Política de uso de IA para empresas brasileiras: o template que cobre LGPD, shadow AI e ISO 42001

50% das empresas brasileiras usam IA sem regras éticas formais (TIInside, dez/2025). Em 74%, não há política escrita de uso de IA generativa. O resultado é previsível: vazamento de dado, decisão automatizada sem supervisão, retrabalho regulatório quando o PL 2338 entrar em vigor.

Este post apresenta a estrutura mínima testada em empresas brasileiras com IA em produção em 2026. Não substitui consulta jurídica, mas serve como ponto de partida operacional para C-level, jurídico, DPO e CISO.

Os 7 blocos obrigatórios

Bloco 1: Escopo e definições

• Quem se aplica: funcionários CLT, PJ, terceiros, estagiários.
• O que se aplica: ferramentas de IA generativa, sistemas de IA usados internamente, sistemas embarcados em produto.
• Definições operacionais: o que é IA generativa, o que é shadow AI, o que é dado sensível.
• Hierarquia com outras políticas (LGPD, código de conduta, segurança da informação).

Bloco 2: Ferramentas autorizadas e proibidas

• Autorizadas: lista nominal de ferramentas aprovadas (ChatGPT Enterprise, Claude for Work, Microsoft Copilot, etc.) com nível de uso permitido.
• Proibidas: ferramentas explicitamente vetadas, incluindo versões gratuitas/pessoais de produtos enterprise.
• Fluxo de adição: como solicitar avaliação de nova ferramenta.
• Revisão: lista é atualizada trimestralmente.

Bloco 3: Classificação de dados

Define 3-4 níveis de sensibilidade e o que pode/não pode entrar em IA:

• Público (marketing publicado, dado divulgado em relatório) — pode entrar em qualquer ferramenta autorizada.
• Interno (processo, política, comunicação interna) — apenas em ferramentas enterprise sancionadas com proteção contratual.
• Confidencial (estratégia, finanças não-públicas, código proprietário) — apenas em ferramentas com data residency contratual e cláusula de não-treinamento.
• Restrito (PII, dado sensível LGPD, comunicação privilegiada) — proibido em IA pública; permitido apenas em sistemas internos auditados.

Bloco 4: Fluxo de aprovação para casos de uso

• Decisões pré-aprovadas: lista de casos OK que não precisam de aprovação individual.
• Aprovação simples: gestor direto, para uso interno com dado interno/confidencial.
• Aprovação composta: gestor + DPO + segurança, para uso com dado restrito ou decisão automatizada.
• Aprovação executiva: comitê de IA, para sistemas de alto risco (PL 2338) ou exposição a cliente.

Bloco 5: Supervisão humana e direito de contestação

• Sistemas de alto risco exigem humano significativamente no loop.
• Direito de explicação operacionalizado: canal, prazo, formato.
• Direito de contestação operacionalizado: quem revisa, em quanto tempo.
• Documentação de decisões automatizadas auditável.

Bloco 6: Consequências de descumprimento

• Primeira ocorrência: orientação + recapacitação obrigatória.
• Reincidência: advertência formal e bloqueio de acesso até completar treinamento.
• Caso grave (vazamento intencional, fraude): processo disciplinar formal, conforme código de conduta.
• Canal de denúncia: anônimo, sem retaliação.

Bloco 7: Integração com LGPD, ISO 42001 e PL 2338

• Base legal para tratamento via IA documentada.
• DPIA obrigatória para sistemas de alto risco.
• Referência a controles ISO 42001 implementados.
• Mapeamento de classificação de risco por PL 2338.

O que NUNCA pode entrar em LLM público

1. PII de cliente — CPF, RG, endereço, contato, dado sensível LGPD (saúde, religião, orientação, biometria).
2. Código fonte proprietário — codebase interna, algoritmos diferenciadores, configurações de infraestrutura.
3. Informação financeira não-pública — resultados antes da divulgação, M&A, contratos com cláusula de confidencialidade, política salarial.
4. Comunicação privilegiada — jurídico, ombudsman, denúncia, dado de auditoria interna.

Como aplicar sem virar burocracia morta

• Mantenha curta: 12-15 páginas, escritas em linguagem direta. Política de 80 páginas é política não lida.
• Lista de decisões pré-aprovadas: 80% dos casos comuns não precisam de aprovação individual.
• Fluxo digital: formulário simples pra exceções, com SLA de resposta. E-mail morre.
• Treinamento obrigatório: 30-45 minutos, com quiz simples. Renovação anual.
• Comunicação de exemplos: casos concretos do que pode e não pode, atualizados.
• Canal de pergunta: Slack ou Teams pra dúvidas em tempo real. DPO ou segurança responde.

Quem aprova antes de publicação

1. Comitê executivo de IA rascunha a política.
2. Jurídico e DPO revisam para LGPD, PL 2338 e compliance.
3. RH alinha com código de conduta e comunicação interna.
4. CEO ou COO sanciona formalmente.
5. Publicação interna com treinamento obrigatório, acessível em portal corporativo.

Sem sanção C-level, política não tem peso. Sem treinamento, política não circula.

Resumo executivo

1. 7 blocos obrigatórios: escopo, ferramentas, dados, aprovação, supervisão, consequências, integração regulatória.
2. 4 categorias de dados proibidos em LLM público: PII, código proprietário, financeiro não-público, comunicação privilegiada.
3. Política curta + decisões pré-aprovadas + fluxo digital = política viva.
4. Sanção C-level + treinamento obrigatório = política respeitada.
5. Integra com LGPD, ISO 42001 e PL 2338 desde o dia 1.

Política é dimensão dentro de Governança no diagnóstico Fronteira. Empresas com política formal pontuam tipicamente 3+ em Governança; sem política, ficam em 1-2 independente de qualquer outro investimento em IA.