Resumo executivo

A adoção de inteligência artificial nas empresas avançou mais rapidamente do que muitas estruturas internas de controle. Ferramentas generativas já são usadas para resumir documentos, preparar apresentações, apoiar pesquisas, escrever códigos, analisar dados e produzir comunicações. O ganho de produtividade pode ser relevante, mas o uso sem regras também pode expor dados pessoais, informações confidenciais, propriedade intelectual e decisões empresariais sensíveis.

Uma política corporativa de inteligência artificial transforma princípios abstratos em orientações práticas. Ela define quais ferramentas podem ser usadas, quais dados não devem ser inseridos, quando é necessária aprovação prévia, quem deve revisar a saída e como registrar incidentes. Também distribui responsabilidades entre negócio, tecnologia, segurança, jurídico, privacidade, compras e auditoria.

A política não deve ser uma proibição genérica nem um documento isolado. Seu desenho precisa considerar os usos reais da organização, classificar riscos, estabelecer governança proporcional e permitir atualizações. A LGPD já se aplica quando o uso de IA envolve tratamento de dados pessoais. Ao mesmo tempo, a legislação específica sobre inteligência artificial permanece em desenvolvimento no Brasil: o Projeto de Lei nº 2.338/2023 foi aprovado pelo Senado e, em setembro de 2026, seguia em análise na Câmara dos Deputados. Portanto, obrigações futuras não devem ser tratadas como se já estivessem em vigor, mas a governança pode ser preparada para evoluir.

1. Comece pelo inventário de usos, e não pela ferramenta

Uma política baseada apenas em nomes de produtos fica desatualizada rapidamente. O ponto de partida deve ser o caso de uso: qual problema será resolvido, quais dados serão tratados, quem receberá a saída e qual decisão poderá ser influenciada.

O inventário mínimo pode registrar:

  • área responsável e proprietário do caso de uso;

  • finalidade empresarial;

  • ferramenta, modelo e fornecedor;

  • categorias e origem dos dados utilizados;

  • presença de dados pessoais, sensíveis ou confidenciais;

  • pessoas ou grupos potencialmente afetados;

  • destino e prazo de retenção das entradas e saídas;

  • existência de decisão automatizada ou recomendação relevante;

  • necessidade de integração com sistemas internos;

  • revisão humana prevista;

  • nível de risco e aprovações concedidas.

Esse registro permite priorizar avaliações. Também evita que a aprovação de uma ferramenta seja interpretada como autorização irrestrita para qualquer finalidade.

2. Defina princípios que possam ser aplicados na prática

Princípios dão coerência à política, mas precisam estar vinculados a controles verificáveis.

Finalidade e necessidade

O uso deve ter objetivo legítimo e definido. Se a finalidade puder ser alcançada sem dados pessoais, com dados agregados ou com menor volume de informação, a alternativa menos intrusiva deve ser considerada. Na LGPD, finalidade, adequação e necessidade são princípios aplicáveis ao tratamento de dados pessoais, inclusive quando realizado com apoio de IA.

Supervisão humana

A pessoa responsável não pode tratar a saída do sistema como verdade automática. O nível de revisão deve acompanhar o impacto: quanto maior a possibilidade de dano jurídico, financeiro, reputacional ou individual, maior deve ser a qualificação e a independência de quem revisa.

Transparência e rastreabilidade

A organização deve saber quando e como uma solução foi utilizada, especialmente em processos relevantes. Versão do modelo, instruções, bases consultadas, revisão e decisão final podem precisar de registro, respeitados limites de segurança e retenção.

Privacidade e segurança desde a concepção

Dados pessoais e informações confidenciais devem ser protegidos antes da adoção, não apenas depois de um incidente. Isso envolve controle de acesso, configuração, segregação de ambientes, retenção, descarte, autenticação, monitoramento e avaliação do fornecedor.

Não discriminação e qualidade

Dados históricos podem reproduzir desigualdades, e modelos podem produzir resultados diferentes entre grupos. Casos com impacto sobre pessoas exigem testes adequados ao contexto, canais de contestação e revisão periódica.

Responsabilização

Deve existir um responsável empresarial pelo caso de uso. A contratação de um fornecedor ou a adoção de um modelo externo não elimina o dever de governança da organização que utiliza a solução.

3. Classifique os usos por risco

Uma matriz simples torna a política utilizável no dia a dia. Os exemplos devem ser adaptados ao setor, à regulação aplicável e à realidade da empresa.

Usos de menor risco

Podem seguir fluxo simplificado quando realizados em ferramenta aprovada, sem dados pessoais ou confidenciais e com revisão humana. Exemplos:

  • organização de ideias a partir de conteúdo público;

  • criação de estrutura inicial para apresentações;

  • resumo de material público;

  • apoio linguístico em texto não sensível;

  • geração de perguntas para treinamento interno.

Mesmo nesses casos, a saída deve ser conferida antes do uso. A ferramenta não deve ser apresentada como fonte e referências relevantes precisam ser verificadas.

Usos restritos ou sujeitos a aprovação

Exigem análise prévia e controles específicos, por exemplo:

  • tratamento de dados pessoais ou dados pessoais sensíveis;

  • análise de grandes volumes de documentos internos;

  • integração com sistemas corporativos;

  • geração de código destinado à produção;

  • criação de conteúdo jurídico, técnico, regulatório ou financeiro;

  • comunicação externa em nome da empresa;

  • recomendação que possa afetar clientes, fornecedores ou outras pessoas;

  • uso de informações protegidas por sigilo ou segredo de negócio;

  • treinamento, ajuste ou enriquecimento de modelos com dados da organização.

Conforme o risco, a aprovação pode envolver negócio, segurança, tecnologia, jurídico, privacidade, compras e o encarregado de dados.

Usos proibidos

A política deve deixar limites inequívocos. Entre os exemplos que podem ser vedados estão:

  • inserir segredos comerciais, credenciais ou documentos confidenciais em ferramenta não aprovada;

  • utilizar IA para burlar controles de segurança ou de acesso;

  • tomar decisão de alto impacto de forma integralmente automática sem base jurídica, governança e salvaguardas adequadas;

  • criar conteúdo fraudulento, discriminatório, difamatório ou que imite pessoas sem autorização;

  • usar material de origem ilícita ou em violação a direitos de terceiros;

  • ocultar incidente, erro relevante ou uso não autorizado;

  • desativar registros e controles exigidos pela organização.

As proibições devem ser acompanhadas de exemplos e de um canal de consulta. Regras vagas tendem a gerar interpretações divergentes.

4. Estabeleça regras claras sobre dados

Antes de inserir qualquer informação em uma solução, o usuário precisa saber como classificá-la. Uma estrutura objetiva pode separar dados públicos, internos, confidenciais, pessoais e pessoais sensíveis.

A política deve responder:

  • o fornecedor usa entradas ou saídas para treinar modelos?

  • é possível desativar esse uso por contrato ou configuração?

  • onde os dados são armazenados e processados?

  • quem pode acessá-los?

  • por quanto tempo ficam retidos?

  • há transferência internacional?

  • o conteúdo pode ser recuperado por outros usuários?

  • como ocorre a exclusão ao término da relação?

Quando houver dados pessoais, a organização deve identificar finalidade, hipótese legal, agentes de tratamento, compartilhamentos e direitos dos titulares. A Autoridade Nacional de Proteção de Dados recomenda a elaboração de Relatório de Impacto à Proteção de Dados Pessoais em contextos nos quais o tratamento possa gerar alto risco à garantia dos princípios e dos direitos fundamentais. A necessidade e o conteúdo do relatório devem ser avaliados no caso concreto.

Em sistemas que apoiam decisões automatizadas, também deve ser examinada a aplicação do artigo 20 da LGPD, incluindo o direito do titular de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. A política deve prever rota de escalonamento, explicação compatível com o caso e participação humana efetiva quando necessária.

5. Aprove ferramentas e fornecedores com diligência proporcional

Uma lista de soluções autorizadas reduz o uso disperso. A aprovação deve considerar tanto a tecnologia quanto as condições comerciais e contratuais.

Os pontos de avaliação podem incluir:

  • finalidade e limitações documentadas;

  • desempenho e testes relevantes ao caso de uso;

  • política de uso de dados para treinamento;

  • confidencialidade e propriedade sobre entradas e saídas;

  • medidas técnicas e administrativas de segurança;

  • subcontratados e transferências internacionais;

  • retenção, portabilidade e exclusão;

  • notificação e cooperação em incidentes;

  • níveis de serviço, continuidade e encerramento;

  • capacidade de auditoria e fornecimento de evidências;

  • tratamento de mudanças do modelo ou do serviço;

  • responsabilidades, indenização e limites contratuais.

Questionários genéricos não substituem testes. Para usos relevantes, é recomendável validar a solução com amostras representativas, métricas definidas e cenários adversos.

6. Exija revisão humana compatível com o impacto

“Revisão humana” não deve significar apenas clicar em aprovar. O revisor precisa ter tempo, conhecimento, informações e autoridade para discordar da recomendação.

A política pode definir, conforme o nível de risco:

  • quem está habilitado a revisar;

  • quais fontes precisam ser verificadas;

  • quais testes são obrigatórios;

  • quando é necessária segunda revisão;

  • como documentar alterações e decisão final;

  • em quais hipóteses a saída não pode ser utilizada;

  • como monitorar erros recorrentes.

Conteúdos externos merecem atenção adicional. Textos, imagens, áudios e vídeos gerados por IA podem exigir verificação de fatos, direitos autorais, marcas, consentimentos, confidencialidade e alinhamento institucional.

7. Organize responsabilidades

Uma política efetiva indica quem faz o quê.

PapelResponsabilidades sugeridasConselho e alta administraçãodefinir apetite a risco, supervisionar temas materiais e receber indicadoresPatrocinador executivoremover impedimentos e garantir recursos para o programaComitê de IAclassificar casos relevantes, decidir exceções e acompanhar riscosÁrea de negóciojustificar a finalidade, manter o caso de uso e assegurar a revisãoJurídico e privacidadeavaliar base jurídica, contratos, direitos, transparência e impacto regulatórioSegurança e tecnologiaaprovar arquitetura, acessos, integrações, registros e resposta a incidentesComprasincorporar requisitos à seleção, contratação e renovação de fornecedoresAuditoria e controles internostestar aderência, evidências e eficácia dos controlesUsuárioscumprir as regras, verificar resultados e comunicar erros ou incidentes

O encarregado pelo tratamento de dados pessoais deve ser envolvido conforme as atribuições previstas na LGPD e a estrutura de governança da organização. As responsabilidades podem variar em empresas menores, mas não devem ficar indefinidas.

Conclusão

Uma política corporativa de IA não precisa prever todas as tecnologias futuras. Ela precisa criar decisões consistentes hoje: onde a IA pode ser usada, quais riscos exigem avaliação, quem responde pelo resultado e quais evidências devem ser preservadas.

O modelo mais eficiente combina regras claras para todos os usuários com análise proporcional para usos sensíveis. Inventário, classificação de risco, ferramentas aprovadas, diligência de fornecedores, proteção de dados, supervisão humana e resposta a incidentes formam a base desse sistema.

Como a tecnologia e o ambiente regulatório evoluem, a política deve ser tratada como componente vivo da governança. Seu valor não está apenas no documento, mas na capacidade de orientar escolhas, detectar desvios e corrigir riscos antes que se transformem em danos.

Chamada institucional

O Nascimento Peixoto Advogados pode apoiar empresas na estruturação e revisão de políticas corporativas de inteligência artificial, matrizes de risco, processos de aprovação, contratos com fornecedores e integração com programas de privacidade e segurança da informação.

Material associado sugerido: Modelo de Governança para Uso de Inteligência Artificial, com matriz de classificação de risco, papéis, fluxo de aprovação e checklist de fornecedores.

Conteúdo informativo e geral. Não constitui parecer jurídico, promessa de resultado ou recomendação para caso específico. A aplicação das regras depende das características de cada organização e deve ser objeto de avaliação jurídica própria.

Fontes oficiais consultadas

Fontes verificadas em 29 de setembro de 2026. A situação legislativa e as orientações regulatórias devem ser novamente conferidas na data da publicação.