Guia · Política de uso de IA
Modelo de política de uso de IA corporativa
Uma Política de Uso de IA Corporativa é o conjunto formal de diretrizes, matrizes de risco e controles operacionais que estabelece os limites de adoção de Inteligência Artificial em uma empresa, categorizando ferramentas e agentes em três níveis claros de autorização: Permitido, Exige Aprovação e Proibido.
Na prática, ela responde para cada uso de IA se pode, se precisa de aprovação ou se não pode, e diz quem decide, quem aprova e onde fica o registro.
A matriz
Três níveis, uma regra para cada uso.
A matriz é o coração da política. Cada uso de IA cai em um nível, e o nível define o que acontece antes da ação. O critério é o dado envolvido e o impacto da ação, não a ferramenta.
uso livre
Permitido
Tarefas de baixa sensibilidade, sem dado confidencial nem pessoal.
- Brainstorming e geração de ideias
- Rascunho de texto interno sem dado confidencial
- Resumo de material público
- Apoio a estudo e pesquisa aberta
human in the loop
Exige aprovação
Usos com impacto em cliente, dinheiro, produção ou dado pessoal. Uma pessoa aprova antes da ação.
- Interação com código de produção
- Análise de dados financeiros
- Envio de e-mail ou proposta a clientes
- Ações com impacto regulatório ou com dado pessoal (LGPD)
lista de bloqueio
Proibido
Usos cujo risco não compensa em nenhum cenário.
- Dados restritos de clientes em LLM pública
- Credenciais, senhas ou chaves de acesso
- Segredo industrial ou estratégia não divulgada
- Ferramenta de IA não homologada (shadow AI)
Os exemplos são ponto de partida. Cada empresa ajusta a matriz ao próprio dado, setor e apetite de risco, e revisa quando surge um caso novo.
O modelo
O que a política precisa conter.
Uma política que funciona cabe em poucas páginas e responde a oito pontos. Use esta estrutura como modelo.
- 01
Objetivo e escopo
A quem a política se aplica (funcionários, terceiros e agentes automatizados) e quais usos de IA ela cobre.
- 02
Ferramentas homologadas
A lista das ferramentas e modelos aprovados, com a conta corporativa a usar. O que não está na lista não recebe dado da empresa.
- 03
Classificação de dados
Quais dados podem entrar em cada ferramenta: público, interno, confidencial e pessoal. Dado pessoal segue os princípios e as medidas de segurança da LGPD.
- 04
Matriz de uso
Os três níveis, com exemplos por área: permitido, exige aprovação e proibido.
- 05
Donos e aprovadores
Quem é dono de cada caso de uso e quem aprova as ações do nível intermediário.
- 06
Registro e auditoria
O que fica registrado em cada uso aprovado, quem pode consultar e por quanto tempo.
- 07
Incidentes e exceções
Como reportar um uso indevido ou um vazamento, e como pedir uma exceção à regra.
- 08
Treinamento e revisão
Como as pessoas aprendem a política e quando ela é revisada.
Antes da política
Primeiro, saber o que já está em uso.
O Diagnóstico Executivo de IA faz em 10 dias o inventário dos usos de IA por área, com risco, custo e prioridade. É a base para escrever uma política que cabe na rotina da empresa.
Por que agora
A IA já entrou. A política, ainda não.
- 2,5x
- cresceu a média mensal de incidentes de segurança de dados ligados a GenAI no início de 2025. Eles já são 14% de todos os incidentes de segurança de dados no tráfego SaaS.Palo Alto Networks, The State of Generative AI 2025, junho de 2025[1]Conferido em
- 40%+
- das organizações devem sofrer incidentes de segurança e compliance por uso de ferramentas de IA não autorizadas até 2030.Gartner, novembro de 2025, via Infosecurity Magazine[2]Conferido em
- 69%
- dos líderes de cibersegurança têm evidência ou suspeita de que funcionários usam GenAI pública no trabalho.Pesquisa Gartner de 2025, via Infosecurity Magazine[2]Conferido em
- 37%
- dos respondentes atribuem algum impacto no EBIT ao uso de IA. Produtividade individual não vira resultado da empresa sozinha.McKinsey, The state of AI in 2026, agosto de 2026[4]Conferido em
Proibir tudo não resolve: empurra o uso para a sombra. A política funciona quando o caminho certo é o mais fácil.
Da política à prática
Política em PDF não se aplica sozinha.
Um documento diz o que deve acontecer, mas não impede que aconteça outra coisa numa sexta-feira à tarde. A política só vale quando é conferida no momento da ação, em código. É o papel do harness de IA: inspecionar cada pedido do agente em tempo de execução e aplicar a regra antes que a ação aconteça.
| Situação | Política em PDF | Política no harness |
|---|---|---|
| Uso permitido | Confia que a pessoa leu o documento | Executa e registra quem pediu, o quê e com qual ferramenta |
| Uso que exige aprovação | Depende de alguém lembrar de pedir | Para a ação e abre a aprovação para o dono do caso |
| Uso proibido | Descoberto depois, quando o dado já saiu | Bloqueia antes, registra a tentativa e avisa o dono |
| Ferramenta nova | Entra sem ninguém saber | Só roda depois de homologada; o pedido vai para a fila de revisão |
A arquitetura completa está no guia sobre harness de IA.
Ler o guia: o que é harness de IA
Como a Reveno faz
Da política escrita à política aplicada.
A Reveno escreve a política com a sua empresa e coloca a política para rodar. O trabalho segue a mesma trilha de sempre.
Diagnosticar10 dias
Inventário dos usos de IA por área, ferramentas em uso, dados envolvidos e o mapa de risco que alimenta a matriz.
Organizar6 semanas
Política de uso com a matriz em três níveis, donos e aprovadores por caso e o harness configurado para aplicar a regra.
GovernarMensal
Revisão de novos casos, atualização da matriz e scorecard executivo com o que foi liberado, aprovado e bloqueado.
Perguntas sobre política de uso de IA.
O que deve ter uma política de uso de IA corporativa?
Objetivo e escopo, ferramentas homologadas, classificação de dados, a matriz de uso em três níveis (permitido, exige aprovação e proibido), donos e aprovadores, registro e auditoria, tratamento de incidentes e exceções e um ciclo de treinamento e revisão.
A LGPD exige uma política de uso de IA?
A LGPD não exige um documento com esse nome. Mas exige que o tratamento de dados pessoais siga princípios como finalidade, necessidade e segurança (art. 6º) e que os agentes de tratamento adotem medidas técnicas e administrativas para proteger esses dados (art. 46). Quando a IA trata dado pessoal, a pol ítica de uso é a forma prática de definir e mostrar essas medidas.
Como lidar com shadow AI na empresa?
Com três movimentos: oferecer ferramentas homologadas que resolvam o trabalho do dia a dia, deixar claro o que é proibido e por quê, e enxergar o uso real. Segundo a Palo Alto Networks, as organizações têm em média cerca de 66 aplicações de GenAI em uso. Proibir sem oferecer alternativa empurra o uso para fora do radar.
Quem deve ser dono da política de uso de IA?
A diretoria. Na pesquisa da McKinsey de 2025, a supervisão do CEO sobre a governança de IA aparece entre os fatores mais associados ao impacto da IA generativa no EBIT declarado pelas empresas, mas só 28% dos respondentes disseram que o CEO tem esse papel. Na operação, TI e segurança cuidam dos controles, jurídico e compliance do enquadramento regulatório, e cada área é dona dos seus casos de uso.
Com que frequência revisar a política?
Sempre que surgir um caso novo de alto impacto e em ciclos regulares definidos pela própria política. Na governança mensal da Reveno, os novos casos passam por revisão todo mês e a matriz é atualizada quando necessário.
Fontes
- Palo Alto Networks. GenAI's Impact: Surging Adoption and Rising Risks in 2025 (The State of Generative AI 2025), 05/06/2025.Conferido em Voltar ao texto
- Gartner, via Infosecurity Magazine. Gartner: 40% of Firms to Be Hit By Shadow AI Security Incidents, 20/11/2025.Conferido em Voltar ao texto
- McKinsey. The state of AI: How organizations are rewiring to capture value, março de 2025.Conferido em
- McKinsey. The state of AI in 2026: On the road to ROI, agosto de 2026.Conferido em Voltar ao texto
- Brasil. Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais (LGPD).Conferido em Voltar ao texto
Como citar este guia
- Citação curta
Reveno (2026), Modelo de política de uso de IA corporativa, reveno.com.br/guias/politica-de-uso-de-ia
- Citação completa (ABNT)
REVENO. Modelo de política de uso de IA corporativa. São Paulo: Reveno, 2 nov. 2026. Disponível em: https://reveno.com.br/guias/politica-de-uso-de-ia.
Cite o título, a Reveno como autora, a data e o link. Os números de terceiros seguem com a fonte original, listada acima.