Sua empresa tem política de uso de IA, mas isso não é suficiente. E agora?

Publicação: 21/07/2026 - 15:42

Escrito por: Gabriela Catan

Uma política de uso de IA é o documento que define o que colaboradores podem e não podem fazer com ferramentas de inteligência artificial no ambiente de trabalho. Ela lista os sistemas aprovados, os tipos de dado que não devem ser inseridos em ferramentas externas, as responsabilidades de cada time e as consequências de uso indevido.

A maioria das organizações que levam governança de IA a sério tem uma, embora uma pesquisa de 2025 com colaboradores corporativos tenha identificado que 58% já usaram ao menos uma ferramenta de IA não aprovada pela TI, e desses, 34% inseriram dados de clientes em ferramentas de consumo.

Esses dados descrevem empresas com política e sem sistema para garantir o cumprimento dela. A distinção é o centro do que separa governança de IA declarada de governança de IA que funciona e é o que a Jump, certificada ISO 42001, uma das únicas empresas brasileiras com governança verificada de Inteligência artificial, trabalha para construir com suas clientes.

Este artigo define o que é uma política de uso de IA, por que ela é necessária (mas não suficiente) e o que um sistema de gestão acrescenta. Além disso, apresenta um modelo em cinco cláusulas que servem de ponto de partida para organizações que ainda não têm essa estrutura formalizada.

O que é uma política de uso de IA e por que toda organização precisa de uma

Uma política de uso de IA, também chamada de AI Acceptable Use Policy, é o documento que governa o comportamento de colaboradores, contratados e parceiros em relação ao uso de ferramentas e sistemas de inteligência artificial no contexto organizacional. Ela responde a perguntas que, sem resposta formal, cada pessoa resolve de forma diferente: posso usar o ChatGPT para resumir uma proposta comercial? Posso inserir dados de clientes numa ferramenta de tradução automática? Quando devo declarar que um conteúdo foi gerado por IA?

A ausência de resposta padronizada para essas perguntas não significa que os colaboradores não as respondam, mas que cada um resolve da forma que lhe parecer mais prática.

O resultado disso é o que pesquisas documentam consistentemente: dados sensíveis representam 34,8% dos inputs de colaboradores no ChatGPT em 2025, alta significativa em relação a 11% em 2023, segundo levantamento publicado pela LayerX. Enquanto 67% dos colaboradores colam dados em ferramentas de IA generativa, e 82% dessas ações acontecem via contas pessoais, fora do perímetro corporativo, segundo o mesmo estudo.

A política existe para criar um padrão claro, ela precisa ser específica o suficiente para que um colaborador comum consiga tomar decisões no dia a dia sem precisar consultar o time jurídico, e abrangente o suficiente para cobrir os casos de uso mais relevantes da organização. Do ponto de vista regulatório, a política também é evidência.

O EU AI Act, com obrigações ativas desde 2025 e em expansão até dezembro de 2026, exige que organizações demonstrem governança sobre os sistemas de inteligência artificial que usam em suas operações, incluindo as ferramentas voltadas aos colaboradores. Pesquisa da IBM projeta que 80% das organizações terão formalizado políticas de uso de IA até o final de 2026, em resposta a essa pressão regulatória crescente. Uma AI Acceptable Use Policy é a evidência primária de que a organização definiu critérios de uso aceitável, estabeleceu supervisão e criou mecanismos de responsabilidade.

Por que a política sozinha não resolve?

Apenas 37% das organizações têm processos ativos para detectar ou gerenciar Shadow AI, segundo pesquisa da IBM. Isso significa que 63% das organizações que provavelmente têm políticas de uso de IA não conseguem monitorá-las.

Esse é o limite estrutural de qualquer documento de política: define o que deve ser feito, mas não garante. Políticas impostas como restrições de cima para baixo sobre ferramentas que colaboradores já usam produtivamente geram contornos, não compliance. Ou seja, reconhecem o uso existente e clarificam limites, gerando maior adesão porque abordam o problema que os colaboradores realmente enfrentam.

Acontece que mesmo as melhores políticas precisam de um sistema ao redor delas para funcionar na prática. Um sistema de gestão acrescenta quatro elementos que a política não tem: monitoramento ativo do que está sendo usado e como, mecanismos de resposta quando o comportamento observado diverge do definido, processos de atualização periódica quando novos riscos ou ferramentas surgem, e trilhas de auditoria que comprovam para reguladores e clientes que a política não existe apenas no papel. Sem esses elementos, a política é um artefato de conformidade formal.

A ISO 42001 define exatamente essa estrutura, pois exige que organizações mantenham um inventário de sistemas de IA, documentem processos de avaliação de risco, estabeleçam responsabilidades claras, monitorem continuamente e mantenham registros que sustentem auditorias.

Modelo em 5 cláusulas

O modelo abaixo cobre as cinco cláusulas essenciais de uma política de uso de inteligência artificial corporativa, é adaptável ao porte, setor e nível de maturidade de qualquer organização e cada cláusula deve ser expandida com os detalhes específicos do contexto da empresa.

Cláusula 1: Escopo e definições

Esta política se aplica a todos os colaboradores, contratados, estagiários e prestadores de serviço que utilizem ferramentas, plataformas ou sistemas de inteligência artificial no exercício de suas funções, independentemente do dispositivo utilizado ou da localização de acesso.

Para fins desta política, entende-se por ferramenta de IA qualquer sistema que utilize aprendizado de máquina, processamento de linguagem natural, geração de conteúdo automatizada ou capacidades de análise preditiva. Isso inclui, sem limitação, assistentes de escrita, geradores de imagem, ferramentas de síntese de dados, chatbots e sistemas de recomendação.

Ferramentas aprovadas são aquelas listadas no catálogo interno de aplicações autorizadas, mantido e atualizado pela área de TI / Segurança da Informação. O uso de ferramentas não listadas nesse catálogo requer solicitação formal de aprovação antes do uso.

Cláusula 2: Dados que não podem ser inseridos em ferramentas de IA

É vedada a inserção nas seguintes categorias de dados em qualquer ferramenta de IA não aprovada para esse tipo de dado, mesmo que a ferramenta esteja listada no catálogo de aplicações autorizadas:

Dados pessoais de clientes, colaboradores ou parceiros, conforme definido pela LGPD; informações financeiras não públicas; dados cobertos por acordo de confidencialidade; código-fonte proprietário; estratégias de negócio não divulgadas; e qualquer dado classificado como confidencial ou restrito pela política de classificação de informações da organização.

Para ferramentas aprovadas com tratamento de dados pessoais, o uso está condicionado à existência de acordo.

Cláusula 3: Transparência e atribuição

Conteúdos gerados com auxílio de IA devem ser identificados como tal quando entregues a clientes, parceiros ou em contextos onde a autoria é relevante para a avaliação do conteúdo. A organização segue as obrigações de transparência estabelecidas pelo EU AI Act e pela regulação brasileira aplicável.

Colaboradores são responsáveis por revisar, verificar e validar qualquer conteúdo gerado por IA antes de seu uso em contextos profissionais. A produção de output por um sistema de IA não transfere para o sistema a responsabilidade pelo conteúdo: a responsabilidade permanece com o colaborador que o utilizou e com a organização.

Cláusula 4: Responsabilidades e canais de reporte

A área de Segurança da Informação / Governança de Dados é responsável pela manutenção do catálogo de ferramentas aprovadas, pela avaliação de novas solicitações e pelo monitoramento de uso não autorizado.

Gestores são responsáveis por comunicar esta política às suas equipes, identificar casos de uso de IA nos processos sob sua responsabilidade e reportar riscos observados ao canal designado.

Colaboradores que identificarem uso de IA que possa configurar violação desta política devem reportar pelo canal, sem necessidade de identificação quando o colaborador preferir manter anonimato.

Cláusula 5: Atualização, treinamento e consequências

Esta política será revisada ao menos uma vez por ano, ou sempre que houver mudança significativa no ambiente regulatório, no catálogo de ferramentas ou nos processos organizacionais relevantes.

Todos os colaboradores devem completar o treinamento de uso responsável de IA no momento da contratação e a cada ciclo anual de atualização. A política entrará em vigor para cada colaborador na data de conclusão do treinamento.

O descumprimento desta política poderá resultar em medidas disciplinares proporcionais à gravidade do incidente, incluindo advertência formal, restrição de acesso a ferramentas de IA e, nos casos mais graves, rescisão contratual. Incidentes com potencial impacto regulatório serão comunicados às autoridades competentes conforme exigido pela legislação aplicável.

Onde o Radar AI entra

Uma política bem construída e comunicada resolve o problema da clareza. O Radar AI tem como finalidade o monitoramento contínuo de governança de IA, resolve o problema da visibilidade: o que está sendo usado, por quem, em que contexto e se o comportamento observado está dentro dos limites definidos pela política.

O ciclo completo funciona assim: a política define os limites, o sistema de gestão, estruturado sob a ISO 42001, define os processos que garantem que esses limites sejam verificados e que desvios sejam tratados.

O Radar AI provê a camada de monitoramento contínuo que transforma esses processos em evidência operacional real, com trilhas de auditoria que respondem às exigências do EU AI Act e da regulação brasileira que se aproxima.

Organizações como a Jump que constroem essa estrutura nos três níveis: política, sistema de gestão e monitoramento, chegam a uma auditoria regulatória ou a uma revisão de due diligence com documentação que sustenta a conformidade.

Já as organizações que contam apenas com uma política chegam com intenção documentada e ausência de evidência concretas de cumprimento.

Como o Shadow AI já mostrou repetidamente, não é teórica, mas prática, é ela que determina a capacidade de comprovar uma governança efetiva. Com experiência em governança de IA e certificação ISO 42001, a Jump ajuda empresas a construir essa jornada de ponta a ponta, da definição das políticas ao monitoramento contínuo dos sistemas de inteligência artificial.