Uma política que permite usar a tecnologia com segurança

Proibir o uso de IA raramente funciona. O que funciona é definir o que pode ser enviado, em que condições e depois de qual tratamento.

Quando uma empresa proíbe o uso de ferramentas de inteligência artificial, o uso não desaparece: ele migra para os aparelhos pessoais e para as contas particulares dos funcionários, fora de qualquer controle.

O caminho mais eficaz é o inverso. Definir onde a IA pode ser usada, quais documentos podem ser enviados e o que precisa ser feito antes do envio transforma uma prática invisível em um processo governável.

Este artigo organiza os elementos dessa política, com foco no ponto que costuma ficar de fora: o preparo do documento antes de ele sair da empresa.

Comece pela classificação da informação

Nem todo documento apresenta o mesmo risco. Uma política de uso de IA que trata tudo da mesma forma acaba sendo ignorada, porque impede o uso trivial em nome de um risco que aquele documento não tem.

Uma classificação simples já resolve a maior parte dos casos.

  • Documentos públicos: material de marketing, conteúdo já publicado, normas divulgadas. Verifique a política interna e as condições de uso; a publicação prévia não dispensa a LGPD quando há dados pessoais.
  • Documentos internos sem dados pessoais: procedimentos, modelos, textos de apoio. Envio permitido nas ferramentas homologadas.
  • Documentos com dados pessoais: contratos, processos, documentos de pessoal, cadastros de clientes. Adote a anonimização quando a tarefa dispensar a identificação. Se os dados forem necessários, o envio exige avaliação da base legal, da finalidade, da segurança e das condições do fornecedor.
  • Documentos com dados sensíveis ou sob sigilo: saúde, biometria, informações submetidas a dever legal de sigilo, segredos de negócio. Regra própria, definida caso a caso.

Defina o que a política precisa responder

  • Quais ferramentas de IA são homologadas, e em qual plano ou modalidade de contratação.
  • Quem pode usá-las, e para quais finalidades de trabalho.
  • O que nunca pode ser enviado, com exemplos concretos do dia a dia da empresa.
  • Que tratamento o documento precisa receber antes do envio, e quem é responsável por ele.
  • Como registrar o uso, especialmente quando o resultado da IA embasa uma decisão.
  • O que fazer quando alguém envia por engano um documento que não deveria.

Uma política curta, com exemplos reconhecíveis, tem muito mais chance de ser seguida do que um documento extenso escrito em linguagem jurídica.

O contrato com o fornecedor não substitui a anonimização

Contratar um plano corporativo, negociar cláusulas de proteção de dados e verificar as condições de retenção e treinamento são medidas necessárias. Elas endereçam a relação com o fornecedor.

A anonimização endereça outra coisa: o conteúdo que efetivamente sai da empresa. As duas medidas atuam em camadas diferentes e se somam.

Do ponto de vista prático, a segunda é a que continua valendo quando algo dá errado na primeira, seja por uma mudança de termos do serviço, um incidente do fornecedor ou um uso fora do plano homologado.

Como colocar a anonimização no fluxo de trabalho

  1. Identifique os usos recorrentes
    Resumo de contratos, análise de propostas, triagem de currículos e comparação de versões costumam concentrar a maior parte das solicitações.
  2. Defina o critério por tipo de documento
    Para cada uso, estabeleça quais dados devem ser removidos, inclusive informações que identifiquem pessoas indiretamente. Avalie também segredos de negócio e conteúdo sob sigilo, que podem impedir o envio mesmo após a anonimização.
  3. Automatize a identificação
    A leitura manual em busca de dados pessoais é o que faz a política ser abandonada. A identificação automática mantém o processo viável.
  4. Mantenha a revisão humana
    Quem conhece o documento confirma as marcações antes da exportação, o que também preserva a responsabilidade pela decisão.
  5. Use a versão anonimizada
    O arquivo enviado à ferramenta de IA é o anonimizado. O original permanece nos sistemas da empresa.

Perguntas frequentes

A empresa deve proibir o uso de IA generativa?

A proibição geral tende a empurrar o uso para fora do controle da organização, em contas pessoais. Definir ferramentas homologadas, finalidades permitidas e o tratamento exigido antes do envio costuma produzir mais segurança real.

Quem é responsável se um funcionário enviar dados de clientes para uma IA?

A organização pode ser responsabilizada, e o envio fora da política interna não a isenta automaticamente. A apuração depende dos papéis, das condutas e das circunstâncias do caso, inclusive das hipóteses de exclusão de responsabilidade previstas no artigo 43 da LGPD.

Anonimizar o documento atrapalha o resultado da IA?

Pode haver impacto, dependendo dos dados removidos e da tarefa. Rótulos numerados ajudam a distinguir as pessoas citadas, mas não garantem a mesma interpretação nem a mesma qualidade de resposta. O resultado deve ser revisado.

Documentos digitalizados também entram nesse fluxo?

Sim. O reconhecimento óptico de caracteres permite identificar dados pessoais em PDFs escaneados e em páginas que são imagens, que costumam ser a maior fonte de vazamento silencioso.

Continue explorando