Governança de IA e política de uso

Empregados já usam ferramentas de inteligência artificial generativa (sistemas que produzem textos, imagens e códigos a partir de instruções) para resumir contratos, redigir propostas, analisar planilhas e responder clientes. Muitas vezes, sem que a empresa saiba qual ferramenta foi usada, o que foi enviado a ela e quem conferiu o resultado. A política de uso de IA é o documento que responde a essas perguntas antes que um problema apareça.

resposta curta

Ainda não há lei geral de IA no Brasil (o PL 2338/2023 aguarda parecer na Câmara), mas o uso de IA na empresa já está sujeito à LGPD, às regras de sigilo e segredo de negócio e à CLT. A política de uso define quais ferramentas são permitidas, que informações não podem ser inseridas, quem confere o resultado e como o fornecedor trata os dados. A norma ISO/IEC 42001 oferece um modelo de sistema de gestão para organizar essa governança.

Por que a empresa precisa de uma política de uso de IA

A ferramenta de IA não é neutra para a empresa. O uso envolve quatro riscos jurídicos, que a política organiza:

Risco	Como acontece	Regra envolvida
Dados pessoais	Empregado insere dados de clientes, candidatos ou colegas no prompt (a instrução dada à ferramenta) ou anexa documentos com esses dados	LGPD: princípios, segurança, operador e transferência internacional (arts. 6º, 33, 39 e 46)
Segredo de negócio	Envio de estratégia, preços, código-fonte ou listas de clientes para ferramenta sem garantia contratual de confidencialidade	CLT, art. 482, g; Lei 9.279/1996, art. 195, XI
Resultado errado	A ferramenta gera conteúdo verossímil, mas falso, e ele é usado sem conferência em documento, parecer ou resposta ao cliente	Responsabilidade da empresa pelo que entrega; dano a titular de dados (LGPD, art. 42)
Decisão automatizada	IA usada para triar currículos, conceder crédito ou definir preço sem revisão humana	LGPD, art. 20

Como empregadora, a empresa dirige a prestação de serviço (CLT, art. 2º). É com base nesse poder que ela pode definir, por norma interna, como as ferramentas de trabalho são usadas, inclusive as de IA.

O que a LGPD exige quando dados pessoais entram na ferramenta

Inserir dados pessoais em uma ferramenta de IA é tratamento de dados: a lei inclui nesse conceito a utilização, o acesso, a transmissão, o processamento e o armazenamento (LGPD, art. 5º, X). Por isso, valem os princípios do art. 6º, com destaque para:

finalidade e necessidade: o dado só pode ser usado para o propósito informado ao titular e no mínimo necessário (incisos I e III). Anonimizar ou retirar nomes antes de enviar o texto à ferramenta atende a esse ponto;
segurança e prevenção: medidas técnicas e administrativas contra acessos não autorizados e tratamento inadequado (incisos VII e VIII; art. 46);
não discriminação: vedação de tratamento para fins discriminatórios ilícitos ou abusivos (inciso IX);
responsabilização e prestação de contas: a empresa precisa demonstrar as medidas que adotou e a eficácia delas (inciso X).

A empresa que decide usar a ferramenta com dados de seus clientes é a controladora. O fornecedor que processa esses dados em nome dela atua como operador e deve seguir as instruções da empresa, que verifica se elas são cumpridas (art. 39). As operações devem constar do registro de tratamento (art. 37), e a ANPD pode exigir relatório de impacto à proteção de dados (art. 38).

No estudo Radar Tecnológico nº 3, sobre IA generativa, a Agência Nacional de Proteção de Dados (ANPD) chama atenção para esse ponto: as ferramentas aceitam anexos, e documentos empresariais confidenciais, laudos, atas e tabelas podem ser enviados inteiros para análise. O estudo observa que usuários e empresas muitas vezes desconhecem os riscos desse compartilhamento e que quem insere dados pessoais de terceiros na ferramenta pode, conforme o contexto, ser considerado agente de tratamento.

Servidores no exterior: transferência internacional

Boa parte das ferramentas processa dados fora do Brasil. Nesse caso há transferência internacional, permitida só nas hipóteses do art. 33 da LGPD. Em contratos com fornecedores, o mecanismo previsto em lei são as cláusulas contratuais, entre elas as cláusulas-padrão aprovadas pela ANPD (art. 33, II, a e b). Pela Resolução CD/ANPD nº 19/2024, essas cláusulas valem se adotadas integralmente e sem alteração, podendo integrar o contrato principal ou um termo aditivo, e as demais cláusulas do contrato não podem contrariá-las (Regulamento, art. 16). Cabe à empresa controladora verificar se a operação está amparada em mecanismo válido (art. 4º).

Segredo de negócio e informação confidencial

Nem tudo o que preocupa a empresa é dado pessoal. Estratégia comercial, preços, propostas de licitação, código-fonte e listas de clientes são informações confidenciais cuja proteção depende, em boa parte, de a empresa tratá-las como tal.

A CLT prevê justa causa por violação de segredo da empresa e por ato de indisciplina (art. 482, g e h). A Lei de Propriedade Industrial tipifica como crime de concorrência desleal divulgar, explorar ou utilizar, sem autorização, informações confidenciais a que se teve acesso por relação contratual ou de emprego, mesmo após o fim do contrato (Lei 9.279/1996, art. 195, XI). A política de uso de IA reforça essas regras: diz quais categorias de informação não podem ser inseridas em nenhuma ferramenta, ou só em ferramentas contratadas com garantia de confidencialidade.

Decisões automatizadas: recrutamento, crédito e preço

Quando a IA decide sozinha, sem revisão humana, a LGPD dá à pessoa afetada o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluídas as que definem perfil profissional, de consumo e de crédito (art. 20). A empresa deve informar, quando solicitada, os critérios e procedimentos usados, observado o segredo comercial e industrial (§ 1º). Se recusar as informações com base nesse segredo, a ANPD pode fazer auditoria para verificar aspectos discriminatórios (§ 2º).

O estudo da ANPD dá um exemplo próximo da rotina das empresas: na análise de currículos, a ferramenta pode gerar conteúdo inverídico sobre o candidato. Por isso, a política deve dizer em que decisões a IA só auxilia e quem responde pela decisão final.

Conferência humana: o problema das respostas inventadas

Ferramentas de IA generativa calculam a resposta mais provável a partir dos dados com que foram treinadas. O resultado pode ser verossímil, bem escrito e falso. O fenômeno é chamado de alucinação, termo usado também no estudo da ANPD. Para a empresa, isso significa que todo conteúdo produzido com IA e entregue a cliente, órgão público ou parceiro precisa de conferência por uma pessoa que responda por ele. O mesmo cuidado vale para escritórios de advocacia, tema do artigo sobre inteligência artificial na advocacia.

O contrato com o fornecedor da ferramenta

As versões gratuitas ou de uso pessoal das ferramentas costumam ter termos de uso padronizados, que a empresa não negocia. A contratação corporativa permite controlar como os dados são tratados. Antes de liberar uma ferramenta, confira no contrato e nos termos:

se os dados e os arquivos enviados podem ser usados para treinar ou melhorar os modelos do fornecedor;
por quanto tempo ficam guardados e como são excluídos ao fim do contrato;
onde são processados e qual mecanismo ampara a transferência internacional (LGPD, art. 33; Resolução CD/ANPD nº 19/2024);
que medidas de segurança o fornecedor adota (art. 46) e como comunica incidentes à empresa;
se há subcontratação de outros fornecedores e em que condições;
como o fornecedor ajuda a empresa a atender pedidos de titulares e a comprovar o cumprimento da lei.

O tema se aproxima do contrato de software e SaaS, com a diferença de que, nas ferramentas de IA, a reutilização dos dados para treinamento é o ponto central da negociação.

Governança de IA e a ISO/IEC 42001

Governança de IA é o conjunto de regras, responsáveis e controles que a empresa usa para decidir quais sistemas de IA adota, para quê e com que riscos. A política de uso é a parte visível dessa governança; por trás dela ficam o inventário das ferramentas, a avaliação de riscos e a revisão periódica.

A ISO/IEC 42001:2023 é a norma internacional de sistema de gestão de IA. Ela traz requisitos e orientações para estabelecer, implementar, manter e melhorar continuamente esse sistema, com políticas, objetivos e processos para desenvolver, fornecer ou usar IA de forma responsável, incluindo avaliação e tratamento de riscos. Aplica-se a organizações de qualquer porte e setor, inclusive as que apenas usam produtos ou serviços com IA.

A LGPD aponta na mesma direção. O controlador pode implementar programa de governança em privacidade que demonstre comprometimento com políticas internas, seja proporcional à estrutura e ao volume das operações, se baseie em avaliação sistemática de impactos e riscos, esteja integrado à governança geral da empresa, tenha plano de resposta a incidentes e seja atualizado por monitoramento contínuo (art. 50, § 2º, I). Empresas que já têm programa de governança em privacidade ou programa de integridade podem incluir a IA nessa estrutura, em vez de criar outra.

O que a política de uso de IA deve prever

Ferramentas autorizadas. Lista das ferramentas liberadas, com a versão contratada (corporativa ou não), e o caminho para pedir a inclusão de uma nova.
Informações proibidas. Categorias que não podem ser inseridas: dados pessoais sensíveis, dados de clientes sem anonimização, segredos de negócio, documentos sob sigilo contratual ou judicial.
Usos permitidos e vedados. Exemplos concretos do que pode (revisão de texto, resumo de material público) e do que não pode (decisão final sobre candidato, envio de proposta comercial sem revisão).
Conferência humana. Quem revisa o resultado antes de ele sair da empresa e em que casos o uso de IA deve ser informado ao destinatário.
Decisões automatizadas. Em que processos a IA participa de decisões sobre pessoas, quem revisa e como atender pedidos de revisão (LGPD, art. 20).
Fornecedores. Requisitos mínimos de contrato: uso dos dados para treinamento, retenção, local de processamento, segurança e incidentes.
Responsáveis. Quem aprova ferramentas, quem responde dúvidas e como a política se liga ao encarregado de dados e ao programa de governança.
Treinamento e ciência. Registro de que os empregados conhecem a política; sem isso, fica mais difícil aplicar as regras disciplinares.
Incidentes. O que fazer se informação proibida for inserida em ferramenta não autorizada, ligado ao plano de resposta a incidentes.
Revisão periódica. Data para revisar a política, porque ferramentas, contratos e regras mudam.

Se dados pessoais forem expostos, a empresa pode ter de comunicar a ANPD e os titulares. Os prazos e critérios estão no artigo sobre vazamento de dados.

E a lei geral de IA?

O PL 2338/2023, que trata do desenvolvimento, do fomento e do uso ético e responsável da inteligência artificial, está na Câmara dos Deputados, em regime de prioridade, na situação de aguardando parecer (última movimentação em 2 de setembro de 2026, segundo os dados da Câmara). Enquanto não houver lei específica, as obrigações vêm da LGPD, da legislação trabalhista e de propriedade industrial e dos contratos. Uma política bem feita hoje tende a facilitar a adaptação quando a lei vier, porque o inventário de ferramentas e a avaliação de riscos já estarão prontos.

Termos usados neste artigo

Tratamento de dados: Toda operação com dados pessoais, como coleta, utilização, acesso, transmissão, processamento, armazenamento e transferência (LGPD, art. 5º, X).
Controlador: Pessoa natural ou jurídica a quem competem as decisões sobre o tratamento de dados pessoais (LGPD, art. 5º, VI).
Operador: Pessoa natural ou jurídica que trata dados pessoais em nome do controlador, segundo as instruções dele (LGPD, arts. 5º, VII, e 39).
Alucinação: Conteúdo gerado por modelo de linguagem que não é verídico ou não faz sentido em relação à fonte, ainda que pareça correto (ANPD, Radar Tecnológico nº 3).

Perguntas frequentes

A empresa é obrigada a ter uma política de uso de inteligência artificial?

Não há lei que exija um documento com esse nome, e a lei geral de IA (PL 2338/2023) ainda tramita na Câmara. Mas, quando dados pessoais entram nas ferramentas, a LGPD exige medidas de segurança, registro das operações e capacidade de demonstrar o cumprimento da lei (arts. 6º, X, 37 e 46). A política é o meio mais direto de mostrar essas medidas.

É seguro colocar dados de clientes no ChatGPT ou em ferramenta parecida?

Depende da ferramenta, do contrato e dos dados. Inserir dados pessoais é tratamento de dados sob a LGPD: exige finalidade, necessidade e segurança (art. 6º), e o fornecedor que recebe os dados em nome da empresa atua como operador, seguindo as instruções dela (art. 39). Se os servidores ficam no exterior, há transferência internacional, que só é permitida nas hipóteses do art. 33.

O empregado pode ser punido por enviar informação confidencial para uma IA?

A CLT prevê justa causa por violação de segredo da empresa e por indisciplina (art. 482, g e h), e a Lei 9.279/1996 tipifica como concorrência desleal o uso ou a divulgação não autorizada de informações confidenciais obtidas na relação de emprego (art. 195, XI). A punição depende do caso concreto. Uma política escrita, conhecida pelo empregado, define o que é proibido e facilita a prova.

O que é a ISO/IEC 42001?

É a norma internacional de sistema de gestão de inteligência artificial, publicada em dezembro de 2023. Traz requisitos e orientações para a organização estabelecer políticas, objetivos e processos para desenvolver, fornecer ou usar IA de forma responsável, com avaliação e tratamento de riscos. Aplica-se a organizações de qualquer porte e setor.

A empresa pode usar IA para selecionar candidatos ou conceder crédito?

Pode, mas a pessoa afetada tem direito de pedir a revisão de decisões tomadas unicamente por tratamento automatizado, incluídas as que definem perfil profissional e de crédito, e de receber informações sobre os critérios usados (LGPD, art. 20, caput e § 1º). Se a empresa negar as informações alegando segredo comercial, a ANPD pode fazer auditoria para verificar aspectos discriminatórios (§ 2º).