Política de uso de IA na pequena empresa: regras para a equipe

Política de uso de IA na pequena empresa é um documento curto, de uma página, que diz à equipe quais ferramentas de IA pode usar, que tipo de informação pode colocar nelas, quem confere o resultado antes de ele chegar ao cliente e o que fazer se algo der errado. Para um negócio de poucas pessoas, o objetivo não é burocracia: é evitar que um funcionário bem-intencionado cole a planilha de clientes numa ferramenta aleatória.

Quase toda equipe já usa IA, com ou sem regra. A diferença entre regra e improviso aparece no dia em que alguém pergunta "isso pode?" e ninguém sabe responder. Este guia traz um modelo pronto, o raciocínio por trás de cada item e as referências públicas que o sustentam, conferidas em 21/10/2026, para você adaptar à sua realidade e, se houver dado pessoal em jogo, validar com o contador ou o advogado da empresa.

Por que uma empresa pequena precisa de política de IA?

Porque o risco aparece no uso comum. A pessoa do atendimento cola o histórico de um cliente para pedir um resumo. O financeiro envia uma planilha com CPF para a IA "organizar". O gerente cola um contrato para pedir uma versão mais curta. Nenhum deles tem má intenção, e todos podem estar expondo dado pessoal ou segredo comercial a um serviço que a empresa nunca avaliou.

O artigo sobre o que o funcionário pode colar no ChatGPT mostra a visão de quem trabalha; este aqui é a visão de quem dirige. A política também protege você: se houver um problema, ter regra escrita, treinamento registrado e ferramentas aprovadas mostra que a empresa tomou cuidado razoável.

O que os reguladores e as empresas já ensinam

A Autoridade Nacional de Proteção de Dados (ANPD) mantém um sandbox regulatório de IA e proteção de dados, um ambiente supervisionado para testar soluções de IA. O terceiro relatório parcial, publicado em 16/10/2026, diz que os testes verificam controles de segurança e proteção de dados, mas não atestam a conformidade das soluções com a lei. Não é um selo de aprovação, e sim uma fonte de aprendizado.

O que dá para aproveitar são os pontos que a ANPD destacou nos casos testados: deixar claros os limites da ferramenta para quem a usa, citar as fontes das respostas, proteger os fluxos de dados e revisar o compartilhamento com serviços de terceiros, e explicar decisões automatizadas que afetam pessoas. Para uma pequena empresa, isso vira regras simples: avisar o cliente quando há IA, conferir a resposta, saber para onde o dado vai e dar a um humano a última palavra.

Os 5 blocos da política de uma página

1. Quais ferramentas valem

Liste as ferramentas aprovadas, com o plano e a conta da empresa. Uma conta pessoal gratuita não é igual a uma conta de empresa: as condições de uso dos dados mudam. A página de privacidade dos apps do Gemini avisa, por exemplo, que parte das conversas pode ser lida por revisores humanos e pede para não inserir informação confidencial que você não queira que um revisor veja. Leia a página equivalente de cada ferramenta que a equipe usa e anote a data da leitura.

2. O que pode e o que não pode entrar

É o bloco mais importante. Use três níveis: verde (pode), amarelo (só em ferramenta aprovada e sem identificar a pessoa) e vermelho (nunca).

3. Quem revisa

Defina que nada gerado por IA vai ao cliente, ao contador ou a um órgão público sem leitura de uma pessoa. Para números, contratos e orientações de saúde ou jurídicas, a revisão é por quem entende do assunto. O guia sobre alucinação de IA explica por que o modelo erra com tanta segurança.

4. Onde registrar

Crie uma planilha de uma aba com data, pessoa, ferramenta, tarefa e se houve dado de cliente. Serve como memória para auditoria e para descobrir onde a IA está ajudando de fato.

5. O que fazer se algo vazar

Quem errou avisa na hora, sem medo de punição, porque o tempo de reação importa. A empresa pausa a ferramenta, avalia que dados saíram, troca senhas se for o caso e decide se precisa comunicar clientes ou a ANPD, com orientação do advogado. O checklist de LGPD para pequeno negócio detalha o mapa de dados que sustenta essa decisão.

Modelo de política para copiar e adaptar

O texto abaixo serve como ponto de partida. Troque os nomes de ferramenta e os exemplos pela sua realidade e leia com o responsável jurídico da empresa antes de distribuir.

POLÍTICA DE USO DE IA - [Nome da empresa] - versão 1, [data]
1. Ferramentas aprovadas: [lista], sempre com a conta da empresa. Outras ferramentas só com autorização de [responsável].
2. Nunca colocar: senhas, documentos de identificação, dados bancários, planilhas de clientes, contratos fechados, informações de saúde.
3. Só com cuidado: resumos de atendimento sem nome nem CPF; números internos sem identificar clientes.
4. Pode: textos públicos, ideias, rascunhos, tradução de material não confidencial.
5. Revisão: todo conteúdo gerado por IA é lido por uma pessoa antes de sair da empresa. Números e contratos passam por [responsável].
6. Registro: anotar na planilha [link] o uso de IA com dado de cliente.
7. Incidente: avisar [responsável] imediatamente. Ninguém será punido por avisar cedo.
8. Revisão da política: a cada 6 meses.

Como implantar em 30 dias

Na primeira semana, mapeie o que a equipe já usa, com uma conversa de 20 minutos e sem julgamento. Na segunda, escolha as ferramentas aprovadas e leia as regras de dados de cada uma. Na terceira, escreva a política e valide com o contador ou o advogado. Na quarta, faça um treinamento de 30 minutos com três exemplos reais e uma regra para dúvida: na dúvida, pergunte antes.

Quem tem rotina de atendimento pode juntar esse treinamento ao procedimento operacional padrão, e quem contrata gente nova pode incluir a política no processo de onboarding da equipe. O guia de gestão de equipe com IA mostra como distribuir tarefas sem perder o controle.

Exemplo: loja de cosméticos com 5 pessoas

Uma loja de cosméticos online tem cinco pessoas: duas no atendimento, uma no financeiro, uma no marketing e a dona (cenário hipotético). Depois de 20 minutos de conversa, a dona descobre que o atendimento cola reclamações inteiras, com nome e telefone, numa conta pessoal de chatbot, e que o financeiro pediu à IA para conferir uma planilha de boletos.

Ela aprova uma ferramenta por conta de empresa, define que reclamação só entra sem nome e telefone, que a planilha de boletos nunca sai do sistema e que os textos de marketing são revisados antes de publicar. Cria a planilha de registro e agenda uma revisão em seis meses. O custo é uma tarde de trabalho, e o risco cai sem proibir a IA. Para entender o que a lei de proteção de dados exige de quem atende clientes, veja o texto sobre adequação à LGPD.

Cuidados com agentes e automações

A política precisa prever o uso de agentes, que leem e-mails, abrem páginas e executam tarefas. Eles ampliam o risco porque podem agir sem que ninguém olhe cada passo. O guia de prompt injection explica como um texto escondido numa página ou e-mail pode induzir a IA a fazer algo indevido. Regra simples: agente só com permissão de leitura, e qualquer envio, pagamento ou exclusão exige confirmação humana.

Também vale cuidar da conta de quem usa. O guia de chave de acesso e verificação em duas etapas mostra como proteger o login das ferramentas aprovadas. E, se a empresa decide contratar ou cobrar com apoio de IA, leia o que diz a lei de IA no Brasil sobre o projeto em tramitação e o guia de decisão automatizada na LGPD.

Erros comuns

• Proibir tudo. A equipe usa escondido e o risco continua, sem nenhuma regra.
• Política longa demais. Passou de duas páginas, ninguém lê.
• Conta pessoal para trabalho. As regras de uso dos dados mudam, e a empresa perde o controle.
• Não treinar. Um PDF no e-mail não vira hábito. Faça o encontro de 30 minutos.
• Não revisar. Ferramentas e regras mudam. Marque a revisão no calendário.
• Punir quem avisa. Se avisar custa caro, o problema será escondido.

Comece hoje com o quadro de três níveis (verde, amarelo e vermelho) e mande para a equipe. Depois evolua para a política completa. Mais guias de gestão estão na categoria de IA para negócios, e o texto sobre privacidade e IA ajuda a explicar o porquê para a equipe.