Política de uso de IA: o que definir antes de liberar o time

Uma política de uso de IA que funciona cabe em poucas páginas e responde às perguntas que o seu time já está resolvendo sozinho: que ferramenta pode usar, que dado pode colar num chat, quem confere o texto antes de ele chegar ao cliente e quem responde quando o agente erra. As pessoas da sua empresa já usam IA, com ou sem autorização. Proibir empurra esse uso para a conta pessoal no celular, onde a empresa perde a visão do que acontece, e liberar sem regra coloca proposta, contrato e dado pessoal de cliente em ferramentas que ninguém avaliou. A política útil lista as ferramentas aprovadas, classifica os dados em quatro níveis, exige revisão humana antes de qualquer envio externo, mantém um registro dos agentes e tem um dono que a revisa a cada trimestre. Dá para implantar em 30 dias, com o jurídico revisando o texto e o RH colocando o treinamento na rotina.

Na Iasbeck&Co a gente implanta CRM e agentes de IA em operações B2B, e a pergunta sobre regras de uso aparece cedo em quase todo projeto. Escrevi este texto para RH, jurídico e TI, que costumam receber a tarefa de escrever a política, e para as lideranças de vendas, marketing e pós-venda, que vão conviver com ela. O conteúdo é orientação de gestão e não substitui parecer jurídico: a versão final da sua política precisa passar pelo jurídico da empresa.

Por que proibir o uso de ChatGPT na empresa não resolve?

Numa pesquisa do Gartner divulgada em novembro de 2025, feita com 302 líderes de cibersegurança, 69% das organizações disseram suspeitar ou ter evidência de que os funcionários usam ferramentas públicas de IA generativa proibidas pela empresa. No mesmo comunicado, o instituto prevê que, até 2030, mais de 40% das empresas vão ter incidentes de segurança ou de conformidade ligados a esse uso não autorizado, que o mercado chama de shadow AI, e recomenda que os CIOs definam políticas claras de uso para a empresa inteira. O Work Trend Index de 2024 da Microsoft e do LinkedIn, com 31 mil profissionais em 31 países, já mostrava que 78% de quem usava IA no trabalho levava as próprias ferramentas.

Na operação comercial, o vendedor cola a proposta inteira, com preço e desconto, num chat da conta pessoal para deixar o texto mais persuasivo, e a analista de Customer Success exporta a lista de chamados do mês, com nome e telefone de cada cliente, para pedir um resumo. Os dois queriam entregar mais rápido e não sabem se a ferramenta guarda o conteúdo ou se o fornecedor usa aquilo para treinar o modelo. Quando a diretoria proíbe, esse uso continua no computador de casa e a empresa perde a chance de orientar. Quando libera sem regra, a exposição continua igual e ganha o aval da empresa. A política traz o uso para a vista da liderança, com ferramentas que alguém avaliou e limites que o time conhece.

O que uma política de uso de IA precisa definir?

Eu organizo a política em oito decisões, e cada uma precisa de um dono com nome. Uma política feita só de proibições vira um documento que o time assina na admissão e esquece, e uma feita só de princípios deixa o vendedor sem saber se pode colar a proposta no chat.

Ferramentas aprovadas e o caminho para pedir uma nova

A política lista as ferramentas que a empresa avaliou e contratou, com login pelo e-mail corporativo e com a configuração que impede o uso do conteúdo para treinar o modelo, quando o fornecedor oferece essa opção. O caminho para pedir uma ferramenta nova pesa tanto quanto a lista: o analista de marketing que encontra uma ferramenta útil e não tem a quem pedir volta para o cartão pessoal. Um formulário simples para TI, com prazo de resposta e critérios conhecidos, como onde o dado fica armazenado e o que o contrato diz sobre uso do conteúdo, reduz o shadow AI mais do que bloquear sites.

No workshop que fiz em outubro, a novidade que mais comentamos foi a possibilidade de levar para dentro do CRM os agentes que as pessoas criaram em ferramentas de chat soltas, com uma fatura só e um painel onde o gestor enxerga todos eles. O agente passa a trabalhar no sistema que já guarda os dados do cliente e tem permissões por usuário, em vez de rodar numa conta que só o criador conhece.

Que dados podem entrar na IA: a classificação em quatro níveis

A classificação é a seção que o time mais consulta, e por isso precisa caber numa tabela, com exemplos da operação e o tipo de ferramenta em que cada nível pode entrar.

Nível	Exemplos na operação	Ferramenta pública, sem contrato	Ferramenta corporativa aprovada	Agente dentro do CRM
Público	Site, posts publicados, material rico, apresentação institucional	Pode	Pode	Pode
Interno	Playbook, processos, roteiro de treinamento, ata sem dado de cliente	Não pode	Pode	Pode
Confidencial	Proposta com preço, margem, contrato, pipeline, metas, estratégia	Não pode	Pode, com autorização do dono da informação	Pode, dentro das permissões do usuário
Dado pessoal de cliente	Nome, e-mail, telefone, CPF, conversa de atendimento, gravação e transcrição de call	Não pode	Só nas finalidades que a política lista e o jurídico validou	Pode, nas finalidades e permissões definidas

Na dúvida sobre o nível, a pessoa trata o dado como o nível de cima, e dado pessoal sensível, como informação de saúde ou biometria, fica fora de qualquer ferramenta de IA até o jurídico escrever uma regra específica. Trocar o nome do cliente por “Cliente A” resolve parte dos casos de texto corrido e não resolve uma planilha exportada com quarenta colunas, em que cargo, cidade e porte da empresa identificam a pessoa.

Revisão humana antes de qualquer envio ao cliente

Tudo que a IA produz e sai da empresa passa antes por uma pessoa que leu o conteúdo inteiro, seja e-mail, proposta, resposta de chamado ou relatório. A política diz o que essa pessoa confere, porque revisar sem critério vira passar o olho. Eu peço que a revisão cubra números e datas, nomes de pessoas e empresas, qualquer promessa de prazo, preço ou escopo e qualquer afirmação sobre o cliente que não esteja registrada no CRM.

Usos internos de baixo risco, como resumir uma call para o próprio vendedor, podem rodar sem aprovação item a item, com conferência por amostragem feita pelo gestor. Em IA na operação comercial eu detalho as três listas que uso com as lideranças (o que o agente faz sozinho, o que faz e espera aprovação e o que nunca faz), e a política é o lugar para registrá-las, área por área.

Quem responde pelo que aprovou

A frase “foi a IA que escreveu” não serve de explicação para cliente, conselho ou auditor, e a política precisa dizer isso por escrito. Quem envia ou aprova um conteúdo responde por ele como se tivesse escrito. Quem configura um agente responde pela instrução e pelas permissões que deu a ele, e a liderança da área responde pelo que os agentes fazem sem aprovação item a item, porque foi ela que decidiu liberar.

Registro de agentes e automações

Cada agente e cada automação com IA que lê ou escreve dados da empresa entra num registro com nome, dono, objetivo, ferramenta onde roda, dados que lê, ações que executa, quem aprova e consumo de créditos. Agente sem dono registrado é desligado. O registro parece burocracia até o dia em que um cliente reclama de uma mensagem estranha e ninguém sabe qual automação a enviou. A arquitetura e os limites de cada agente estão em agentes de IA, e o registro é a parte desse desenho que vai para a política.

Transparência com o cliente quando couber

A política define quando a empresa informa ao cliente que a IA participa da conversa. Os casos mais comuns são o assistente virtual no atendimento, que deve se apresentar como assistente e oferecer caminho para uma pessoa, e a gravação e transcrição de calls, que o convite da reunião precisa mencionar. O jurídico diz onde a transparência é obrigação legal ou contratual, inclusive nos contratos de clientes grandes que já trazem cláusula sobre IA, e as lideranças de marketing e pós-venda decidem onde ela é escolha da marca.

Treinamento obrigatório

Ninguém recebe acesso às ferramentas aprovadas sem passar pelo treinamento básico, que cobre a política, a classificação de dados, como pedir à IA e como conferir o que ela devolve. Um documento lido na admissão muda pouco o comportamento do time, e por isso o treinamento trabalha com casos da própria área. Detalhei formatos, públicos e medição em treinamento de IA para empresas.

Dono da política e revisão periódica

A política tem um dono com nome, em TI, compliance ou jurídico, apoiado por um comitê pequeno com RH, TI, o encarregado de dados e uma liderança de negócio. Nos primeiros doze meses, eu recomendo revisão trimestral, porque as ferramentas mudam de recurso e de contrato nesse ritmo, e revisão extraordinária depois de um incidente ou de uma mudança regulatória. A política também precisa de um canal de reporte de incidente, com a regra de que quem avisa rápido sobre um dado colado no lugar errado não sofre punição, senão a empresa só fica sabendo quando o cliente reclama.

Modelo de estrutura da política de uso de IA

A estrutura abaixo é o meu ponto de partida. Ela cabe em quatro a seis páginas, mais um anexo de exemplos por área, que é a parte que o time mais lê.

Seção	O que contém	Quem escreve
1. Objetivo e abrangência	A quem se aplica (CLT, prestadores, terceiros com acesso) e que ferramentas cobre	RH e jurídico
2. Ferramentas aprovadas	Lista, contas corporativas, configurações e como pedir uma nova	TI
3. Classificação de dados	Os quatro níveis e o que pode entrar em cada tipo de ferramenta	TI, jurídico e encarregado de dados
4. Usos permitidos e vedados	Exemplos por área e as listas do que o agente faz sozinho e do que nunca faz	Lideranças de vendas, marketing e pós-venda
5. Revisão humana e responsabilidade	O que passa por aprovação, o que a revisão confere e quem responde	Lideranças e jurídico
6. Registro de agentes e automações	Campos do registro, quem mantém e o que acontece com agente sem dono	RevOps, administrador do CRM ou TI
7. Transparência com clientes	Quando informar, com que texto e em que canal	Jurídico, marketing e pós-venda
8. Treinamento	Trilha obrigatória por público e reciclagem	RH e T&D
9. Incidentes	O que fazer quando um dado entra onde não devia e em quanto tempo reportar	TI e encarregado de dados
10. Governança	Dono, comitê, calendário de revisão e controle de versões	Dono da política

Como a política muda o dia a dia de vendas, marketing e pós-venda?

Em vendas, a proposta com preço passa a ser trabalhada na ferramenta aprovada ou dentro do CRM, e a transcrição da call fica associada ao negócio. O follow-up que o agente rascunha volta para o vendedor antes do envio, e o gestor ganha um critério objetivo: a mensagem saiu com a assinatura do vendedor, então o vendedor responde por ela. Para quem já usava IA por conta própria, a política troca o uso escondido por uma ferramenta com acesso ao histórico do cliente.

Em marketing, a base de leads deixa de sair do CRM em planilha para alimentar ferramentas externas, e o conteúdo gerado com IA entra no fluxo de revisão que a área já tem para números, citações e direitos de imagem. No pós-venda, o assistente virtual se identifica, o chamado crítico só recebe resposta depois que um analista confere e a conversa do cliente fica na ferramenta de atendimento. Os líderes das duas áreas ganham, no registro de agentes, a visão de tudo que fala com os clientes em nome da empresa.

Política de IA e LGPD: onde uma encontra a outra?

A LGPD continua valendo quando o dado pessoal entra num prompt, numa transcrição ou na base que um agente consulta. Colar a lista de clientes num chat público é um tratamento de dados pessoais, com finalidade, base legal e fornecedor envolvidos, e a empresa responde por ele. Por isso o encarregado de dados precisa estar no comitê, e a classificação em quatro níveis precisa conversar com o mapeamento de dados que a empresa já fez. Os pontos que mais aparecem nessa interseção são o contrato com o fornecedor de IA e a finalidade de cada uso que envolve dado pessoal. Tratei o tema em IA e LGPD, também como orientação de gestão, e a leitura jurídica da sua operação cabe ao jurídico da empresa.

O que o RH e o T&D precisam considerar na política de IA?

O RH costuma reconhecer a necessidade antes da diretoria. Pessoas perguntam no corredor se podem usar uma ferramenta, aparecem pedidos de reembolso de assinatura paga no cartão pessoal e um gestor proíbe o uso na área dele enquanto o gestor ao lado incentiva. Quando esses sinais aparecem juntos, a empresa já tem uma política informal, diferente em cada área, e vale escrever a oficial.

Todo mundo que vai ter acesso às ferramentas faz o módulo básico de política e classificação, que pode ser gravado. As lideranças fazem um módulo de decisão, em que desenham as listas de aprovação da área, e quem administra o CRM e cria agentes faz um módulo técnico sobre registro, permissões e créditos. O RH coordena a trilha e inclui a política no onboarding de funcionários e prestadores.

O termo de ciência assinado diz pouco sobre comportamento. Nos três meses seguintes, acompanhe o uso das contas corporativas, os pedidos de ferramenta nova pelo canal oficial, os incidentes reportados pelas próprias pessoas e os reembolsos de assinatura pessoal. Pedidos e incidentes subindo no começo são bom sinal, porque mostram o uso escondido vindo à tona.

Como implantar a política de uso de IA em 30 dias?

Este é o roteiro que eu uso com o comitê, do levantamento do uso real a uma versão 1 publicada e treinada.

Semana 1: levante o uso real, sem caça às bruxas. Faça uma pesquisa anônima sobre as ferramentas que cada pessoa usa, com que conta e para que tarefas, e cruze com os reembolsos do financeiro. Monte o comitê, nomeie o dono da política e combine com a diretoria que o uso declarado nessa fase não gera punição.

Semana 2: escreva a versão 1. Use as dez seções da tabela de estrutura, comece pela classificação de dados e mande o texto ao jurídico com prazo de revisão. Contrate as contas corporativas das ferramentas que a empresa vai manter, para a política nascer com alternativa ao uso pessoal.

Semana 3: valide com as lideranças e monte o registro. Cada líder preenche os usos permitidos e vedados e as listas de aprovação da equipe. O administrador do CRM ou o time de RevOps levanta os agentes e automações que já existem e registra cada um com dono, ou desliga os que ficarem sem dono.

Semana 4: treine, publique e marque a revisão. Treine as lideranças primeiro e o time em seguida, publique a política num lugar que todos acessam, colete a ciência pelo RH e abra o canal de dúvidas. Marque a primeira revisão para 90 dias depois, com os indicadores do RH na pauta.

A política resolve a parte das regras, e o resto depende de as equipes saberem usar o que a empresa liberou: pedir com contexto, conferir o que volta e decidir o que aprovar. Esse é o trabalho do treinamento in company de IA aplicada, com turmas de lideranças, vendas, marketing e pós-venda montadas sobre o processo e as regras da empresa, que entrega a biblioteca de prompts por área e a arquitetura de agentes, com o que cada agente lê, o que executa e quem aprova.

Perguntas frequentes

O que é uma política de uso de IA?

É o documento interno que define quais ferramentas de IA o time pode usar, que dados podem entrar em cada uma, o que passa por revisão humana e quem responde pelo resultado. Ela também traz o registro de agentes, o treinamento obrigatório e um dono que a revisa.

Proibir o ChatGPT e outras ferramentas na empresa é uma opção?

A proibição costuma mover o uso para a conta pessoal, fora da vista da empresa. Funciona melhor aprovar ferramentas corporativas, dizer que dados entram em cada uma e oferecer um caminho rápido para pedir ferramentas novas.

Funcionário pode colar dado de cliente numa ferramenta de IA?

Depende do nível do dado e da ferramenta. Pela classificação que proponho, dado pessoal de cliente fica fora de ferramenta pública sem contrato e só entra em ferramenta corporativa ou em agente no CRM nas finalidades que a política lista e o jurídico validou.

Quem deve ser o dono da política de IA na empresa?

Uma pessoa com nome, em geral de TI, compliance ou jurídico, apoiada por um comitê com RH, TI, o encarregado de dados e uma liderança de negócio. Cada liderança de área responde pelos usos da própria equipe.

A política de uso de IA precisa passar pelo jurídico?

Sim. Este artigo traz orientação de gestão, e o jurídico precisa validar a classificação de dados, as regras de transparência e a relação com a LGPD e com os contratos que a empresa já assinou.

Como o RH mede se a política de IA está funcionando?

O termo de ciência assinado mede pouco. Acompanhe o uso das contas corporativas, os pedidos de ferramenta nova pelo canal oficial, os incidentes reportados pelas próprias pessoas e a queda dos reembolsos de assinaturas pessoais nos três meses seguintes.