Na coluna anterior, mostrei um número que deveria incomodar qualquer liderança: 87% das empresas brasileiras ainda não têm política formal de governança de Inteligência Artificial, mesmo com a maioria dos trabalhadores já usando essas ferramentas todos os dias. Hoje quero descer para o que, de fato, precisa entrar nesse documento, porque “ter uma política” virou frase de efeito que qualquer empresa repete, sem necessariamente ter feito o trabalho por trás dela.
Vale entender por que isso deixou de ser boa prática e virou risco regulatório concreto. O poder de suspender o tratamento de dados de uma empresa está na LGPD desde 2019. O que mudou é a capacidade de usá-lo: entre setembro de 2025 e 2026, a ANPD virou agência reguladora, com orçamento próprio e carreira própria. Em dezembro, publicou o Mapa de Temas Prioritários 2026-2027 e colocou Inteligência Artificial como um dos quatro eixos centrais de fiscalização, com 20 ações previstas.
E não é só no papel. Em 2024, a ANPD suspendeu a política de privacidade da Meta no Brasil, que usava publicações de usuários para treinar IA generativa, afetando cerca de 102 milhões de pessoas.
Se acontece com uma empresa desse tamanho, quantas empresas brasileiras fazem algo parecido sem saber, todo dia, ao colar dado de cliente numa IA aberta?
Diante disso, a pergunta que toda diretoria deveria estar fazendo não é mais “precisamos de uma política de uso de IA?”. É “o que precisa estar dentro dela para que funcione de verdade?”. E aqui vão os pontos que, na minha experiência estruturando esse tipo de documento para empresas, realmente fazem diferença.
O primeiro é definir, com clareza, o que pode e o que não pode ser inserido em qualquer ferramenta de IA, seja ela aprovada ou não. Dado de cliente, cláusula contratual, informação financeira não pública, código proprietário: cada categoria precisa de uma regra explícita, não de uma frase genérica como “use com responsabilidade”, que não orienta ninguém na prática.
O segundo é listar, por nome, quais ferramentas estão autorizadas e em qual plano. Existe diferença enorme entre a versão gratuita de uma IA generativa, cujos termos costumam permitir retenção e uso do conteúdo para treinamento, e a versão corporativa da mesma ferramenta, que normalmente vem com contrato específico sobre propriedade e uso dos dados. Uma política que não faz essa distinção está, na prática, tratando as duas como iguais, quando não são.
O terceiro é definir quem aprova o uso de uma ferramenta nova, antes que ela entre em operação. Sem esse fluxo, qualquer área da empresa continua livre para adotar o que quiser, e a política vira apenas um documento arquivado, sem força nenhuma sobre o comportamento real das pessoas.
O quarto é estabelecer o que acontece quando alguém descumpre a política. Não como punição pela punição, mas porque uma regra sem consequência definida tende a ser tratada como sugestão.
O quinto, e talvez o mais esquecido, é revisar a política com regularidade. O mercado de ferramentas de IA muda rápido, e uma política publicada há um ano provavelmente já não cobre metade das ferramentas que circulam hoje dentro da empresa.
O sexto ponto é o que mais falha na prática, mesmo em empresas que já escreveram um documento bem-feito: treinar as equipes para que a política seja entendida, não apenas assinada. Um documento de dez páginas, distribuído por e-mail e nunca mais mencionado, tem o mesmo efeito prático de não existir. Funciona melhor uma sessão curta, com exemplos reais do dia a dia daquela empresa específica, mostrando o que pode e o que não pode, do que qualquer texto jurídico bem escrito e mal comunicado.
Nenhum desses seis pontos exige conhecimento técnico profundo. Exige, sim, alguém disposto a sentar, mapear o que já está acontecendo dentro da empresa, e transformar isso em regra clara, antes que a regra seja escrita por um órgão fiscalizador depois de um incidente.
Fica, então, o convite direto: pegue a política de uso de IA da sua empresa, se ela existir, e confira se ela responde às seis perguntas acima. Se ela não existir, talvez esta coluna seja o empurrão que faltava para começar a escrever a primeira versão ainda esta semana.
(*) Alcir Nantes Abuchaim é CEO da i4t (Intelligence for Transformation), empresa sul-mato-grossense de arquitetura de inteligência corporativa. Siga nas Redes Sociais @i4t.ai