Política de uso de ChatGPT na empresa: o que permitir e proibir

Política de uso de ChatGPT na empresa: o que permitir e proibir

Uma boa política de uso de ChatGPT na empresa define, em linguagem simples, quais ferramentas são aprovadas, quais tipos de dado podem ser colados nelas e quais nunca podem. Ela também diz o que fazer quando alguém erra e quem decide os casos duvidosos. Proibir tudo raramente funciona: a equipe continua usando, só que sem regra e sem visibilidade.

Principais pontos

• Classifique os dados em faixas simples (livre, restrito e proibido) e deixe claro o que cabe em cada faixa.
• Aprove ferramentas pelo nome e pelo tipo de conta. Conta pessoal e conta corporativa não têm o mesmo tratamento contratual.
• Trate o uso informal como informação, não como crime: ofereça um caminho aprovado antes de punir.
• Dados pessoais, segredos comerciais, credenciais e documentos de clientes exigem regra explícita, com base na LGPD.
• A política precisa ter dono, revisão periódica e um canal para tirar dúvida em minutos, não em semanas.

Por que proibir tudo não funciona

Quando a empresa bloqueia a IA generativa sem oferecer alternativa, o trabalho não para. Alguém continua pedindo ajuda ao ChatGPT para resumir uma reunião, reescrever um e-mail ou entender uma planilha, só que pelo celular, pela conta pessoal e sem ninguém saber. O risco não diminui, ele fica invisível.

Por isso a política deve começar por uma pergunta prática: quais tarefas a equipe já tenta resolver com IA e quais delas são seguras o bastante para serem liberadas com regra. Uma política que reconhece o uso real tem mais chance de ser seguida do que uma que finge que ele não existe.

Existe também uma distinção importante entre três tipos de afirmação, e a política deve respeitá-la. O que o fornecedor diz em sua documentação e nos seus termos é um fato que você confere na fonte. O que a sua equipe faz no dia a dia é experiência de implementação, que você descobre perguntando e observando. O que você acha que pode acontecer com os dados é hipótese, e deve ser tratado como tal até ser verificado. Misturar os três é a origem da maioria das regras ruins.

Quais dados podem e quais não podem ser colados em IA?

A regra mais útil é a que cabe na cabeça de quem está com pressa. Três faixas costumam bastar.

A faixa livre reúne conteúdo que já é público ou sem sensibilidade. A faixa restrita reúne conteúdo interno que só pode ir para ferramentas aprovadas, em contas corporativas. A faixa proibida reúne o que não deve ser colado em nenhuma ferramenta de IA generativa, a menos que exista uma decisão formal e documentada.

Exemplos de conteúdo que normalmente cabe na faixa livre:

• Texto de site, material de marketing já publicado e comunicados públicos.
• Perguntas genéricas de conhecimento, sem nenhum dado da empresa ou de clientes.
• Rascunhos sobre temas que não revelam estratégia, clientes ou números internos.

Exemplos de conteúdo da faixa restrita, que só vai para ferramenta aprovada e conta corporativa:

• Documentos internos sem dado pessoal, como procedimentos, atas sem nomes sensíveis e rascunhos de políticas.
• Código-fonte que não contém segredos e não é o núcleo competitivo do negócio.
• Dados de negócio agregados e anonimizados de forma que ninguém seja identificável.

Exemplos de conteúdo da faixa proibida:

• Dados pessoais de clientes, funcionários ou candidatos (nome com CPF, endereço, telefone, histórico de atendimento, currículos).
• Dados pessoais sensíveis nos termos da LGPD, como saúde, biometria, origem racial, religião ou filiação sindical.
• Senhas, tokens, chaves de API, certificados e qualquer credencial.
• Contratos sob confidencialidade, propostas em negociação e informações de terceiros que a empresa se comprometeu a proteger.
• Segredos comerciais, fórmulas, estratégia de preços não divulgada e planos de aquisição.
• Conversas completas de WhatsApp com clientes, por conterem dado pessoal e contexto que o cliente não autorizou compartilhar.

Essas faixas não substituem a análise jurídica. Para entender a base legal, a finalidade e os deveres do controlador, vale ler o material sobre LGPD e inteligência artificial. A ANPD, autoridade nacional de proteção de dados, publica orientações oficiais que devem ser a referência quando houver dúvida sobre tratamento de dados pessoais.

Como tratar o uso informal da equipe?

O uso informal, muitas vezes chamado de IA nas sombras, é o ponto em que a maioria das políticas falha. Se a primeira reação ao descobri-lo for punição, as pessoas passam a esconder. Se a primeira reação for curiosidade, a empresa aprende o que a equipe precisa.

Uma abordagem que costuma funcionar tem quatro movimentos:

• Anistia por um período definido: quem declarar o que já usa não é punido por uso passado, desde que pare o que for proibido.
• Levantamento simples: um formulário curto perguntando qual ferramenta, para qual tarefa e com que tipo de dado.
• Alternativa aprovada: para cada uso legítimo encontrado, oferecer uma ferramenta e uma regra, em vez de apenas um não.
• Consequência proporcional: a partir da data da política, uso na faixa proibida passa a ter tratamento disciplinar conforme as regras de trabalho já existentes.

O levantamento costuma revelar tarefas muito parecidas entre áreas: resumir textos, redigir respostas, revisar planilhas, traduzir. Isso ajuda a decidir onde investir em uma solução aprovada, e é aqui que a lógica de quais processos automatizar primeiro ajuda a priorizar.

Passo a passo para escrever a política

A política não precisa ser longa. Precisa ser clara, curta o bastante para ser lida e específica o bastante para ser aplicada. Um caminho possível:

• Defina o escopo: quem está coberto (funcionários, estagiários, terceiros) e quais ferramentas (chatbots, assistentes embutidos em editores, extensões de navegador, aplicativos de celular).
• Liste as ferramentas aprovadas, o tipo de conta exigido e quem administra o acesso. Confira nos termos do fornecedor como os dados são tratados em cada tipo de plano, em vez de presumir.
• Publique as três faixas de dados com exemplos do dia a dia da sua empresa, não exemplos genéricos.
• Escreva as proibições absolutas em frases curtas, sem exceção implícita.
• Defina a regra de revisão humana: nada gerado por IA vai para cliente, contrato, folha de pagamento ou decisão sobre pessoas sem que um responsável leia e assuma.
• Nomeie um dono da política e um canal de dúvidas com prazo de resposta curto.
• Descreva o procedimento de incidente: o que fazer ao perceber que um dado proibido foi colado, quem avisar e em quanto tempo.
• Marque uma revisão periódica, porque ferramentas, planos e termos mudam.

Se a empresa pretende ir além do uso individual e conectar IA a sistemas, a política precisa conversar com regras de aprovação de ações. O modelo de política de aprovação para agentes de IA ajuda a separar o que a IA pode sugerir do que ela pode executar.

Cenário ilustrativo: a analista que quer resumir reclamações

Cenário ilustrativo: uma analista de atendimento recebe um arquivo com centenas de mensagens de clientes e quer um resumo dos principais motivos de reclamação. Ela abre uma conta pessoal de um assistente de IA e cola o arquivo inteiro, com nomes, telefones e números de pedido.

Pela política proposta, esse uso cai na faixa proibida em dois pontos: a conta não é a aprovada e o conteúdo traz dados pessoais de clientes. O que a política deveria oferecer como caminho correto:

• Remover ou mascarar nomes, telefones e identificadores antes de qualquer análise.
• Usar a ferramenta aprovada, em conta corporativa, apenas com o texto das reclamações já sem identificação.
• Pedir ao modelo categorias e exemplos genéricos, e conferir uma amostra manualmente contra as mensagens originais.
• Registrar a tarefa no canal de dúvidas, para que o caso vire exemplo na próxima versão da política.

Note que a analista não fez algo malicioso. Ela tinha um problema real e uma ferramenta à mão. A política existe para torná-la capaz de resolver o mesmo problema com segurança.

Checklist de decisão antes de colar um texto

Uma lista curta, colada perto do teclado ou fixada no canal da equipe, vale mais que um documento extenso. Antes de colar algo em uma IA generativa, a pessoa responde em ordem:

• A ferramenta é uma das aprovadas e estou na conta corporativa? Se não, parar.
• O texto contém dado pessoal de alguém, mesmo que pouco? Se sim, remover ou mascarar, ou não usar.
• Contém senha, chave, token ou credencial? Se sim, nunca colar.
• Está sob confidencialidade com cliente, fornecedor ou parceiro? Se sim, não colar sem autorização formal.
• Eu consigo explicar a um cliente ou ao jurídico por que enviei isso? Se não, perguntar antes.
• Quem vai revisar o que a IA devolver antes de isso sair da empresa? Se ninguém, a tarefa não está pronta para uso.

O último item importa tanto quanto os de dados. Boa parte do dano real vem de respostas erradas que foram aceitas sem leitura, e não apenas de vazamentos. O catálogo de riscos para aplicações com modelos de linguagem mantido pela OWASP é uma boa referência para quem quer entender, por exemplo, excesso de confiança na saída do modelo e exposição de informação sensível.

Como o método de mapear, limitar, pilotar e transferir se aplica

A política de uso é um bom primeiro projeto de governança porque segue o mesmo caminho de qualquer iniciativa de IA. Mapear: descobrir quais ferramentas e tarefas já existem na empresa, e com que dados. Limitar: decidir faixas de dados, ferramentas aprovadas e ações permitidas. Pilotar: testar a política com uma área ou um fluxo real, com registro de dúvidas e incidentes e uma métrica combinada, como o número de consultas ao canal de dúvidas que viraram regra. Transferir: entregar a política com dono interno e decidir se amplia, ajusta ou encerra.

Para fluxos em que a IA passa a tratar dados pessoais de forma recorrente, como atendimento ou RH, o uso deixa de ser apenas individual e pode exigir avaliação formal. Vale conhecer o conteúdo sobre RIPD para projetos de IA para saber quando o relatório de impacto entra na conversa. O framework de gestão de riscos de IA do NIST também ajuda a estruturar o raciocínio de mapear, medir e gerir riscos sem depender de modismo.

Perguntas frequentes

A empresa pode simplesmente proibir o ChatGPT? Pode, mas isso costuma empurrar o uso para contas pessoais e celulares, onde a empresa perde qualquer visibilidade. Uma proibição só é eficaz quando acompanhada de bloqueio técnico, alternativa aprovada e comunicação clara sobre o motivo.

Posso colar dados de clientes se eu apagar só o nome? Em geral não basta. Telefone, e-mail, número de pedido, endereço e até o contexto da reclamação podem identificar a pessoa. Se a identificação ainda é possível, o dado continua pessoal para fins da LGPD, e a regra mais segura é mascarar de verdade ou não usar.

A conta corporativa de uma ferramenta de IA resolve o problema de privacidade? Ela costuma oferecer termos e controles diferentes dos de contas pessoais, mas isso depende do fornecedor e do plano, e deve ser conferido nos termos e na documentação oficial. Mesmo com conta corporativa, a empresa continua responsável por decidir quais dados entram, com que base legal e para qual finalidade.

Com que frequência a política deve ser revisada? Revise em intervalos definidos pelo dono da política e sempre que uma ferramenta mudar de plano, de termos ou de recursos, ou quando um incidente mostrar uma lacuna. Uma revisão curta e frequente é melhor que uma reescrita grande e esquecida.

Fontes

• ANPD: Autoridade Nacional de Proteção de Dados
• NIST AI Risk Management Framework
• OWASP Top 10 for LLM Applications