Política de uso de IA: o que fazer quando metade do time já usa sem avisar
Uma política de uso de IA é o documento que diz, para toda a empresa, quais ferramentas de inteligência artificial são permitidas, com quais dados, para quais tarefas e quem responde quando algo dá errado. Ela deixou de ser item de maturidade avançada e virou urgência: uma pesquisa da Abiacom divulgada em 2026 apontou que 47,4% dos profissionais brasileiros já usam ferramentas de IA no trabalho sem aprovação da empresa — o chamado “shadow AI”.
Para a empresa de médio porte, isso muda a pergunta. Não é mais “se” adotar IA — o time já adotou. A pergunta é se esse uso vai acontecer dentro de uma regra que a empresa escreveu ou fora dela, com dado de cliente sendo colado numa ferramenta gratuita, sem registro e sem contrato. Este artigo descreve como montar uma política de uso de IA em quatro passos, sem área de compliance dedicada.
Principais aprendizados
- Shadow AI não é indisciplina do time — é sinal de que a empresa não deu uma regra nem uma ferramenta aprovada. Quase metade dos profissionais brasileiros já usa IA no trabalho sem aval formal (Abiacom, 2026).
- Uma política de uso de IA precisa responder quatro coisas: quais ferramentas são permitidas, quais dados podem entrar nelas, para quais tarefas, e quem continua responsável pela entrega.
- Proibir sem oferecer alternativa aprovada empurra o uso para mais longe da vista. Toda proibição de ferramenta precisa vir acompanhada de uma opção contratada que resolva a mesma necessidade.
- A política que funciona cabe em uma página. Documento jurídico de doze páginas não é lido — e regra não lida não governa nada.
- Esperar o marco legal da IA para ter política interna é um erro de calendário: a votação do PL 2338 foi adiada para depois das eleições de outubro de 2026, e a ANPD já fiscaliza uso de IA pelas competências da LGPD.
Por que shadow AI é problema de governança, não de disciplina
O Brasil está à frente da média global em adoção declarada de IA. O EY Sentiment Index, divulgado em maio de 2026, colocou a amostra brasileira em 95% de uso da tecnologia, contra 85% da média mundial. Um levantamento citado pela Mind Group em julho de 2026 mostra 48% das empresas brasileiras com mais de 50 funcionários usando IA generativa em ao menos um processo — e o setor financeiro na ponta, com 67%.
O problema não é a adoção. É a distância entre o uso real e a regra formal. Quando 47,4% dos profissionais usam IA sem aprovação, o que existe na prática é uma frota de ferramentas não contratadas processando informação da empresa: proposta comercial, dado de cliente, número de fechamento, currículo de candidato. Cada colagem dessas em uma ferramenta gratuita é uma transferência de dado para um terceiro sem base legal definida — exatamente o tipo de exposição que a LGPD trata como incidente.
O instinto de muitos gestores é bloquear. Bloqueio puro não funciona: ele não elimina a necessidade que levou a pessoa a usar a ferramenta, só tira o uso do campo de visão da empresa. A pessoa passa a usar no celular, na conta pessoal, fora da rede corporativa — e aí não há log, não há política, não há como responder a uma auditoria. Governança de IA começa reconhecendo que o uso já existe e trazendo ele para dentro de uma regra, não fingindo que dá para voltar atrás.
O que uma política de uso de IA precisa responder
Uma política de uso de IA útil responde quatro perguntas concretas, em linguagem que qualquer pessoa da operação entende:
Quais ferramentas são permitidas. Uma lista curta e nominal — não “ferramentas de IA de fornecedores confiáveis”, mas os nomes dos produtos aprovados, com a versão (gratuita, paga, empresarial) e para que grupo. O que não está na lista não está liberado, e a lista tem um dono que a atualiza.
Quais dados podem entrar nelas. Aqui basta uma classificação de três níveis: informação pública (pode), informação interna não sensível (pode nas ferramentas com contrato), e informação restrita — dado pessoal, financeiro, contrato, segredo de negócio (não entra em ferramenta de IA sem avaliação específica). Não é preciso um projeto de data governance para escrever essas três linhas.
Para quais tarefas. Onde o uso é encorajado (rascunho, resumo, reorganização de texto que a empresa já tem), onde exige revisão humana antes de sair (qualquer coisa que vai para cliente, para o jurídico ou para número oficial), e onde é proibido (decisão sobre pessoas, comunicação regulatória sem conferência, código em produção sem revisão).
Quem responde. A regra mais importante e a mais curta: quem assina a entrega continua responsável por ela. A IA não é autora, não é revisora e não divide a responsabilidade. Se o material saiu com erro, a resposta não é “a ferramenta errou”.
Como montar a política em quatro passos sem time de compliance
Passo 1 — Enxergar o uso real. Duas semanas de um formulário anônimo perguntando quais ferramentas de IA a pessoa usa, para quê e com que frequência. Anônimo de verdade, porque o objetivo é mapear, não punir. Sem esse mapa, a política vai proibir o que ninguém usa e liberar o que ninguém precisa.
Passo 2 — Classificar os dados em três níveis. Público, interno, restrito. Uma reunião de uma hora com quem conhece os processos críticos resolve a primeira versão. Essa classificação serve para muito além da IA, mas a IA é um bom motivo para finalmente fazê-la.
Passo 3 — Escrever uma página, não um manual. A política inteira cabe em uma página: a lista de ferramentas, os três níveis de dado, a tabela de tarefas permitidas e a frase sobre responsabilidade. Se passar disso, ninguém lê, e a empresa volta a depender da sorte.
Passo 4 — Dar uma alternativa aprovada. Para cada ferramenta que a política tira da mesa, é preciso colocar outra no lugar — a versão empresarial com contrato, uma conta paga com os controles ligados, um assistente interno. Proibir a ferramenta gratuita sem oferecer substituto é a receita mais confiável para manter o shadow AI vivo.
O erro mais comum: tratar a política como documento jurídico
A tentação, sobretudo em empresa que já passou por auditoria de outra natureza, é encomendar um documento longo, com definições, considerandos e anexos. Já vi esse caminho em uma operadora de telecom e em uma indústria: a política ficou tecnicamente completa, foi aprovada em comitê e nunca chegou à operação. O time continuou fazendo o que fazia, agora com um PDF de doze páginas que ninguém tinha lido para provar o contrário.
Trabalho com IA conversacional aplicada a atendimento desde 2011, antes de a expressão “inteligência artificial” virar assunto de reunião de diretoria. Em mais de 30 anos de carreira em tecnologia, a regra que se sustenta é sempre a curta — a que a pessoa consegue lembrar no momento em que está prestes a colar um texto numa ferramenta. Política de uso de IA é regra de comportamento, e regra de comportamento compete com a pressa. Se ela não couber na cabeça, perde para a pressa toda vez.
Também não vale esperar o marco legal. A votação final do PL 2338/2023 foi adiada, segundo o relator na Câmara, para depois das eleições de outubro de 2026 — um texto que já tinha sido aprovado no Senado em dezembro de 2024. Enquanto o Congresso não decide, a ANPD já fiscaliza uso de inteligência artificial pelas competências da LGPD, sem esperar lei nova. A política interna não depende do marco legal para existir, e a empresa que espera a lei para escrever a sua vai chegar atrasada nas duas coisas.
Onde a política de uso de IA se conecta com o resto da governança
A política de uso é a camada de base: ela cobre o uso individual, do dia a dia, feito por pessoas em ferramentas de propósito geral. Ela não cobre — e não deveria tentar cobrir — os sistemas de IA que a empresa constrói ou contrata para operar sozinhos. Isso é outro assunto, com outro nível de exigência: definir o que um agente de IA decide sozinho, com quais dados e até qual limite antes de dar autonomia a ele.
As duas camadas se apoiam. Uma empresa que não conseguiu escrever uma página sobre o uso individual de IA não tem base para governar um agente autônomo. E uma empresa que trata as duas como o mesmo documento acaba com uma política longa demais para o uso individual e curta demais para o sistema autônomo. Separar as duas é o que mantém cada uma no tamanho certo.
Qual a diferença entre política de uso de IA e política de segurança da informação?
A política de segurança da informação trata de acesso, senha, classificação de dado e resposta a incidente de forma geral. A política de uso de IA é mais específica: define quais ferramentas de inteligência artificial são permitidas, o que pode ser inserido nelas e para quais tarefas. Ela costuma referenciar a classificação de dados da política de segurança, mas existe separada porque o risco — transferir informação para um modelo de terceiro — é diferente do risco de acesso indevido.
Uma empresa de médio porte precisa mesmo de uma política de uso de IA?
Sim, e provavelmente com mais urgência do que uma empresa grande, que já tem área de compliance para conter o problema. Se quase metade dos profissionais brasileiros usa IA sem aprovação, a empresa de médio porte já tem shadow AI acontecendo hoje. A política não precisa ser sofisticada: uma página com lista de ferramentas, três níveis de dado e a regra de responsabilidade já muda o cenário.
O que fazer com quem já usou IA de forma não aprovada antes da política existir?
Nada de punitivo. O uso aconteceu porque não havia regra nem alternativa — a responsabilidade é da empresa, não da pessoa. O passo correto é comunicar a política nova, oferecer a ferramenta aprovada e deixar claro a partir de quando a regra vale. Punir uso anterior a uma regra que não existia só garante que o próximo mapeamento venha vazio.
Quanto tempo leva para montar uma política de uso de IA?
A primeira versão útil leva de duas a quatro semanas: duas semanas para o mapeamento anônimo do uso real e mais uma ou duas para classificar dados, escrever a página e definir as ferramentas aprovadas. É um documento vivo — revisado a cada trimestre à medida que novas ferramentas entram e o uso muda —, não um projeto com data de encerramento.
A HAIA ajuda empresas de médio porte a sair do shadow AI para uma política de uso de IA que a operação lê e segue — mapeamento do uso real, classificação de dados em três níveis e a regra de uma página, sem depender de um time de compliance dedicado. Fale com a HAIA para um diagnóstico do uso de IA na sua empresa.
