Governança de inteligência artificial: regras práticas para uso responsável

Governança de inteligência artificial é o conjunto de regras escritas que define onde a empresa pode usar IA, quais informações podem ser processadas, quem revisa cada saída e o que fazer quando algo dá errado. É um documento curto e operacional, não um manual extenso que ninguém lê.

Por que escrever essas regras

Sem orientação, cada pessoa decide sozinha o que enviar para uma ferramenta externa e o que publicar sem verificar. O resultado aparece em informação sensível exposta, texto impreciso divulgado e ausência total de responsável quando o erro é descoberto.

Uma política curta resolve a maior parte disso porque transforma bom senso em critério comum.

O que a política precisa cobrir

Seis linhas bem definidas valem mais do que trinta páginas genéricas.

Recomendação operacional e exigência legal

Este texto descreve recomendações operacionais da Polisenso para uso responsável de IA. Recomendação operacional não é exigência legal, e nada aqui constitui aconselhamento jurídico.

Obrigações aplicáveis ao seu setor, aos contratos vigentes e ao tratamento de dados pessoais devem ser avaliadas por profissional habilitado. A política interna deve ser revisada por essa pessoa antes de ser adotada como norma.

Referências técnicas úteis

Para estruturar a conversa sobre risco, o AI Risk Management Framework do NIST organiza funções de governar, mapear, medir e gerenciar. O perfil para IA generativa detalha riscos específicos desse tipo de sistema, como informação incorreta apresentada com confiança e vazamento de dados.

Ambos são voluntários e servem como vocabulário técnico, não como certificação nem como parecer legal.

Classificação de informação

Defina três níveis simples: informação pública, informação interna e informação restrita. Determine o que pode ser inserido em ferramentas externas em cada nível e deixe explícito que dados pessoais de clientes e material sob confidencialidade exigem cuidado adicional.

Sem classificação, a decisão fica com quem está com pressa, e pressa costuma escolher o caminho mais rápido.

Revisão antes de qualquer saída

Nenhum conteúdo produzido com apoio de IA deve chegar ao público, ao cliente ou a um sistema de decisão sem passar por pessoa responsável. O papel dessa revisão está descrito em revisão humana em processos com IA.

Registre quem revisou. Sem registro, não há responsabilidade e não há aprendizado quando um erro aparece.

Registro de ferramentas autorizadas

Mantenha uma lista das ferramentas aprovadas, com finalidade, responsável e observações sobre tratamento de dados. Toda nova ferramenta passa por uma avaliação curta antes de entrar na lista.

Isso evita o cenário em que a empresa descobre que informações circulam por cinco plataformas diferentes sem que ninguém tenha aprovado nenhuma.

Como tratar incidentes

Defina o que é um incidente: informação sensível inserida em ferramenta externa, conteúdo incorreto publicado, decisão tomada com base em saída não verificada. Estabeleça a quem relatar, em quanto tempo e quais são os primeiros passos.

O objetivo é corrigir rápido e ajustar a regra, não punir quem relatou. Política que gera medo produz silêncio, e silêncio esconde risco.

Treinamento e atualização

• Apresente a política a todos que usam as ferramentas.
• Explique com exemplos concretos do dia a dia.
• Revise o documento a cada semestre ou quando ferramentas mudarem.
• Registre a data da última revisão no próprio texto.
• Deixe a política acessível, não arquivada em uma pasta esquecida.

Sinais de que a governança não está funcionando

Se ninguém sabe dizer quais ferramentas estão autorizadas, se não existe registro de revisão, se um erro apareceu e não houve ajuste na regra, a política existe apenas no papel.

Governança se mede pelo comportamento observável, não pela existência do documento.

Como escrever a política em uma página

Um documento de uma página é lido; um manual de trinta não é. Use frases curtas, exemplos reais da operação e linguagem que a equipe usa. Evite termos técnicos sem explicação e evite formulações genéricas que não indicam comportamento esperado.

Uma boa verificação é entregar o texto a alguém que não participou da redação e perguntar o que essa pessoa faria em três situações concretas. Se a resposta for hesitante, a regra ainda está vaga.

Papéis envolvidos

Em equipes pequenas, uma pessoa pode acumular papéis. O que não pode acontecer é nenhum papel ter nome.

Avaliação de fornecedores

Antes de autorizar uma ferramenta, verifique quais dados ela processa, onde ficam armazenados, se o conteúdo enviado é usado para treinar modelos, como funciona a exclusão e quais compromissos contratuais existem sobre confidencialidade.

Registre essa avaliação junto ao item da lista de ferramentas autorizadas, com a data. Condições mudam, e a revisão periódica evita operar com informação desatualizada.

Transparência com clientes

Quando IA participa de forma relevante da entrega ou do atendimento, informe. Transparência preserva confiança e evita desconforto quando o cliente descobre por outro caminho.

Essa comunicação não precisa ser técnica. Basta explicar onde a tecnologia é usada e que existe revisão humana antes de qualquer entrega.

Revisão da política após incidentes

Todo incidente relatado deve gerar uma pergunta simples: a regra existia e não foi seguida, ou a regra não cobria a situação? No primeiro caso, o problema é de comunicação e treinamento. No segundo, a política precisa de um parágrafo novo.

Registre a mudança e a data. Política sem histórico de revisão perde credibilidade interna.

Conclusão prática

Escreva uma política curta com usos permitidos e vedados, classificação de informação, revisão obrigatória antes de qualquer saída, lista de ferramentas autorizadas e caminho para incidentes. Trate as referências públicas como apoio técnico e submeta a política a profissional habilitado antes de adotá-la como norma. Se quiser apoio nessa estruturação, veja o serviço de tecnologia e IA da Polisenso.