# Uma política de uso de IA que cabe em uma página

> Modelo de política de uso de inteligência artificial para empresas em uma página, com sete regras, o controle técnico por trás de cada uma, quem precisa assinar e como tratar exceções. Para copiar e adaptar.

A política de IA de muita empresa tem catorze páginas, foi escrita pelo jurídico para o jurídico e é ignorada na primeira semana. A que funciona cabe em uma página, fala com quem usa e tem um controle técnico atrás de cada regra. Abaixo está o modelo que usamos como ponto de partida, para copiar e adaptar.

## Sobre este artigo

Publicado em 2026-10-20 por Rafael Hickmann, Fundador da Atlasberg. Leitura de 8 minutos.

## O problema das catorze páginas

Pense na última política de uso de IA que você leu. Provavelmente começava com definições ("Inteligência Artificial Generativa: sistema computacional capaz de..."), passava por princípios que ninguém discorda, como transparência, responsabilidade e ética, e terminava com uma lista de vedações no estilo "é vedado inserir dados pessoais em ferramentas não homologadas".

Agora pense na pessoa que precisa resumir um contrato de oitenta páginas às seis da tarde. Ela não vai abrir esse PDF. E se abrir, não vai achar a resposta para a pergunta que tem: "posso usar o Claude para isso, e se posso, qual?". A política foi escrita para provar ao auditor que existe uma política. Para isso ela funciona. Para orientar quem trabalha, não.

Tem um defeito mais grave. Quase toda regra dessas políticas é um desejo sem mecanismo. "É vedado inserir dados pessoais": quem confere? Como alguém da empresa saberia que aconteceu? Regra que ninguém consegue verificar vira, na prática, uma sugestão.

## A página

A nossa proposta tem sete regras, escritas na segunda pessoa, para quem usa. Cada uma cabe em duas linhas e responde a uma pergunta que as pessoas realmente fazem.

[Figura: Uma folha com a política de uso de IA em sete regras: use as ferramentas da empresa; dado pessoal não sai sem máscara; senha, chave e cartão nunca; você responde pelo que entrega; decisão sobre pessoas fica registrada; todo agente tem dono; errou, avise em 24 horas. - Sete regras em uma página. O texto completo está logo abaixo, pronto para copiar.]

Os colchetes são o que cada empresa preenche. O resto pode ficar como está, e a gente recomenda resistir à tentação de acrescentar. Toda regra nova dilui as outras sete.

```text
Política de uso de IA da [empresa]
Versão 1, [data]. Revisada a cada seis meses.

Esta política vale para todo mundo que trabalha na [empresa], inclusive terceiros, em qualquer ferramenta de inteligência artificial: chat, agente, extensão ou aplicação.

1. Use as ferramentas da empresa, com o login da empresa.
Hoje são: [assistente de chat], [agente de código] e [outras]. Precisa de outra? Peça em [formulário]. A resposta sai em até cinco dias úteis, e a decisão fica publicada para a próxima pessoa que tiver a mesma dúvida.

2. Dado pessoal não sai sem máscara.
A ferramenta da empresa troca CPF, e-mail e telefone por marcadores antes de o texto sair. Fora dela, não cole dado de cliente, de paciente ou de colega.

3. Senha, chave de API, token e número de cartão, nunca.
Em nenhuma ferramenta, nem na da empresa. Se colou sem querer, avise (regra 7) e troque a credencial.

4. Você responde pelo que entrega.
Revise o que a IA escreveu antes de mandar para fora da empresa: cliente, fornecedor, órgão público, imprensa. A IA erra com muita confiança.

5. Decisão sobre pessoas fica registrada.
Se a IA participou de uma decisão sobre crédito, contratação, preço ou acesso a serviço, isso fica registrado no processo, e a pessoa afetada pode pedir revisão.

6. Todo agente tem dono.
Agente, script ou automação que usa IA tem um responsável nomeado, um orçamento e passa pelo gateway da empresa. Agente sem dono é desligado.

7. Errou? Avise em até 24 horas.
Escreva para [canal ou e-mail]. Ninguém é punido por avisar. Quem esconde é. Dúvidas sobre esta política vão para [canal].

Responsáveis: [Jurídico/DPO], [Segurança], [TI], [representante das áreas de negócio].
```

## O controle atrás de cada regra

É aqui que a página curta ganha da longa. Para cada regra existe um jeito de saber se ela está sendo cumprida, e um dono para esse jeito.

Repare na regra 4. Ela não tem controle técnico e está ali mesmo assim, porque é a mais importante para a reputação da empresa. Uma política honesta admite onde a tecnologia não chega.

- Regra: 1. Ferramentas da empresa | O controle por trás: Gateway como caminho único para os provedores, login único da empresa e saída direta bloqueada no firewall depois que o caminho oficial está de pé. | Quem cuida: TI
- Regra: 2. Dado pessoal com máscara | O controle por trás: Política de dados no gateway mascarando CPF, CNPJ, e-mail e telefone por categoria, testada com textos parecidos com os reais antes de ligar. | Quem cuida: Privacidade (DPO)
- Regra: 3. Segredos, nunca | O controle por trás: Bloqueio por categoria no gateway e varredura de segredos nos repositórios de código. | Quem cuida: Segurança
- Regra: 4. Você responde pelo que entrega | O controle por trás: Nenhum controle técnico substitui. Revisão por amostragem do que vai para fora e conversa com o time quando algo passa. | Quem cuida: Gestores
- Regra: 5. Decisão sobre pessoas | O controle por trás: Trilha de auditoria com quem pediu, quando, qual modelo e o que a política decidiu, guardada pelo prazo definido. Base para o direito de revisão do art. 20 da LGPD. | Quem cuida: Jurídico e dono do processo
- Regra: 6. Agente com dono | O controle por trás: Chave virtual por agente, com orçamento, e o painel de agentes mostrando quem fala com o gateway sem cadastro manual. | Quem cuida: Plataforma ou TI
- Regra: 7. Avisar em 24 horas | O controle por trás: Um canal com gente respondendo em horário comercial. A Resolução ANPD 15/2024 dá três dias úteis para comunicar um incidente com dado pessoal, e as 24 horas internas existem para caber nesse prazo. | Quem cuida: Segurança e DPO

## Quem assina, e quanto tempo leva

Quatro pessoas numa sala: alguém do jurídico ou o DPO, alguém de segurança, alguém de TI e alguém das áreas de negócio que use IA todo dia. Essa quarta pessoa é a que mais faz falta e a que mais costuma ser esquecida. É ela que vai dizer que a regra 1 só funciona se a ferramenta oficial tiver o modelo que o time já usa, ou que o prazo de cinco dias para exceção é longo demais para o comercial.

[Figura: Duas pessoas conversando numa sala de reunião envidraçada ao anoitecer, com páginas impressas viradas para baixo sobre a mesa e um abajur aceso. - Duas reuniões de uma hora resolvem. A primeira para discordar, a segunda para assinar.]

Com o modelo em mãos, duas reuniões de uma hora costumam bastar. Publique num lugar que as pessoas já abrem (a intranet que ninguém visita não conta), mande o link no canal geral e marque a revisão para daqui a seis meses. As ferramentas mudam mais rápido do que qualquer política, e uma política desatualizada perde a credibilidade das regras que continuam certas.

## As exceções são parte da política

Política sem caminho de exceção vira política ignorada. Alguém do marketing vai precisar de uma ferramenta de imagem que não está na lista. O time de dados vai querer testar um modelo aberto. Se a única resposta possível é não, as pessoas param de perguntar.

O caminho pode ser simples: um formulário com três campos (qual ferramenta, para quê, com que tipo de dado), resposta em até cinco dias úteis e a decisão publicada numa lista que todo mundo vê. Na terceira vez que alguém pergunta pela mesma ferramenta, ela provavelmente devia entrar na regra 1.

## O que isso não resolve

Uma página não cria cultura. Se a ferramenta oficial for pior do que a escondida, as pessoas voltam para a escondida, com ou sem política assinada. A política é a metade escrita de um acordo cuja outra metade é oferecer algo que valha a pena usar.

Ela também não substitui as regras do seu setor. Banco tem a Resolução CMN 4.893, saúde tem as normas dos conselhos profissionais, e quem vende para a Europa tem o AI Act no horizonte. Este modelo é um ponto de partida para a empresa média e não é parecer jurídico. Passe pelo seu jurídico antes de publicar.

Antes de escrever, olhe o que já acontece: Uma política escrita sem saber como a empresa já usa IA erra o alvo. O artigo sobre IA na sombra mostra como fazer esse retrato em uma semana, sem caça às bruxas.

## Sobre a Atlasberg

A Atlasberg constrói a camada de controle entre uma empresa e todos os modelos de IA. A Atlasberg Platform autentica cada requisição com uma chave virtual, filtra por política e DLP, roteia para o provedor certo e grava numa trilha de auditoria encadeada por hash, com uma API compatível com a OpenAI para as aplicações só trocarem a URL base.

Os artigos deste blog são escritos pelo time de engenharia e relatam medições em tráfego real, com as premissas impressas ao lado do resultado. Para falar com o time, escreva para contact@atlasberg.com ou use https://atlasberg.com/pt-br/contato.

## Mais da Atlasberg

- [Todos os artigos](https://atlasberg.com/pt-br/blog)
- [IA na sombra: descubra quem já usa IA](https://atlasberg.com/pt-br/blog/ia-na-sombra-quem-ja-usa-ia-na-empresa)
- [O que a Resolução CMN 4.893 exige de um LLM em nuvem](https://atlasberg.com/pt-br/blog/resolucao-cmn-4893-e-llm-em-nuvem)
- [Visão geral da plataforma](https://atlasberg.com/pt-br)
- [Começar teste grátis](https://atlasberg.com/pt-br/#cta)
- [Fale com a engenharia](https://atlasberg.com/pt-br/contato)

---
Fonte: https://atlasberg.com/pt-br/blog/politica-de-uso-de-ia-em-uma-pagina
Empresa: Sobimann Tecnologia da Informacao LTDA (Atlasberg), Porto Alegre, RS, Brasil.
Contato: contact@atlasberg.com - resposta em até um dia útil.
Índice para agentes: https://atlasberg.com/llms.txt