A adoção costuma acontecer antes da política

Colaboradores usam IA para redigir e-mails, resumir contratos, analisar currículos, produzir anúncios, responder clientes, gerar código e organizar dados. Sistemas de CRM, marketing e atendimento também incorporam recursos de IA. A empresa pode, portanto, tratar dados e tomar decisões apoiadas por modelos sem saber exatamente onde isso ocorre.

Em 2026, a ANPD incluiu inteligência artificial e tecnologias emergentes entre os temas prioritários de fiscalização para 2026-2027 e avançou em sandbox regulatório. O foco envolve transparência, segurança, proteção de dados, vieses e direitos dos titulares. A empresa não precisa esperar uma lei geral de IA para organizar riscos já submetidos à LGPD, contratos, relações trabalhistas, consumidor e responsabilidade civil.

Primeiro passo: inventário de usos

Liste ferramenta, área, finalidade, dados inseridos, resultado produzido, pessoas afetadas, decisão apoiada, fornecedor, contrato e responsável. Classifique o risco:

baixo: apoio a ideias ou texto genérico sem dados pessoais e com revisão;
moderado: uso de informações internas, atendimento ou produção que afeta cliente;
alto: saúde, biometria, finanças, crianças, avaliação de empregado, crédito, fraude ou decisão com efeito relevante.

O inventário revela ferramentas gratuitas, contas pessoais, integrações não autorizadas e usos de alto risco escondidos em rotinas comuns.

Dez regras para uma política prática

Definir ferramentas autorizadas e proibidas.
Proibir inserção de segredos, dados pessoais ou documentos de clientes sem base, necessidade e ambiente aprovado.
Exigir revisão humana antes de decisão, comunicação ou publicação.
Confirmar fatos, fontes, cálculos e referências; IA pode produzir informação plausível e falsa.
Registrar autoria, versão e responsável em usos relevantes.
Impedir decisões exclusivamente automatizadas de alto impacto sem avaliação jurídica e mecanismo de revisão.
Controlar fornecedores, suboperadores, retenção, treinamento do modelo e localização dos dados.
Avaliar direitos autorais, marca, confidencialidade e titularidade dos resultados.
Criar canal para reportar erro, viés, vazamento, conteúdo sintético ou fraude.
Treinar por função e revisar a política conforme ferramentas e usos mudarem.

IA em RH exige cautela adicional

Triagem de currículos, avaliação de desempenho, monitoramento e decisões disciplinares podem reproduzir vieses ou usar dados além do necessário. A empresa deve conhecer critérios, testar resultados, permitir revisão humana e evitar inferências sensíveis sem fundamento.

“O sistema indicou” não elimina responsabilidade. Gestor e empresa continuam responsáveis por compreender e justificar a decisão.

IA em atendimento e marketing

Conteúdo gerado precisa respeitar oferta, publicidade, direitos autorais, dados pessoais e regras setoriais. Chatbot deve deixar claro quando o cliente interage com automação, oferecer escalada humana e evitar respostas jurídicas, médicas ou financeiras individualizadas sem controle.

Deepfakes ampliam riscos de fraude, reputação e uso indevido de imagem. A ANPD publicou radar tecnológico sobre o tema em julho de 2026. A política de incidentes deve incluir áudio, vídeo ou identidade sintética.

Como contratar uma ferramenta

Pergunte onde dados são armazenados, se são usados para treinar modelos, quais suboperadores existem, como ocorre exclusão, quais controles de acesso e logs estão disponíveis, qual prazo de aviso de incidente, como exportar informações e como encerrar o serviço. Promessa comercial de “IA segura” não substitui cláusula e evidência.

Ferramentas corporativas com governança, controles e contrato tendem a ser mais adequadas que contas individuais dispersas. Ainda assim, configuração e uso determinam o risco.

Plano de 30 dias

mapear ferramentas e usos;
suspender usos críticos sem supervisão;
aprovar regras mínimas e fluxo de exceção;
revisar contratos dos fornecedores prioritários;
treinar áreas de maior exposição;
implantar canal e log de incidentes;
selecionar indicadores de adoção, erro e ganho de produtividade.

Perguntas frequentes

A empresa pode usar IA com dados pessoais?

Pode haver situações legítimas, mas é necessário definir finalidade, base legal, necessidade, segurança, transparência e direitos, além de avaliar o fornecedor.

Preciso proibir ferramentas gratuitas?

A decisão depende de contrato, dados e risco. É comum restringir uso com informações internas ou pessoais até que haja avaliação.

Revisão humana significa apenas clicar em “aprovar”?

Não. A pessoa precisa ter competência, tempo, informação e autoridade para questionar e corrigir o resultado.

Próximo passo: pergunte às cinco áreas mais ativas quais ferramentas de IA usam e que dados inserem. O inventário real deve vir antes da política ideal.