Política de uso de IA na empresa: o que dizer e um modelo

Sua equipe já usa inteligência artificial, você saiba ou não. Alguém do administrativo pede ao ChatGPT um lembrete de pagamento, alguém de vendas cola uma proposta no Gemini para melhorá-la e alguém do RH resume um currículo com o Copilot. Uma política de uso de IA não está aí para frear isso: serve para que o trabalho saia rápido e sem que os dados dos seus clientes parem onde não deveriam.

Este guia explica o que essa política deve dizer, por que cada ponto está lá, onde ele se apoia na lei brasileira e como colocá-la em prática. O modelo está mais abaixo, pronto para copiar e adaptar.

Por que sua empresa precisa de uma política de uso de IA

Nenhuma lei brasileira pede uma “política de IA” com esse nome. O que a Lei Geral de Proteção de Dados (Lei 13.709/2018), lida hoje no texto da Câmara dos Deputados, pede são duas coisas que uma política resolve de uma vez.

A primeira está no art. 46: os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. Uma regra escrita sobre o que se cola em um chat é, a nosso ver, justamente uma medida administrativa. E o art. 6, X, fala em responsabilização e prestação de contas: demonstrar a adoção de medidas eficazes. Quem tem a política assinada demonstra com um papel.

A segunda está no art. 47: quem intervém em qualquer fase do tratamento se obriga a garantir a segurança da informação, mesmo após o término do tratamento. Uma política que cada funcionário lê e assina é a forma mais simples de deixar isso registrado. O art. 50 ainda prevê que controladores e operadores formulem regras de boas práticas e de governança, com normas de segurança, ações educativas e mecanismos internos de supervisão. Se quiser o panorama completo, ele está no guia de LGPD e inteligência artificial.

Se a empresa é um escritório de advocacia, há um motivo a mais. A Recomendação 001/2024 do Conselho Federal da OAB, sobre o uso de IA generativa na prática jurídica, diz no item 3.6 que sócios e gestores devem garantir a supervisão do uso da IA por associados, estagiários e assistentes, estabelecendo políticas claras sobre cibersegurança e o uso permitido de IA no escritório, oferecendo treinamento adequado e monitorando o cumprimento das normas.

Modelo de política de uso de IA, para copiar

Foi pensado para um escritório, uma contabilidade, uma agência ou uma empresa de menos de cinquenta pessoas. Troque o que está entre colchetes e apague o que não se aplica. Uma regra que ninguém vai cumprir é melhor não escrever.

POLÍTICA DE USO DE INTELIGÊNCIA ARTIFICIAL
[Nome da empresa] · versão [1] · [data]

1. FERRAMENTAS AUTORIZADAS
Somente estas, com a conta da empresa:
· [ferramenta], aprovada em [data].
Nenhuma conta pessoal para assuntos de trabalho.
Uma ferramenta nova só entra se [nome] aprovar, e é
acrescentada aqui com a data.

2. DADOS QUE NUNCA SÃO COLADOS
Em nenhuma ferramenta de IA, esteja ou não na lista:
· nome, CPF, CNPJ, e-mail, telefone ou endereço de
  clientes, fornecedores ou funcionários;
· número de conta, agência, chave Pix ou dados de
  cartão;
· dados de saúde, mesmo sem nome;
· senhas, chaves de acesso e certificado digital.

3. ANTES DE COLAR
Todo texto com dados de pessoas é colado com os dados
ocultados, trocados por etiquetas como [CLIENTE_1] ou
[FUNCIONARIO_1]. Se não der para ocultá-los, o texto
não é colado.

4. REVISÃO HUMANA
O que a IA escrever é lido por inteiro e conferido por
quem assina ou envia. A IA não decide sobre
contratação, demissão, crédito ou cobrança.

5. SE ALGO DER ERRADO
Responsável: [nome e ramal].
Se um dado do ponto 2 chegar a uma ferramenta por
engano, avise no mesmo dia, antes de apagar qualquer
coisa.

6. REVISÃO DESTA POLÍTICA
A cada [doze] meses e sempre que entrar uma ferramenta
nova ou mudarem as condições de uma aprovada.

Li esta política, vou cumpri-la e guardarei sigilo
sobre os dados que tratar na empresa, também depois de
deixar de trabalhar aqui.
Nome, data e assinatura: ___________________________

A última frase não é enfeite: ela registra o que o art. 47 da LGPD pede, uma obrigação de segurança que continua mesmo depois que o trabalho termina.

Quais ferramentas sim: lista curta e conta da empresa

O ponto 1 é uma lista fechada: o que não está nela não se usa. Parece rígido, mas evita discutir toda semana se a extensão que alguém achou serve ou não. Decide-se uma vez, anota-se a data e revisa-se quando algo muda.

A conta importa tanto quanto a ferramenta. Na conta pessoal, as condições são aceitas pelo funcionário, o histórico vai embora com ele e, conforme o plano, o que ele escreve pode ser usado para treinar o modelo. Com a conta da empresa, você sabe o que aceitou. Antes de aprovar uma ferramenta, leia o que o ChatGPT faz com seus dados ou o guia da que você vai usar.

Cada ferramenta trata os dados de um jeito:

• O que o Claude faz com os seus dados
• O que o Copilot faz com os seus dados
• O que o Gemini faz com os seus dados

Quais dados nunca: uma lista que se entende sem pensar

O ponto 2 nomeia dados concretos, não categorias abstratas, porque “informação confidencial” se interpreta e “CPF” não. No fechamento do mês ninguém para para classificar campos.

A lista segue o que a LGPD considera dado pessoal: a informação relacionada a pessoa natural identificada ou identificável (art. 5, I). Os dados de saúde ficam à parte porque são sensíveis (art. 5, II), com hipóteses próprias de tratamento no art. 11. Se tiver dúvida sobre quais entram aí, veja dados sensíveis na LGPD.

Ajuste a lista ao seu ramo. Na contabilidade, ela seria encabeçada por extratos, folhas de pagamento e certificado digital. No RH, por holerites, atestados e dados de candidatos, como explica o guia de IA para RH.

Ocultar antes de colar: a regra que torna o resto possível

Uma política que só proíbe convida a driblá-la em silêncio. O ponto 3 oferece a saída: quase qualquer consulta funciona igual com os dados trocados por etiquetas. Para redigir um lembrete de cobrança, a IA precisa do valor e da data de vencimento, não do nome do cliente.

Fazer à mão serve para um e-mail, mas não para vinte por dia. Para isso existe a Nonimo, um app para Windows e Mac, com extensão para o navegador, que no seu computador troca por marcadores nomes, e-mails, CPF, CNPJ e telefones com +55 (e data de nascimento e endereço, quando vêm com rótulo). Você seleciona o texto, aperta uma tecla e cola no ChatGPT, no Claude, no Gemini ou no Copilot. Quando copia a resposta, os dados voltam ao lugar. Um exemplo, rodado no motor da Nonimo:

Antes:
Redija um lembrete de pagamento cordial para o cliente Nuria Solé Domènech, CNPJ 12.ABC.345/01DE-35, e-mail cliente@example.com, com a fatura de outubro vencida há dez dias.

Depois:
Redija um lembrete de pagamento cordial para o cliente [PESSOA_1], CNPJ [CNPJ_1], e-mail [E-MAIL_1], com a fatura de outubro vencida há dez dias.

Assim o ponto 3 deixa de depender da memória de cada um. O que é próprio do caso, como o número do RG ou de um contrato, a pessoa troca à mão por uma etiqueta. E se o que precisa ser processado é um arquivo inteiro, as ferramentas da Nonimo trocam os dados de um PDF ou de um documento e devolvem o arquivo pronto.

O que significa, tecnicamente, tirar a identidade de um dado está em pseudonimização e anonimização.

Antes de compartilhar o documento revisado, tire o controle de alterações: veja como tirar o controle de alterações do Word.

Revisão humana: quem assina, revisa

O ponto 4 tem duas partes. A primeira é de qualidade: a IA erra com aplomo, inventa artigos de lei e arredonda números. Quem assina um documento responde por ele, tenha sido escrito por uma pessoa ou por um chat.

A segunda é de direitos. O art. 20 da LGPD dá ao titular o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, inclusive as que definem o perfil pessoal, profissional, de consumo e de crédito. Deixar que uma pessoa decida sobre uma contratação ou um crédito afasta você dessa situação.

E se o que a pessoa perdeu foi o documento dela, e não um dado colado, veja perdi ou roubaram meu RG.

Se um dado sair por engano

O ponto 5 pede um nome e um ramal, não um comitê. Em uma empresa pequena, o primeiro telefonema tem de ir para alguém que esteja na empresa.

O “antes de apagar qualquer coisa” está ali de propósito: primeiro se anota o que saiu e quem é afetado, depois se apaga. Se o incidente puder acarretar risco ou dano relevante aos titulares, o art. 48 da LGPD manda o controlador comunicar a ANPD e o titular, e a página da ANPD sobre o tema, lida hoje, aponta o prazo de três dias úteis da Resolução CD/ANPD 15/2024 (arts. 6 e 9). O passo a passo está em incidente de segurança na LGPD.

A política e a CLT

A CLT não menciona inteligência artificial, então o que segue é leitura nossa. O art. 2 define o empregador como quem “dirige a prestação pessoal de serviços”, e é nesse poder de direção que uma regra sobre como usar as ferramentas de trabalho se apoia. O art. 482 lista as hipóteses de justa causa, entre elas a violação de segredo da empresa (alínea g) e o ato de indisciplina ou de insubordinação (alínea h).

Cada caso depende dos fatos, e, se alguém descumprir a regra, o caminho é conversar com o RH ou com o advogado trabalhista da empresa. O que a política faz é dar a todos, por escrito e antes de qualquer problema, a regra do jogo, com a assinatura de cada um e a data.

Quando o marco legal da IA virar lei, a política pode precisar de ajuste: veja em que pé está o PL 2338/2023.

Como colocá-la em prática em uma semana

1. Escolha as ferramentas. Uma ou duas, com conta da empresa. Leia as condições de privacidade antes de aprová-las.
2. Ajuste a lista do ponto 2 aos documentos do seu ramo. Em uma corretora de seguros, por exemplo, entram o nome, o CPF e a data de nascimento do segurado.
3. Instale o que for preciso para ocultar nos computadores de quem trabalha com dados de clientes, para que o ponto 3 se cumpra sem esforço.
4. Explique em uma reunião curta, com exemplos reais do escritório e os dados já ocultados.
5. Recolha as assinaturas e guarde-as com a versão e a data. Essa folha é a prova que pedem no questionário de segurança sobre IA.
6. Revise sua política de privacidade, porque a política de uso diz o que acontece por dentro, e a de privacidade conta ao cliente o que você faz com os dados dele. Está em política de privacidade e IA.

Se sua empresa presta serviços profissionais, a política tem uma peça gêmea voltada para fora: a cláusula de IA no contrato de honorários, que conta ao cliente como você trabalha.

E se for um escritório de advocacia, a política também é o seu jeito de cuidar do sigilo profissional do advogado ao usar IA.

Para o caso de um incidente, veja também o que cobre o seguro cibernético.

Fontes

Todas consultadas em 17 de outubro de 2026.

• Câmara dos Deputados, Lei 13.709/2018 (LGPD), publicação original: arts. 5, 6, 11, 46, 47, 48 e 50.
• Câmara dos Deputados, Lei 13.853/2019: redação do art. 20.
• Câmara dos Deputados, Decreto-Lei 5.452/1943 (CLT), texto atualizado: arts. 2 e 482.
• ANPD, Comunicado de incidente de segurança: Resolução CD/ANPD 15/2024.
• OAB, Recomendação 001/2024 do Conselho Federal: item 3.6.