Resposta rápida: Doze cláusulas costumam faltar numa política de uso de IA: a lista nominal de ferramentas aprovadas, o caminho de exceção para quando a ferramenta certa não existe, a classificação de dado amarrada à política, a regra de revisão humana por tipo de decisão, a regra de divulgação ao cliente, a definição de propriedade do que foi gerado, a restrição de uso em processo de pessoas, o registro auditável, a separação entre conta corporativa e pessoal, a consequência proporcional para quem descumpre, o dono e a data de revisão, e a extensão da política a fornecedores. Sem elas o documento vira declaração de intenção e o time volta a decidir sozinho.
Eu já li dezenas dessas políticas. O padrão se repete: duas páginas, uma lista de proibições, uma frase sobre responsabilidade e a assinatura do jurídico. O documento está tecnicamente correto e não muda comportamento nenhum, porque ele responde o que a empresa não quer e nunca responde o que a pessoa deve fazer na terça-feira com um prazo em cima.
O critério: a cláusula tem que decidir uma dúvida real
Cada item desta lista entrou porque resolve uma pergunta que aparece de verdade na operação, e cuja ausência produz um comportamento ruim observável. Cláusula que só declara princípio ficou de fora, por mais bonita que soe numa apresentação.
O teste que eu aplico: se um analista com prazo curto ler esta cláusula, ele sabe o que fazer nos próximos cinco minutos? Se a resposta for não, ela ainda está no nível do princípio e precisa descer.
1. Lista nominal de ferramentas aprovadas
Nome da ferramenta, versão do plano e para que ela está liberada. Política que diz apenas "use ferramentas homologadas" sem publicar a lista transfere para o funcionário uma decisão que ele não tem como tomar. O buraco: cada área homologa por conta própria e a empresa descobre nove contratos meses depois.
2. Caminho de exceção quando a ferramenta certa não existe
A quem pedir, em quanto tempo a resposta chega e o que vale enquanto ela não chega. Esta é a cláusula que mais falta e a que mais gera uso escondido. O buraco: sem prazo declarado, a pessoa resolve o problema dela na ferramenta pessoal e nunca mais pergunta.
Leia também
3. Classificação de dado amarrada à política
A política precisa apontar para a tabela de classificação da empresa e dizer, por nível, o que pode ir para qual ferramenta. O buraco: sem esse elo, cada pessoa inventa a própria régua de confidencialidade, e a régua inventada é sempre mais permissiva que a da casa.
4. Revisão humana obrigatória por tipo de decisão
Quais decisões nunca saem sem uma pessoa assinando embaixo: crédito, desligamento, preço para cliente, comunicação pública, parecer jurídico. O buraco: sem a lista, a revisão humana vira formalidade genérica que todo mundo declara cumprir e ninguém consegue auditar.
5. Regra de divulgação ao cliente
Quando a empresa diz ao cliente que uma IA participou da entrega, e com que palavras. O buraco: cada gerente decide sozinho, um cliente descobre por acaso e a conversa vira crise de confiança. Vale ler o que responder quando o cliente pergunta se usamos IA.
Leia também
6. Propriedade do que foi gerado
Quem é dono do texto, do código e da imagem que saíram com apoio de IA, e o que a empresa pode fazer com material gerado por fornecedor. O buraco: descobrir a resposta durante uma negociação de contrato, com o cliente do outro lado da mesa perguntando primeiro.
7. Restrição de uso em processo de pessoas
Recrutamento, avaliação de desempenho, promoção e desligamento. A cláusula precisa dizer o que é permitido (triagem apoiada, redação de feedback) e o que é vedado (decisão automatizada). O buraco: uso silencioso em triagem, com viés que ninguém auditou e passivo trabalhista que aparece depois.
8. Registro auditável do que foi usado
Que ferramenta, por quem, em qual processo e com que dado, com um prazo de retenção declarado. O buraco: quando o cliente manda o questionário de segurança ou o auditor pergunta, a empresa não tem resposta. Vale ler trilha de auditoria de IA.
9. Separação entre conta corporativa e conta pessoal
A regra explícita de que trabalho da empresa acontece em conta da empresa, e o que fazer com quem já tem histórico de trabalho na conta pessoal. O buraco: o conhecimento da casa fica na conta de alguém e sai pela porta quando essa pessoa sai.
Leia também
10. Consequência proporcional para quem descumpre
Uma escala real, do aviso à medida disciplinar, com a distinção entre erro de boa-fé e ocultação deliberada. O buraco: política sem consequência declarada é ignorada, e política com consequência desproporcional faz o time esconder o erro em vez de reportar.
11. Dono nomeado e data de revisão
Nome do responsável, periodicidade da revisão e a data da última. O buraco: o documento envelhece junto com o mercado, continua citando ferramenta que a empresa não usa mais, e o time percebe que ninguém cuida daquilo, o que contamina o resto da política.
12. Extensão da política a fornecedores e terceiros
Agência, BPO, contabilidade e prestador que trabalha com dado da empresa. A cláusula precisa dizer o que a empresa exige deles e como isso entra em contrato. O buraco: a empresa fecha a própria porta e mantém aberta a do fornecedor, que é por onde o dado costuma sair.
Leia também
O mapa em uma tabela
| cláusula | pergunta que ela responde | buraco se faltar |
|---|---|---|
| Ferramentas aprovadas | posso usar esta? | contratos paralelos por área |
| Caminho de exceção | e se não tiver a certa? | uso escondido em conta pessoal |
| Classificação de dado | posso colar isto aqui? | cada um inventa a própria régua |
| Revisão humana | isto sai sem alguém ver? | revisão vira formalidade |
| Divulgação ao cliente | eu conto que usei? | cliente descobre sozinho |
| Propriedade | de quem é o que saiu? | surpresa em negociação |
| Processo de pessoas | vale em recrutamento? | viés e passivo trabalhista |
| Registro auditável | quem usou o quê? | sem resposta para auditor |
| Conta corporativa | pessoal ou da empresa? | conhecimento sai com a pessoa |
| Consequência | o que acontece se eu errar? | erro escondido |
| Dono e revisão | quem cuida disto? | documento envelhece |
| Fornecedores | vale para a agência? | dado sai pela porta do parceiro |
Quando nenhuma destas cláusulas resolve o problema
Existe um caso em que somar cláusula piora tudo: a empresa que ainda não decidiu para que usa IA. Política é instrumento de execução, e escrever regra detalhada antes de existir uso real produz um documento longo que ninguém lê e que precisa ser reescrito no primeiro projeto de verdade. Nesse estágio, meia página com o caminho de exceção e a classificação de dado já entrega mais.
O segundo caso é a empresa de setor regulado. Ali a política interna fica subordinada ao que o regulador exige, e começar pelas doze cláusulas genéricas atrasa a conversa que importa, que é o mapeamento das obrigações específicas do setor.
E vale dizer o óbvio que costuma ser esquecido: nenhuma dessas cláusulas funciona se a política não estiver a um clique de onde a pessoa trabalha. Documento em pasta de rede não muda comportamento.
A régua que eu deixo com o líder
Pegue a política atual e marque cada uma das doze. As que faltarem, ordene por dor: qual ausência já produziu um problema concreto nos últimos noventa dias. Comece por essa, e não pela primeira da lista.
Se o resultado da auditoria for que faltam dez das doze, o caminho mais rápido costuma ser reescrever em vez de emendar, e reescrever com quem usa em vez de só com o jurídico. O texto que muda comportamento sai de uma conversa com três pessoas que estão colando coisas em prompts todos os dias. Para o desenho geral do documento, a política de uso de IA na empresa traz a estrutura completa.