Segurança
A política de IA que toda empresa precisa ter
Não é documento de vinte páginas feito por escritório de advocacia. É uma página que o time lê e usa. Sem ela, cada pessoa decide sozinha o que pode colar numa IA.
Toda empresa em que alguém usa IA já tem uma política de IA.
O problema é que ela não está escrita, e cada pessoa criou a sua.
Uma acha que pode colar contrato. Outra acha que não pode colar nada. Uma terceira usa uma ferramenta que ninguém aprovou porque achou melhor. E nenhuma delas está errada, porque ninguém disse nada.
O que uma política resolve
Ela não existe pra proibir. Existe pra tirar a decisão do indivíduo no momento da pressa.
Quando a regra não está escrita, quem decide é a pessoa que está com prazo apertado às 18h de sexta. Ela vai decidir a favor de terminar o trabalho. Sempre.
Isso não é problema de caráter. É problema de desenho: você deixou uma decisão de risco na mão de quem está sob pressão, sem critério nenhum.
Uma página, quatro blocos
Documento longo não é lido, e política não lida não protege ninguém. Uma página.
Bloco 1: o que nunca sai daqui.
Lista curta e concreta. Documento de identidade, dado bancário, dado de saúde, senha e chave, contrato assinado de cliente, base de dados de clientes.
Concreto importa. "Dados confidenciais" não funciona porque cada um interpreta diferente. "Contrato de cliente" funciona.
Bloco 2: quais ferramentas são aprovadas.
Nomeia as que podem, e diz qual conta usar. Conta corporativa costuma ter contrato de dado diferente da conta pessoal gratuita, e essa diferença é justamente o que protege a empresa.
Se o time não sabe qual usar, ele usa a que abriu primeiro.
Bloco 3: o que precisa de revisão antes de sair.
Qualquer texto gerado por IA que vá pra fora da empresa passa por olho humano. Proposta, e-mail pra cliente, publicação, resposta oficial.
Não é desconfiança da ferramenta. É que o erro sai com o nome da empresa, não com o nome do modelo.
Bloco 4: quem procurar na dúvida.
Um nome. Se não tiver um nome, a dúvida vira decisão individual de novo, e você voltou ao começo.
O que deixar de fora
Lista de ferramentas proibidas. Envelhece em uma semana e vira corrida atrás do prejuízo. Melhor listar as aprovadas.
Detalhe técnico. Ninguém vai ler sobre retenção de token. O time precisa saber o que pode fazer, não como funciona.
Ameaça. Política que começa com punição é política que gera ocultação. E o que você menos quer é a pessoa escondendo que usou.
Como implantar sem virar burocracia
Escreve, comunica em quinze minutos numa reunião que já existe, e cola num lugar que o time abre.
Depois, a parte importante: pergunta o que ficou impossível. Se a política impedir algo que o trabalho exige, alguém vai contornar. Melhor descobrir na primeira semana e ajustar do que descobrir seis meses depois num incidente.
E, se o time já vinha usando sem regra, comunica sem punir. Pede que avisem casos passados sem consequência nenhuma. Você quer o mapa, não o culpado.
O sinal de que funcionou
Não é ninguém reclamar. É alguém perguntar.
Quando uma pessoa chega e diz "posso colar isso?", a política virou hábito. Antes disso, ela era só um arquivo.
Uma página escrita hoje custa uma hora. A alternativa custa o dia em que alguém colou a coisa errada no lugar errado, e aí não tem página que desfaça.
A decisão é sua.
Perguntas frequentes
Perguntas rápidas
+Empresa pequena precisa de política de IA?
Precisa, e é mais fácil de fazer. O risco não depende do tamanho: um único documento sensível colado numa ferramenta pública gera o mesmo problema em empresa de cinco ou de quinhentas pessoas.
+Por que uma página e não um documento completo?
Porque documento longo não é lido, e política não lida não muda comportamento. Uma página que o time conhece protege mais que vinte páginas arquivadas.
+O que não pode faltar na política?
Quatro coisas: o que nunca pode ser enviado para IA, quais ferramentas são aprovadas, o que precisa de revisão humana antes de sair da empresa, e quem procurar na dúvida.
+E se o time já estiver usando IA sem regra?
É o caso mais comum. Não trate como falta cometida: escreva a regra, comunique sem punir e peça que avisem casos passados sem consequência. Punir gera ocultação, e ocultação é pior que o uso.
Continue lendo
Como usar IA em cima de dado sensível sem entregar o dado
Dá pra corrigir prova, analisar contrato e resumir atendimento com IA sem mandar nome, CPF e documento pro modelo. A técnica é simples e quase ninguém aplica.
SegurançaOs 3 lugares por onde dado sensível vaza num app feito com IA
Não é hacker. Na prática, quase todo vazamento em app feito com IA vem de três lugares chatos e previsíveis. Os três dão pra conferir hoje, sem ser programador.
SegurançaComo separar dado real de dado de teste (o que a LGPD cobra)
Testar com a base de produção é o atalho mais comum e o mais caro. Separar ambiente é mais simples do que parece, e a LGPD não trata isso como detalhe.