destinatários finais e os anexos. Para trabalhos com consequências relevantes, designe um revisor qualificado. Se ninguém puder avaliar o resultado, mantenha-o como rascunho e encaminhe a questão a quem possa decidir.

Ao informar o uso de IA, prefira uma frase simples, como “A IA ajudou a redigir este resumo; eu o conferi com os documentos de origem”, mas somente se isso descrever o que aconteceu. Uma pequena correção ortográfica e uma análise escrita por IA exigem níveis diferentes de transparência. Os contratos com clientes e o risco de induzir o destinatário ao erro determinam o que deve ser informado externamente.

Exemplos de aplicação da política de IA no dia a dia

A equipe já pode adotar a IA na redação de trabalhos rotineiros quando a conta, os dados e o revisor estiverem definidos. O envio de dados que identifiquem clientes e as ações autônomas devem esperar até que haja aprovação expressa. Veja exemplos de aplicação do modelo:

• Um dono de empresa preparando um comunicado: use o assistente aprovado para reescrever informações de produto que já são públicas. Confira cada promessa e cada data antes de publicar. Não há motivo para enviar o orçamento confidencial do lançamento.
• Um responsável por operações cuidando do atendimento: elabore uma resposta a partir de uma situação fictícia e da política de atendimento aprovada. Mantenha o registro do cliente no sistema de atendimento, a menos que um fluxo específico permita seu uso na ferramenta.
• Um gerente de contas de agência: avise o revisor interno de que a IA ajudou a redigir o relatório do cliente. Consulte o contrato antes de processar materiais do cliente ou decidir como informar o uso de IA na entrega.
• Um desenvolvedor: use apenas um fluxo de programação aprovado para os dados do repositório. Revise as alterações e execute as verificações habituais do projeto. A permissão para escrever uma versão preliminar do código não autoriza o assistente a colocá-lo em produção.

Quem está pesquisando um assunto público dentro das regras aprovadas pode continuar trabalhando. Quem está prestes a conectar a pasta compartilhada de clientes deve perguntar antes. A política precisa deixar essa diferença clara.

Apresente a política de uso de IA à equipe em 20 minutos

Use uma reunião curta para praticar as decisões que a equipe encontrará no trabalho. A pauta abaixo propõe um formato de 20 minutos; isso não significa que contratar contas, revisar contratos e configurar acessos leve esse tempo.

Antes da reunião, o responsável preenche a política, confirma as contas aprovadas, indica um contato substituto e publica a lista de contas. O administrador verifica os acessos e as configurações pertinentes de compartilhamento de dados. Os gestores definem quem revisa o trabalho destinado a clientes e aquele que pode ter consequências relevantes.

1. 1

   5 minutos: explique as regras

   Apresente a política e diga o que a equipe já pode fazer. Mostre a lista de dados proibidos e identifique quem pode aprovar um uso ainda não previsto. Compare um parágrafo público sobre um produto com uma exportação de dados de clientes para tornar o limite concreto.

2. 2

   5 minutos: confirme as contas

   Peça que todos localizem o espaço de trabalho ou serviço aprovado da empresa. Mostre onde consultar a lista aprovada. Registre os problemas de acesso para resolvê-los depois; oriente quem ainda não tem acesso a aguardar para executar tarefas que dependam daquela conta.

3. 3

   7 minutos: pratique as decisões

   Percorra três casos: um comunicado público, uma reclamação de cliente e uma exportação da folha de pagamento. Pergunte o que pode ser usado, o que precisa ser removido ou ficar de fora e quem confere o resultado. Nesta política básica, a exportação da folha de pagamento fica de fora. Demonstre um prompt com dados fictícios.

4. 4

   3 minutos: confirme responsabilidades e comunicação de problemas

   Peça que cada pessoa confirme ter tomado ciência da política e localize o contato para dúvidas e incidentes. Confirme quem revisa seu trabalho habitual. Explique que comunicar um erro rapidamente ajuda a conter o problema; escondê-lo dificulta a resposta.

Depois da primeira semana, analise as dúvidas que surgiram. Corrija trechos ambíguos, remova aprovações sem uso e acrescente bons exemplos. Mantenha a revisão trimestral prevista e retome a política sempre que uma nova integração ou um novo fluxo de trabalho mudar os dados que o assistente pode acessar ou as ações que pode executar.

O que uma política de uso aceitável de IA não resolve sozinha?

Uma política assinada não configura contas, revoga conectores nem impede envios automáticos. Designe alguém para alinhar as configurações e permissões ao que está escrito no documento.

Os compromissos com dados empresariais também são mais limitados do que uma promessa de “segurança para qualquer uso”. Treinamento, armazenamento, acesso, serviços de terceiros e sua autorização para compartilhar o material são questões distintas. Planos empresariais são um bom ponto de partida, seguido da aprovação para a tarefa concreta.

Evite medir o uso aceitável pela quantidade de texto que a IA escreveu. Um rascunho com informações públicas feito com bastante ajuda de IA pode ser adequado após uma revisão cuidadosa; um prompt curto que contenha um segredo pode violar a política de imediato. Avalie os dados, a ação e quem se responsabiliza por ela.

Perguntas frequentes

O que é a regra dos 30% no uso de IA?

Esta política não adota uma cota de 30%. A porcentagem de texto escrito por IA não determina se os dados de clientes podem ser compartilhados nem se o resultado está correto. Use os critérios de conta aprovada, dados permitidos e revisão humana.

Quais são alguns usos aceitáveis de IA?

Alguns exemplos são levantar ideias com informações públicas, redigir rascunhos a partir de materiais internos permitidos e resumir documentos aprovados para aquela conta. Uma pessoa responsável deve conferir o resultado antes de usá-lo.

Quanto uso de IA é aceitável?

Tanto quanto a tarefa aprovada permitir e uma pessoa conseguir verificar com responsabilidade. Pare quando os dados forem proibidos, a ação não estiver autorizada ou ninguém puder avaliar o resultado.

Qual é um exemplo de política de uso aceitável?

“Use as contas de IA aprovadas da empresa para trabalhos permitidos, mantenha os dados restritos de fora e confira cada resultado antes de se basear nele ou compartilhá-lo.” O modelo acima acrescenta as regras sobre o responsável, a transparência e a comunicação de problemas necessárias para aplicar essa orientação.

O que a política de uso aceitável proíbe?

O modelo proíbe credenciais e os demais registros sensíveis listados, o envio não autorizado de dados de clientes, usos enganosos ou discriminatórios e ações autônomas com consequências relevantes fora de um processo aprovado separadamente. O fato de uma ferramenta estar na lista não elimina essas restrições.

Quais são as cinco orientações mais comuns em políticas de uso aceitável?

Não adotamos aqui um ranking universal. Para esta política de pequenas empresas, priorize cinco orientações: usar contas aprovadas, proteger os dados, revisar os resultados, informar adequadamente a participação relevante da IA e comunicar problemas sem demora.

Quais são os três elementos essenciais de uma política de uso aceitável eficaz?

Usos permitidos bem definidos, limites específicos para os dados e uma pessoa responsável pela revisão ou pelo encaminhamento de dúvidas e problemas. Os funcionários devem conseguir aplicar cada elemento a uma tarefa que executam.

Você pode dar um exemplo de regra de uma política?

Uma regra prática seria: “Históricos de reclamações de clientes só podem ser enviados a uma ferramenta de IA quando o responsável tiver aprovado a tarefa, a conta e os dados; caso contrário, use um exemplo fictício.” Copie o modelo completo acima para incluir as demais regras.

Como obter um modelo em PDF de política de uso aceitável de TI?

Para criar um documento específico de IA, copie o modelo acima para seu editor de texto, preencha os campos entre colchetes e exporte em PDF. Ele trata do uso de IA e deve complementar a política mais ampla de TI sobre dispositivos, e-mail, acesso e segurança.

Para conhecer formas práticas de usar IA em uma pequena empresa, assine a newsletter.