A inteligência artificial deixou de ser uma tecnologia experimental e passou a fazer parte da rotina de praticamente todas as organizações. Ferramentas capazes de produzir textos, analisar documentos, desenvolver códigos, resumir reuniões, criar imagens e apoiar decisões já são utilizadas diariamente por profissionais das mais diversas áreas, muitas vezes antes mesmo que as empresas consigam estabelecer regras claras para seu uso.
Esse movimento trouxe ganhos importantes de produtividade e inovação, mas também criou novos riscos. Informações confidenciais podem ser inseridas em ferramentas externas, dados pessoais podem ser processados sem uma avaliação adequada, códigos proprietários podem ser compartilhados e respostas geradas por inteligência artificial podem ser utilizadas sem qualquer validação.
Como resposta, muitas empresas começaram a desenvolver políticas corporativas de uso de IA. Esse é um passo importante, mas existe um problema: publicar uma política não significa necessariamente mudar comportamentos.
Na prática, a segurança no uso da inteligência artificial dependerá tanto das tecnologias e controles implementados quanto da capacidade das pessoas de compreender os riscos e tomar boas decisões durante sua utilização.
**Por que uma política de IA se tornou necessária?**
Durante a primeira onda de adoção da IA generativa, algumas empresas simplesmente tentaram bloquear essas ferramentas. A estratégia parecia lógica: se existe risco de compartilhamento de informações, impedir o acesso resolveria o problema.
O comportamento das pessoas mostrou que a questão era mais complexa.
Quando uma tecnologia oferece ganhos significativos de produtividade, os usuários encontram maneiras de utilizá-la. Ferramentas corporativas podem ser substituídas por contas pessoais, aplicações gratuitas ou serviços que sequer passaram por uma avaliação de segurança.
Surge assim o chamado Shadow AI, utilização de ferramentas de inteligência artificial sem conhecimento, aprovação ou governança das áreas responsáveis.
Uma política de IA deve justamente reduzir essa zona de incerteza. Seu papel não é simplesmente proibir, mas estabelecer quais ferramentas podem ser utilizadas, para quais finalidades, quais informações podem ser processadas e quais responsabilidades pertencem aos usuários.
**Os riscos vão muito além do ChatGPT**
Outro erro comum é tratar o uso corporativo de inteligência artificial como sinônimo de utilização de um chatbot.
A IA já está incorporada a ferramentas de produtividade, plataformas de desenvolvimento, sistemas de CRM, aplicações de marketing, soluções de análise de dados, extensões de navegador e inúmeros serviços SaaS. Consequentemente, os riscos também são diversos.
Um dos mais evidentes está relacionado ao compartilhamento de informações confidenciais. Um colaborador pode inserir contratos, relatórios financeiros, estratégias comerciais ou documentos internos em uma ferramenta para obter uma análise mais rápida sem perceber que está enviando informações corporativas para um terceiro.
Dados pessoais representam outra preocupação. Informações de clientes, funcionários, candidatos e fornecedores podem estar sujeitas à LGPD e não devem ser processadas indiscriminadamente em qualquer plataforma.
Propriedade intelectual também merece atenção. Código-fonte, projetos em desenvolvimento, pesquisas, metodologias e informações estratégicas podem representar ativos valiosos da organização.
Há ainda um risco menos evidente: confiar demais na própria inteligência artificial. Modelos generativos podem produzir respostas convincentes, mas incorretas. Uma informação apresentada com segurança e boa redação não necessariamente é verdadeira.
O NIST dedica um perfil específico do seu AI Risk Management Framework à IA generativa e trata riscos relacionados, entre outros aspectos, à privacidade, segurança, propriedade intelectual e confiabilidade desses sistemas.
**O que uma política de uso de IA deve definir?**
Não existe uma política universal que possa simplesmente ser copiada por qualquer organização. O documento precisa refletir o segmento, os dados tratados, as tecnologias utilizadas e a tolerância a risco da empresa.
Ainda assim, algumas perguntas precisam ser respondidas claramente.
Quais ferramentas de IA são autorizadas? Quais informações podem ser inseridas? Existem categorias de dados que nunca devem ser compartilhadas? É permitido utilizar contas pessoais? Quem pode contratar uma nova solução? Conteúdo produzido por IA precisa de revisão humana? Como utilizar IA para produzir código? O que fazer diante de um incidente?
Essas orientações precisam ser suficientemente claras para que um colaborador consiga aplicá-las durante uma situação real.
Esse ponto é importante porque governança de IA não deveria existir isoladamente da governança corporativa. O AI Risk Management Framework do NIST organiza a gestão dos riscos de IA nas funções Govern, Map, Measure e Manage e coloca governança como elemento transversal de todo o processo.
Políticas são, portanto, parte da resposta. Mas não são a resposta completa.
[](#fale-com-especialista)
**Uma política que ninguém compreende protege muito pouco**
Imagine que uma empresa publique uma excelente política de uso de IA, disponibilize o documento na intranet e solicite o aceite de todos os colaboradores. Formalmente, existe uma política.
Agora imagine um profissional do RH que precisa resumir 200 currículos e decide utilizar uma ferramenta pública de IA. Ele pode inserir os documentos completos? Quais dados precisam ser removidos? A ferramenta é autorizada? Existe uma alternativa corporativa?
Ou um desenvolvedor que encontra um problema em uma aplicação interna e pretende enviar parte do código para um assistente de programação.
O que ele pode compartilhar?
É nesse momento que a política deixa de ser um documento e passa a depender de comportamento.
Se as pessoas não souberem transformar as regras em decisões, a organização terá governança no papel, mas continuará exposta na prática.
**Capacitação precisa fazer parte da governança**
Esse princípio aparece de maneira bastante clara no próprio NIST AI RMF.
O resultado Govern 2.2 estabelece que pessoas e parceiros devem receber capacitação em gestão de riscos de IA para que consigam desempenhar suas responsabilidades de acordo com políticas, procedimentos e acordos da organização.
O Playbook do NIST vai além e recomenda que os treinamentos sejam adequados aos diferentes públicos. Pessoas que executam atividades técnicas possuem necessidades diferentes daquelas responsáveis por funções jurídicas, compliance, auditoria ou supervisão. Essa abordagem faz muito sentido.
Um desenvolvedor precisa compreender riscos relacionados a código, bibliotecas e informações técnicas. O RH precisa compreender riscos relacionados a dados pessoais. O Jurídico precisa avaliar confidencialidade, propriedade intelectual e confiabilidade. O Marketing enfrenta questões relacionadas a conteúdo, imagem e direitos autorais.
Não basta dizer a todos simplesmente: “utilizem IA com responsabilidade”. É necessário explicar o que responsabilidade significa dentro da realidade de cada pessoa.
**Segurança não deve ser inimiga da inovação**
Existe também um equilíbrio importante a ser encontrado. Se as regras forem excessivamente restritivas, complexas ou distantes da realidade do negócio, os usuários podem procurar alternativas fora da governança corporativa. Se forem permissivas demais, informações importantes podem ficar expostas.
A melhor política é aquela que permite que as pessoas aproveitem os benefícios da tecnologia dentro de limites compreensíveis e seguros.
Isso significa disponibilizar ferramentas aprovadas, estabelecer processos simples para avaliação de novas soluções, criar canais para dúvidas e revisar continuamente as regras conforme a tecnologia evolui.
O objetivo não deveria ser impedir a utilização de inteligência artificial. Deveria ser permitir sua utilização de maneira consciente.
**Da política para o comportamento**
Existe uma lição importante para as organizações nesse momento de adoção acelerada da IA.
Governança não acontece apenas porque uma regra foi escrita. Ela acontece quando políticas, tecnologias, processos e comportamentos funcionam de forma coordenada.
A empresa precisa estabelecer quais ferramentas podem ser utilizadas, implementar controles compatíveis com seus riscos, capacitar diferentes públicos, criar mecanismos para identificar desvios e acompanhar continuamente como a tecnologia está sendo incorporada à rotina.
Esse processo aproxima a governança de IA da própria gestão do risco humano. Afinal, boa parte do risco não está simplesmente na existência da ferramenta, mas na combinação entre tecnologia, informação, contexto e decisão humana.
**Conclusão**
A inteligência artificial continuará transformando a maneira como trabalhamos e provavelmente será incorporada a um número cada vez maior de processos corporativos. Tentar impedir esse movimento dificilmente será uma estratégia sustentável.
O desafio das organizações será permitir inovação sem perder controle sobre informações, privacidade, propriedade intelectual e segurança. Uma política de uso de IA é fundamental para estabelecer esses limites, mas ela representa apenas o começo.
Para que as regras realmente funcionem, as pessoas precisam compreendê-las, saber como aplicá-las e reconhecer situações em que devem buscar orientação.
A segurança no uso da inteligência artificial, portanto, não começa apenas na escolha da tecnologia. Começa também na preparação das pessoas que irão utilizá-la todos os dias.
**Referências**
[NIST **AI Risk Management Framework (AI RMF 1.0)**](https://airc.nist.gov/airmf-resources/)
[**Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile (NIST AI 600-1)**.](https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf)
Versão Markdown desta página