Quando a empresa libera o uso de IA, as dúvidas aparecem rápido. Posso colar este contrato na ferramenta? Posso enviar o texto sem revisar? Preciso avisar o cliente? Sem resposta clara, cada pessoa decide sozinha, e as decisões variam bastante.
Uma política de quarenta páginas raramente ajuda. Poucas regras, escritas em linguagem de trabalho e treinadas na prática, costumam funcionar melhor. Veja um caminho para montá-las.
Por que regras curtas funcionam melhor
Documentos longos são lidos uma vez, na integração, e depois esquecidos. Regras curtas cabem em uma página, podem ser consultadas na hora da dúvida e podem ser ensinadas com exemplos.
Outro ponto é que o uso de IA muda rápido. Ferramentas novas aparecem, recursos mudam. Uma regra ancorada em princípios, como "não inserir dado pessoal de cliente em ferramenta não aprovada", resiste melhor do que uma lista de nomes de produtos permitidos.
O papel do RH, do jurídico e da área de tecnologia é construir esse conjunto de regras em conjunto, com a participação de quem usa no dia a dia. Regras escritas só por quem não usa tendem a ser ignoradas ou contornadas.
Regra 1: saiba que dado você está colocando
A primeira pergunta antes de colar qualquer coisa numa ferramenta de IA é de que tipo de informação se trata. A Lei Geral de Proteção de Dados (Lei 13.709/2018) define dado pessoal como informação relacionada a pessoa natural identificada ou identificável. Nome, CPF, e-mail, currículo e histórico de atendimento entram nessa definição.
A lei também trata de dados pessoais sensíveis, categoria que inclui, entre outros, dado referente à saúde, dado genético ou biométrico, origem racial ou étnica, convicção religiosa e filiação a sindicato. Para essas informações, o cuidado precisa ser ainda maior, e a decisão de usar uma ferramenta deve passar pelo jurídico e pela área responsável por privacidade.
Na prática, vale uma classificação simples em três níveis que qualquer pessoa entenda:
- Pode usar: informação pública ou texto sem identificação de pessoas ou clientes.
- Usa com cuidado: informação interna da empresa, apenas em ferramentas aprovadas.
- Não usa: dado pessoal de clientes, candidatos ou colaboradores, dado sensível, segredo comercial e material sob confidencialidade, a menos que exista autorização e ferramenta adequada.
Um exemplo do dia a dia: para treinar um novo atendente, a pessoa pode pedir à IA exemplos de situações de atendimento inventadas. Colar o histórico real de um cliente, com nome e dados, é outra decisão.
Regra 2: use as ferramentas aprovadas
Ferramentas gratuitas de uso individual e plataformas contratadas pela empresa costumam ter condições diferentes de tratamento de dados, de retenção e de contrato. Quem decide qual é adequada para cada tipo de informação é a empresa, com apoio do jurídico e da tecnologia.
A regra prática: se a ferramenta não passou por avaliação, use apenas com informação do primeiro nível. E se a empresa ainda não disponibilizou nada, o caminho é perguntar, não improvisar. Muitas equipes passam a usar contas pessoais justamente porque ninguém explicou o que era permitido.
Publique a lista de ferramentas aprovadas em um lugar de fácil acesso, com um responsável por atualizá-la e um canal para sugerir novas opções.
Regra 3: uma pessoa responde pelo que sai
A IA não assina nada. Quem envia o documento, a proposta ou o e-mail responde por ele, independentemente de quem escreveu o primeiro rascunho.
Isso dá uma regra simples e fácil de lembrar: nenhum conteúdo gerado por IA sai da empresa sem que uma pessoa o tenha lido e aprovado. Quanto maior o risco, mais profunda a revisão. Para comunicados externos, números, referências legais e afirmações sobre produtos, a conferência deve ser feita contra a fonte original.
Também ajuda registrar quem revisou em processos mais sensíveis, como contratos, relatórios regulatórios e comunicações a clientes. Não precisa ser burocrático: um campo no fluxo de aprovação já resolve.
Regra 4: decisões sobre pessoas não ficam só com a máquina
Seleção de candidatos, avaliação de desempenho, promoções e desligamentos afetam a vida de alguém. A LGPD, no artigo 20, prevê que o titular dos dados tem direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluindo as destinadas a definir seu perfil pessoal, profissional, de consumo e de crédito.
Para o RH, a consequência prática é manter um humano na decisão e conseguir explicar os critérios usados. A IA pode ajudar a organizar informações, resumir entrevistas ou sugerir perguntas. A decisão final e a justificativa ficam com pessoas identificadas.
Vale ainda observar a qualidade dos dados e o risco de viés. Se o histórico usado como base reflete escolhas passadas enviesadas, a ferramenta tende a reproduzi-las. Uma revisão periódica, comparando resultados entre grupos, ajuda a notar distorções.
Regra 5: seja transparente quando fizer diferença
Nem todo uso de IA precisa ser anunciado. Um corretor ortográfico mais inteligente não exige aviso. Mas há situações em que a transparência é parte da relação de confiança: um atendimento automatizado que o cliente pode confundir com uma pessoa, um material entregue a um parceiro, um trabalho acadêmico, uma peça de comunicação com imagens geradas.
Combine internamente os casos em que o uso deve ser informado e como. Uma frase curta costuma bastar. O importante é que a equipe tenha um critério comum, e não dependa de decisões individuais a cada situação.
Regra 6: relate erros sem medo
Vai haver deslize. Alguém vai colar um dado que não devia, vai enviar um texto com informação errada, vai descobrir que a ferramenta inventou uma referência. O que define a maturidade da empresa é a velocidade com que o problema chega a quem pode agir.
Crie um canal simples para reportar incidentes e deixe claro que o objetivo é corrigir e aprender. Equipes que temem punição escondem os erros, e o risco só aumenta. O princípio da responsabilização e prestação de contas, previsto no artigo 6 da LGPD, vai nessa direção: demonstrar que existem medidas eficazes de proteção de dados.
Como ensinar as regras para que sejam usadas
Distribuir um PDF não basta. As regras pegam quando são treinadas com casos reais da área. Uma dinâmica que costuma funcionar em treinamentos: o grupo recebe cinco situações do dia a dia e decide, em duas rodadas, o que pode, o que exige cuidado e o que não deve ser feito.
Esse tipo de exercício faz parte da etapa de aplicação, em que as ferramentas e os limites se conectam à rotina da equipe. Depois vem a execução: compromissos claros, responsáveis definidos e indicadores, como número de ferramentas aprovadas em uso, incidentes reportados e revisões feitas.
Antes de fechar a política, a leitura do jurídico e do encarregado de dados da empresa é indispensável. Este texto é um ponto de partida de conversa e não substitui a orientação jurídica da sua organização.
Próximo passo
Se a sua empresa está começando a estruturar o uso de IA, uma boa porta de entrada é entender onde estão hoje as dúvidas e os riscos mais frequentes de cada área. Na conversa de diagnóstico de 35 minutos com o Eduardo Barros, esse mapa pode ser feito em conjunto, e a entrega, seja palestra, treinamento ou programa, é desenhada em cima do que a sua equipe realmente enfrenta.
Eduardo Barros é CEO e cofundador da WorkAI. Há mais de 13 anos empreende entre tecnologia, saúde e educação, e conduz palestras e programas de IA para grandes organizações.