Os 12 elementos de uma política de IA que governa de verdade

Boa notícia: existe convergência grande entre os principais templates de mercado (AIHR, HiBob, Nexos.ai, TechTarget, Corporate Governance Institute) sobre o que precisa estar dentro de uma boa política. 

Pra organizar melhor, esses 12 elementos podem ser agrupados em três blocos com lógicas diferentes: o que cobrir (escopo do documento), o que controlar (mecanismos de governança), e como manter vivo (operação contínua).

Bloco 1: O que cobrir (escopo e definições)

Esses quatro elementos definem o quê e quem o documento alcança. São os fundamentos. 

1. Propósito e escopo. A primeira página precisa dizer pra quem a política vale e o que ela cobre. Inclui terceirizados? Inclui prestadores de serviço com acesso a dado da empresa? Inclui parceiros que processam dado em nome da empresa? Vale pra IA usada em código, em texto, em imagem, em decisão automatizada? Quanto mais explícito, menos espaço pra interpretação criativa depois.

2. Definições claras. O que é “IA” pra fins desse documento? O que é “agente”? O que é “modelo”? O que é “uso autorizado”? Sem definir, qualquer pessoa pode argumentar que aquela ferramenta nova “não é IA, é só automação” e a política precisa fechar esse buraco. Se quer um ponto de partida, escrevemos sobre os seis termos essenciais de IA que podem te ajudar a entender alguns elementos que provavelmente estarão nesse glossário.

3. Lista de ferramentas aprovadas e proibidas. Concreto e com nome. Exemplos: ChatGPT Enterprise: aprovado. ChatGPT consumer (Plus/gratuito): proibido pra uso com dado da empresa. Claude Enterprise: aprovado. Lovable: requer revisão caso a caso.

Esse tipo de lista, pois do contrário vira lista de princípios, e princípio não impede ninguém de copiar e colar dado confidencial às 18h pra entregar relatório no prazo.

4. Classificação de dados. Tem que estar claro o que pode ser inserido em IA externa e o que não pode. Sugestão de quatro níveis: público (qualquer ferramenta), interno não sensível (versão Enterprise contratada), interno sensível (apenas IA on-premise ou enterprise com DPA específico) e dado pessoal/financeiro/proprietário (nunca em IA externa).

Sem essa classificação, o usuário fica decidindo no escuro.

Bloco 2: O que controlar (mecanismos de governança)

Esses quatro elementos são onde a política deixa de descrever e começa a controlar. 

5. Casos de uso permitidos por nível de risco. Resumir reunião interna sem dado de cliente é uma coisa. Triar currículo, decidir crédito, processar dado financeiro, definir reajuste salarial é outra. A política precisa categorizar tipos de uso e exigir nível de controle proporcional.

Caso de baixo risco pode ser livre, caso de alto risco exige revisão humana documentada e registro do uso. Caso de risco proibido (dado pessoal de cliente em IA externa, decisão totalmente automatizada sobre pessoas) é veto absoluto.

6. Supervisão humana e protocolo de escalada. Quem revisa o quê antes de sair pra fora da empresa? Em proposta comercial gerada por IA, alguém aprova antes de ir pro cliente? Em código gerado por IA, alguém revisa antes de subir em produção? Em currículo triado por IA, alguém valida o resultado antes de eliminar candidato? A política precisa nominar essa cadeia. 

E aqui entra um ponto que é central no Brasil: o artigo 20 da LGPD garante ao titular de dado pessoal o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado. Empresa que não tem protocolo de revisão humana documentado simplesmente não consegue cumprir esse direito. E isso não é novo, é algo que já existe desde 2020.

7. Inventário e dono. Cada agente, modelo ou automação em produção precisa ter dono nominal e estar num registro consultável. Não tem como auditar o que não está listado. Esse registro precisa ter, no mínimo: nome da ferramenta, área que usa, dono responsável, tipo de dado processado, data de aprovação, data da última revisão. 

8. Avaliação de risco antes de adotar. Equivalente ao Relatório de Impacto à Proteção de Dados (RIPD) que a LGPD prevê, mas com foco em IA. O PL 2338/23, conhecido como Marco Legal da IA, prevê a Avaliação de Impacto Algorítmico (AIA) como obrigatória pra sistemas de alto risco. 

Antes de adotar uma ferramenta nova de IA, é importante responder um questionário estruturado sobre tipo de dado, finalidade, fornecedor, certificações, residência de dados e contrato. Sem isso a decisão de “vamos contratar essa IA nova” vira uma decisão baseada apenas em opinião pessoal sem ponderação adequada. E cá entre nós, o que não falta são “ferramentas de IA” disponíveis, e o número aumenta cada dia mais. 

Bloco 3: Como manter vivo (operação contínua)

O documento é assinado, todo mundo aplaude, e seis meses depois ninguém lembra que ele existe. Os elementos a seguir ajudam a prevenir essa morte silenciosa.

9. Treinamento obrigatório. Diferenciado por papel: quem programa precisa saber sobre vazamento de código fonte em IA, quem trabalha em RH precisa saber sobre viés algorítmico em triagem, quem está no financeiro precisa saber sobre dado pessoal e LGPD, quem está em liderança precisa saber sobre responsabilidade objetiva e o que a regulamentação traz.

Treinamento genérico de uma hora pra todo mundo é igual a nada. Treinamento por papel é o que muda comportamento.

10. Canal estruturado pra registrar nova ferramenta. Esse é o item que a maioria das políticas esquece, e é o que mata o inventário rapidamente. Se um analista descobre uma ferramenta legal de IA e quer usar, qual o caminho? Formulário no sistema interno? E-mail pra quem? Reunião com TI? Slack pra um canal específico?

Sem caminho claro, o analista vai usar mesmo, sem registro. E aí o inventário fica obsoleto. 

11. Rotina de auditoria e revisão periódica. Trimestral é o que o mercado considera mínimo. A cada três meses, alguém olha o inventário, valida se está atualizado, revisa se as ferramentas listadas continuam aprovadas, audita se houve uso fora do permitido. Anualmente, a política inteira é revisada à luz de mudanças regulatórias e novas ferramentas. Política que não tem data marcada pra revisão envelhece junto com o documento que a aprovou.

12. Consequências por descumprimento. Sem isso, é teatro. Precisa estar claro o que acontece com quem viola a política: advertência, suspensão de acesso, processo disciplinar, demissão por justa causa nos casos graves. 

Onde NIST AI RMF e ISO/IEC 42001 entram

Não existe um único framework universal pra governança de IA, mas três se destacaram nos últimos anos:

• NIST AI RMF (americano, voluntário): publicado pelo National Institute of Standards and Technology, oferece um framework estruturado em quatro funções (Govern, Map, Measure, Manage). Não certifica, é referência.
• ISO/IEC 42001:2023 (internacional, certificável): foi publicada em dezembro de 2023 e é o primeiro padrão internacional para Sistema de Gestão de IA (AIMS). É certificável por terceiros, igual a ISO 27001. Microsoft e AWS já obtiveram a certificação em 2024.
• EU AI Act (lei, em vigor escalonado): regulamentação europeia, vigência crescente desde 2025.

No Brasil, a base prática é LGPD + PL 2338/23. ISO 42001 e NIST AI RMF não substituem essa base legal, mas funcionam como referência operacional pra quem está construindo a política do zero.

Quem segue ISO 42001 não está automaticamente em conformidade com a LGPD ou com o futuro Marco Legal da IA, mas tem grande parte do trabalho estrutural pronto.

A leitura honesta sobre isso é simples: pra empresa brasileira de médio porte, perseguir certificação ISO 42001 hoje é caro e provavelmente prematuro, mas ler a estrutura da norma e adaptar os princípios à sua política interna é movimento inteligente.

A certificação vai virar diferencial competitivo e, em alguns setores regulados, exigência contratual nos próximos anos.

Versão consumer e versão enterprise: o detalhe que muitas políticas erram

Pra fins de política, o ponto que precisa estar absolutamente explícito no documento é:

Funcionário usar conta pessoal paga (ChatGPT Plus, Claude Pro, Gemini Advanced) com dado da empresa caracteriza Shadow AI e configura violação da política. Mesmo que o funcionário esteja pagando do próprio bolso. Mesmo que a ferramenta tenha o mesmo nome da versão corporativa.

A diferença entre versão consumer e enterprise é contratual. Versão enterprise tem DPA (acordo de processamento de dados), tem residência de dados controlada, tem auditoria, tem retenção parametrizável e tem garantia contratual de que prompts não vão pra treinamento. Versão consumer não tem nada disso, mesmo paga.

Política que ignora essa distinção deixa um buraco enorme aberto. Vamos aprofundar nas diferenças entre Claude Enterprise, ChatGPT Enterprise, Microsoft 365 Copilot e Gemini Workspace no próximo texto da série, então não vou alongar aqui.

Por onde começar (mesmo que você nunca tenha escrito uma política)

Se você é a pessoa designada pra liderar isso na sua empresa e está olhando pra um documento em branco, esse é o caminho mínimo viável:

Mês 1: inventário. Levante tudo que está em uso, com nome de ferramenta, área, dono, tipo de dado processado e versão (consumer ou enterprise). Use planilha, não complique.

Mês 2: classificação de dados e casos de uso. Defina os quatro níveis de classificação de dado e categorize os usos atuais. Identifique o que está em risco proibido e bloqueie imediatamente.

Mês 3: redação da política, com os 12 elementos cobertos. Não tente inventar a roda. Use template do AIHR, HiBob ou Nexos.ai como ponto de partida e adapte pra sua realidade. O importante é que os 12 elementos estejam endereçados.

Mês 4: aprovação, treinamento e canal de entrada. Política aprovada por comitê multidisciplinar (TI, segurança, jurídico, RH, áreas de negócio). Treinamento por papel. Canal de entrada para nova ferramenta funcionando, com SLA público.

A partir daí, rotina trimestral de auditoria e revisão anual completa.

Política não fica pronta no mês 1, e quem promete isso está vendendo apresentação, não governança. Mas em quatro meses, dá pra ter algo que funciona.

A maioria das empresas que estão começando esse projeto agora vai ter política funcionando entre seis meses e um ano. E quando o PL 2338 for sancionado, possivelmente em 2026, vai haver “vacatio legis” (período de adaptação).

Quem começou hoje chega no fim do prazo com tudo em ordem, já quem está esperando a lei sair vai descobrir que seis meses são pouco quando se está atrás.

Deseja ir ainda mais fundo no tema?

Conseguiu acompanhar esse conteúdo técnico apenas lendo esse texto? Então você já teve um gostinho da forma como ensinamos dentro de nossas formações.

Se quer aprender Power BI, análise de dados e Inteligência Artificial com aplicação prática no dia a dia profissional, sem rodeio, entre na lista de espera para as próximas turmas.

Perguntas frequentes

Quanto tempo leva pra escrever uma política de IA? Pra empresa de médio porte sem nada estruturado, conta de 4 a 6 meses entre inventário, classificação, redação, aprovação e treinamento. 

Política de IA substitui a política de LGPD? Não, complementa. LGPD trata de dado pessoal em geral e política de IA trata especificamente de uso de inteligência artificial, que pode (ou não) envolver dado pessoal. Empresa séria tem as duas, conectadas e referenciadas entre si.

Preciso de certificação ISO 42001 já em 2026? Pra grande maioria das empresas brasileiras, não. Custo de certificação inicial varia entre US$ 15 mil e US$ 50 mil, e exige sistema de gestão maduro. Faz sentido pra empresa que vende serviço de IA, processa dado sensível em larga escala ou tem cliente que exige certificação contratualmente. Pra usar a estrutura da norma como referência interna, vale, e é gratuito ler o resumo público.

Política de IA precisa ser pública? Não, é documento interno. Mas é recomendado ter uma versão resumida pública na sua página institucional, especialmente se você processa dado de cliente. 

Quem deve aprovar a política? Comitê multidisciplinar, no mínimo: TI, segurança da informação, jurídico, RH e representantes das áreas de negócio que usam IA com mais intensidade. Política aprovada só por TI vira política de TI, e o resto da empresa não se sente convocado a cumprir.

O que acontece se minha empresa for auditada hoje pela ANPD? Depende do que está sendo investigado, mas a ausência de política documentada e de protocolo de revisão humana pra decisões automatizadas é fator agravante em qualquer processo. Multa pela LGPD pode chegar a 2% do faturamento, limitada a R$ 50 milhões por infração.