Política de uso de IA generativa: o que incluir para proteger dados na empresa

Em muitas empresas, a IA generativa chegou antes de qualquer regra. O comercial começou a usar um assistente para redigir propostas, o RH testou uma ferramenta para resumir currículos e alguém da TI instalou uma extensão que sugere código. Quando a liderança percebe, dados de clientes, colaboradores e contratos já estão circulando por ferramentas que ninguém avaliou.

Proibir tudo raramente funciona. As pessoas continuam usando as ferramentas, só que sem avisar ninguém. Liberar tudo também não é uma opção quando há dados pessoais envolvidos. O caminho que costuma dar certo é uma política de uso de IA que diga com clareza o que pode, o que não pode e a quem perguntar quando surgir uma dúvida.

Este guia mostra o que essa política precisa conter para proteger dados pessoais e informações da empresa, como escrevê-la de um jeito que as pessoas consigam seguir e como mantê-la atualizada quando as ferramentas mudarem, o que acontece com frequência.

Quando um colaborador cola em um chat de IA a lista de clientes inadimplentes para pedir ajuda com um e-mail de cobrança, a empresa está tratando dados pessoais. Para a LGPD, tratamento é praticamente qualquer operação feita com esses dados, incluindo acesso, transmissão, processamento e armazenamento (art. 5º, X). O fato de a ferramenta ser prática ou gratuita não muda essa conclusão.

Os riscos aparecem em pontos bem concretos. Dependendo do plano contratado, o fornecedor pode usar o que foi digitado para melhorar os próprios modelos. Os dados podem ser processados fora do Brasil. O histórico pode ficar guardado em uma conta pessoal que a empresa não controla. E a resposta gerada pode estar errada e, mesmo assim, ser usada em uma decisão sobre alguém.

Uma política bem feita não resolve todos esses pontos sozinha, mas cria previsibilidade. As pessoas passam a saber quais ferramentas estão liberadas, que tipo de informação pode entrar em cada uma e o que fazer diante de um caso novo. Para o encarregado, ela também vira a referência para aprovar ferramentas e responder a perguntas de clientes e parceiros.

A LGPD não tem um capítulo sobre inteligência artificial, mas vários pontos da lei se aplicam diretamente ao uso dessas ferramentas. Conhecê-los antes de escrever a política ajuda a explicar o porquê de cada regra.

Os princípios do art. 6º pedem que os dados sejam usados para propósitos legítimos e informados ao titular e que o tratamento fique limitado ao mínimo necessário. Se o objetivo é melhorar a redação de uma resposta a um cliente, o nome, o CPF e o histórico de compras dele provavelmente não precisam ir para a ferramenta. Esse raciocínio simples resolve boa parte dos casos do dia a dia.

O art. 46 exige medidas de segurança técnicas e administrativas para proteger os dados pessoais. Quando uma ferramenta externa recebe dados da empresa, o fornecedor passa a fazer parte dessa cadeia. Dependendo do contrato e do uso que ele faz das informações, pode atuar como operador, tratando os dados em nome da empresa, ou usar parte deles para finalidades próprias. Essa classificação precisa ser feita caso a caso, a partir dos termos da contratação.

Muitos serviços de IA processam dados em servidores fora do país. Quando isso acontece, há transferência internacional, que só é permitida nas hipóteses do art. 33 da LGPD. As cláusulas-padrão contratuais aprovadas pela ANPD na Resolução CD/ANPD nº 19/2024 são um dos mecanismos possíveis. Para países da União Europeia e do Espaço Econômico Europeu, o reconhecimento mútuo de adequação entre Brasil e UE, formalizado pela ANPD em janeiro de 2026 (Resolução CD/ANPD nº 32/2026), simplificou esse fluxo. Para os demais destinos, a análise continua necessária.

O art. 20 garante ao titular o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, como as que definem perfil profissional, de consumo ou de crédito. A empresa também precisa fornecer, quando solicitada, informações claras sobre os critérios e procedimentos usados, respeitados os segredos comercial e industrial. Se a empresa usa IA para triar currículos, classificar clientes ou aprovar cadastros sem intervenção humana, esse direito precisa ter um caminho real de atendimento.

A ANPD também sinalizou que o tema está no radar da fiscalização. Inteligência artificial e tecnologias emergentes formam um dos quatro eixos do Mapa de Temas Prioritários para 2026 e 2027, ao lado de direitos dos titulares, proteção de crianças e adolescentes no ambiente digital e tratamento de dados pelo poder público.

Não existe modelo oficial de política de uso de IA. Os pontos abaixo reúnem o que costuma fazer diferença na prática. A ordem pode mudar, e uma empresa menor pode resolver várias seções em poucas linhas, desde que as regras fiquem claras.

Comece dizendo para que a política existe e a quem ela se aplica: colaboradores, estagiários, terceiros com acesso a sistemas e prestadores que trabalham com informações da empresa. Defina também o que conta como IA generativa para fins do documento. Assistentes de texto, como ChatGPT e Copilot, geradores de imagem, ferramentas que transcrevem e resumem reuniões e extensões de navegador entram nessa lista.

Um ponto costuma ser esquecido: muitos sistemas que a empresa já usa ganharam recursos de IA por atualização, sem nenhuma contratação nova. O editor de textos passou a sugerir resumos, o CRM passou a escrever respostas e a plataforma de reuniões passou a gerar atas. A política precisa alcançar esses recursos também.

A forma mais simples de orientar é manter uma lista de ferramentas aprovadas, indicando para que cada uma pode ser usada e com qual tipo de conta. Uma ferramenta pode estar liberada para textos de marketing com informações públicas e não estar liberada para nada que envolva clientes.

Explique também o caminho para pedir a inclusão de uma ferramenta nova: quem avalia, quais informações o solicitante precisa enviar e em quanto tempo costuma haver resposta. Se esse caminho for lento ou confuso, as pessoas vão usar a ferramenta assim mesmo, só que por fora.

Inclua uma regra sobre contas. O uso para trabalho deve acontecer em contas corporativas, e não em contas pessoais criadas com e-mail particular. Sem isso, a empresa não consegue desativar o acesso nem apagar o histórico de conversas quando alguém muda de área ou deixa a organização.

Esta é a parte mais importante da política. Em vez de uma lista longa de proibições, funciona melhor dividir as informações em faixas e dizer o que vale para cada uma. Uma divisão possível:

A classificação só funciona se vier com exemplos. Diga com todas as letras que colar uma planilha de clientes, um atestado médico escaneado ou o print de uma conversa com dados de alguém conta como inserir dados pessoais, mesmo quando a intenção é só pedir um resumo.

Ferramentas de IA generativa produzem textos convincentes que podem conter erros, referências inexistentes ou conclusões sem base. A política deve deixar claro que quem usa a ferramenta continua responsável pelo resultado. Nenhum conteúdo gerado deve ser enviado a cliente, publicado ou usado em uma decisão sem revisão de alguém que entenda do assunto.

Para decisões que afetam pessoas, como seleção de candidatos, concessão de benefícios ou avaliação de desempenho, a regra precisa ser mais firme. A IA pode apoiar a análise, mas a decisão final e a justificativa devem ser humanas e ficar registradas. Isso conversa diretamente com o direito de revisão previsto no art. 20 da LGPD.

Se a empresa usa IA em algum ponto de contato com clientes, como um atendimento automatizado, ou em tratamentos que afetam titulares, isso precisa aparecer na comunicação com eles. A política interna deve indicar quem decide quando esse uso precisa ser informado e garantir que o aviso de privacidade seja revisado sempre que um uso novo começar.

Antes de aprovar uma ferramenta para uso com dados pessoais, alguém precisa ler os termos da contratação. As perguntas que mais pesam na decisão costumam ser estas:

Essas condições podem variar entre a versão gratuita e os planos corporativos de um mesmo fornecedor. Por isso, a avaliação deve considerar exatamente o plano que será usado. Registre também a data da análise, porque os termos mudam e a avaliação precisa ser refeita de tempos em tempos.

A política deve dizer o que fazer quando alguém inserir em uma ferramenta dados que não deveria. A orientação principal é comunicar rápido pelo canal definido, sem medo de punição automática. O encarregado ou a equipe responsável avalia se houve incidente de segurança com dados pessoais e se é necessário comunicar o incidente à ANPD e aos titulares, conforme a Resolução CD/ANPD nº 15/2024. Esconder o erro quase sempre piora a situação.

Crie também um canal simples para dúvidas. As perguntas das primeiras semanas ajudam a melhorar a política na revisão seguinte.

Defina quem é o dono da política, quem aprova ferramentas novas e com que frequência o documento será revisado. Como as ferramentas mudam muito rápido, uma revisão por ano tende a ser pouco. Uma boa referência é revisar a cada seis meses e também sempre que uma ferramenta relevante for aprovada ou descontinuada. Associe a política a um treinamento curto, com exemplos da própria empresa, para que ela não fique apenas no papel.

Uma política de IA concorre com a praticidade. Se for longa, genérica ou cheia de proibições sem explicação, as pessoas vão ignorá-la.

Escreva para quem usa, não para o auditor. Frases curtas, exemplos reais e um resumo de uma página no início funcionam melhor do que dez páginas de definições. O documento completo pode existir, mas o colaborador precisa encontrar rapidamente a resposta para a pergunta que realmente tem: posso colar isto aqui?

Ofereça alternativas junto com as proibições. Se a regra impede o uso de uma ferramenta gratuita com dados de clientes, indique qual ferramenta pode ser usada no lugar ou como preparar o texto antes de usá-la. Proibir sem oferecer caminho empurra o uso para a informalidade.

Envolva na elaboração as áreas que mais usam IA. Marketing, atendimento, desenvolvimento e RH costumam ter casos de uso muito diferentes, e uma conversa de meia hora com cada uma revela situações que o jurídico e a TI dificilmente imaginariam sozinhos.

Um formato que costuma funcionar é uma versão curta, de uma página, que responde às dúvidas do dia a dia e remete ao documento completo. O exemplo abaixo é um ponto de partida para ser adaptado às ferramentas, aos dados e à estrutura da sua empresa.

Para que serve. Esta política orienta o uso de ferramentas de inteligência artificial generativa por colaboradores, estagiários e prestadores da [empresa]. Ela vale para assistentes de texto, geradores de imagem, ferramentas de transcrição e recursos de IA embutidos nos sistemas que já usamos.

Ferramentas aprovadas. Use apenas as ferramentas da lista publicada em [local], sempre com a conta corporativa. Para pedir a inclusão de uma ferramenta nova, preencha o formulário [nome] e envie para [área]. A resposta sai em até [prazo].

O que pode entrar. Informações públicas e textos internos sem dados pessoais podem ser usados nas ferramentas aprovadas. Dados de clientes, colaboradores ou parceiros só entram nas ferramentas marcadas para esse uso na lista, no mínimo necessário e, sempre que possível, sem identificar ninguém.

O que nunca entra. Dados de saúde e outros dados sensíveis, dados de crianças e adolescentes, dados financeiros de clientes, senhas e credenciais de acesso e documentos confidenciais sem autorização da área responsável.

Revisão das respostas. Quem usa a ferramenta responde pelo resultado. Revise todo conteúdo gerado antes de enviar a clientes, publicar ou usar em uma decisão. Decisões sobre pessoas, como contratação, avaliação de desempenho ou concessão de benefícios, não podem ser tomadas só com base na resposta da ferramenta.

Uso com clientes. Nenhum uso de IA em contato direto com clientes começa sem aprovação de [área], que avalia se ele precisa ser informado no aviso de privacidade.

Se algo der errado. Se você inseriu em uma ferramenta dados que não deveria, avise imediatamente pelo [canal]. A comunicação rápida é tratada como parte da solução, e não como motivo de punição.

Dúvidas e revisão. Dúvidas vão para [canal ou encarregado]. Esta política é revisada a cada seis meses ou sempre que uma ferramenta relevante for aprovada ou descontinuada. Versão [número], aprovada em [data] por [responsável].

Repare que o exemplo não cita artigos de lei nem explica conceitos. Isso fica no documento completo. A versão curta existe para ser lida em poucos minutos e consultada na hora da dúvida, e é ela que vai circular entre as equipes.

Imagine um escritório de contabilidade com 80 colaboradores. A equipe começou a usar um assistente gratuito para redigir e-mails e resumir documentos. Em uma conversa com os gestores, o encarregado descobre que alguns analistas estão colando demonstrativos com nomes e CPFs de sócios de clientes para pedir resumos.

Em vez de proibir a ferramenta, o escritório contrata o plano corporativo de um assistente cujos termos atendem aos critérios definidos, cria contas corporativas para todos e publica uma política de duas páginas. Informações públicas e textos internos podem ser usados na ferramenta aprovada. Dados de clientes só entram depois de removidos nomes, CPFs, números de documentos e qualquer outra informação desnecessária para a tarefa. Folha de pagamento e dados de saúde de colaboradores ficam fora de qualquer ferramenta externa.

O encarregado registra a nova ferramenta no mapeamento de dados, avalia o fornecedor, faz um treinamento de 30 minutos com situações do dia a dia do escritório e marca a revisão da política para seis meses depois. Na revisão, aparecem dois pedidos novos: uma ferramenta de transcrição de reuniões e um recurso de IA que chegou por atualização ao sistema contábil. Os dois passam pelo mesmo fluxo de avaliação.

O exemplo é fictício, mas o padrão se repete em empresas de vários tamanhos. O problema maior raramente é a ferramenta em si. É o uso sem regra, sem conta corporativa e sem registro.

Alguns erros aparecem com frequência quando a política é escrita às pressas:

A política é só uma parte do trabalho. Para que ela funcione, cada uso relevante de IA com dados pessoais precisa aparecer nos registros que a empresa já mantém. Um assistente usado pelo atendimento, por exemplo, deveria constar no mapeamento de dados como parte da atividade de tratamento correspondente, com o fornecedor identificado. Se o uso envolver dados sensíveis, decisões sobre pessoas ou um grande volume de titulares, pode ser o caso de elaborar um relatório de impacto à proteção de dados pessoais (RIPD).

Em uma empresa pequena, esse acompanhamento pode ser feito com documentos e planilhas simples. A dificuldade aparece quando o número de ferramentas cresce, cada área pede aprovações diferentes e a política passa por várias versões em pouco tempo. Fica difícil saber qual versão está valendo, quem aprovou, quais fornecedores foram avaliados e quando cada análise precisa ser refeita.

Na LGPD Cloud, a política de uso de IA pode ser mantida no módulo de Políticas e Normas, cadastrada como política, norma ou procedimento. Cada documento tem responsável, área, status (rascunho, em revisão, aprovado ou obsoleto), versões numeradas com a descrição do que mudou, registro de aprovação e data da próxima revisão. Quando a política muda por causa de uma ferramenta nova, fica claro o que foi alterado e quem aprovou.

Os fornecedores de IA podem passar pelo módulo de Due Diligence. A empresa monta um questionário com as perguntas que considera importantes, como uso de dados para treinamento, retenção e local de processamento, e envia ao fornecedor por link. As respostas e evidências ficam registradas junto com a decisão de aprovar, aprovar com ressalvas ou reprovar e, quando necessário, com um plano de ação e uma data de reavaliação.

Os usos de IA com dados pessoais também podem ser registrados no Mapeamento de Dados, junto às atividades de tratamento em que aparecem, e os casos de maior risco podem ter um RIPD elaborado na própria plataforma. Nada disso substitui a decisão de quem conhece o negócio, mas reduz o trabalho de manter política, fornecedores e revisões conectados.

Uma política de uso de IA generativa não precisa ser longa para funcionar. Ela precisa dizer quais ferramentas estão liberadas, que informações podem entrar em cada uma, quem responde pelos resultados e o que fazer quando algo der errado. O restante vem da rotina: avaliar fornecedores, registrar os usos relevantes e revisar o documento sempre que as ferramentas mudarem.

Como o marco legal da IA ainda está em discussão no Congresso, é provável que novas exigências apareçam nos próximos anos. Empresas que já têm uma política em uso, com responsável e histórico de revisões, vão se adaptar com muito menos esforço do que as que ainda dependem de combinados informais. Para o contexto mais amplo de governança, veja também nosso artigo sobre inteligência artificial e privacidade.

Consulte o texto compilado da LGPD, especialmente os artigos 5º, 6º, 20, 33 e 46, e a ficha de tramitação do PL nº 2.338/2023 na Câmara dos Deputados, que mostra a situação atualizada do marco legal da IA. Para aprofundar a análise de risco dos usos mais sensíveis, veja também o nosso guia avançado do RIPD.