Como criar uma política de uso de inteligência artificial na empresa

Antes de escolher qual ferramenta de inteligência artificial contratar, a empresa precisa responder a perguntas mais básicas: quem pode usar a tecnologia, com quais informações, com aprovação de quem e com que tipo de revisão. Para a RZ3, é a falta dessas definições, e não a IA em si, que pode transformar a adoção acelerada em um passivo corporativo relevante nos próximos anos.

A urgência aparece nos números. Pela PINTEC Semestral, do IBGE (Instituto Brasileiro de Geografia e Estatística), 41,9% das indústrias com 100 ou mais empregados usavam IA em 2024, contra 16,9% em 2022, com destaque para administração (87,9%) e comercialização (75,2%). Entre empresas de todos os portes, a TIC Empresas 2025, do Cetic.br (Centro Regional de Estudos para o Desenvolvimento da Sociedade da Informação), aponta uso de aplicações de IA por 17% das companhias, ante 13% na edição anterior.

Primeiro passo: descobrir onde a IA já está

O ponto de partida é um inventário. Em muitas organizações, a tecnologia já circula por recursos humanos, jurídico, fiscal, financeiro, atendimento e comercial sem registro formal. Esse levantamento precisa incluir também o uso informal, chamado de shadow AI, quando colaboradores recorrem a ferramentas sem aprovação ou controle da empresa. Pesquisa internacional da PagerDuty com 1.250 profissionais, divulgada em junho de 2026, mostrou que 66% já tinham usado ferramentas de IA que acreditavam ser proibidas pelo empregador.

Classificar riscos e definir regras

Com o mapa em mãos, a orientação da RZ3 é classificar o risco de cada aplicação. Um assistente que resume textos públicos não exige o mesmo cuidado que um modelo usado para triar currículos ou apurar tributos. Em seguida, a empresa define quais ferramentas são autorizadas e estabelece uma política de uso que deixe claro o que pode ou não ser inserido nesses sistemas. No mesmo levantamento da PagerDuty, 88% dos profissionais disseram ter compartilhado informações de trabalho, como anotações de reuniões e dados de clientes, em ferramentas públicas.

Quando houver dados pessoais envolvidos, a política precisa refletir as exigências da LGPD (Lei Geral de Proteção de Dados): finalidade definida, hipótese legal, transparência, segurança e controle de acesso.

Responsáveis, registros e revisão humana

O passo seguinte é nomear quem aprova, acompanha e audita cada uso. Guardar registros e evidências também deixou de ser detalhe. Pela Resolução CD/ANPD nº 15/2024, incidentes de segurança com risco ou dano relevante aos titulares precisam ser comunicados à ANPD (Agência Nacional de Proteção de Dados) em até três dias úteis. Além disso, a agência incluiu pela primeira vez um eixo dedicado à IA no Mapa de Temas Prioritários de fiscalização para 2026 e 2027, com 75 ações previstas.

A política deve ainda indicar em quais decisões a palavra final continua com uma pessoa e prever treinamento para as equipes. Para a RZ3, esse conjunto forma a governança operacional que permite usar IA com mais intensidade e segurança.

Sem esperar pela lei

Siga nosso canal no WhatsApp e receba notícias relevantes para o seu dia

O PL 2338/2023, que cria o marco legal da IA, foi aprovado pelo Senado em dezembro de 2024 e segue em comissão especial da Câmara dos Deputados, sem votação concluída. Na avaliação da RZ3, aguardar a nova lei para agir é arriscado, porque normas de proteção de dados, consumo, trabalho e responsabilidade civil já se aplicam ao uso da tecnologia. Por isso, criar uma política de uso de IA começa por uma pergunta à liderança: quem, dentro da empresa, cuida da inteligência artificial que já está em operação?