Uma pesquisa recente apontou que 87% das empresas brasileiras ainda não possuem uma política formal de governança de Inteligência Artificial (IA), mesmo com a maioria dos trabalhadores utilizando essas ferramentas diariamente. O cenário, que antes era visto como uma boa prática, agora se tornou um risco regulatório concreto para as organizações.
O poder de suspender o tratamento de dados de uma empresa está previsto na LGPD desde 2019. A novidade é que, entre setembro de 2025 e 2026, a ANPD se tornou uma agência reguladora com orçamento e carreira próprios. Em dezembro, o órgão publicou o Mapa de Temas Prioritários para o período de 2026 a 2027, colocando a Inteligência Artificial como um dos quatro eixos centrais de fiscalização, com 20 ações previstas.
Um caso que ilustra a postura mais rígida da agência ocorreu em 2024, quando a ANPD suspendeu a política de privacidade da Meta no Brasil. A empresa usava publicações de usuários para treinar IA generativa, afetando cerca de 102 milhões de pessoas. O episódio acende um alerta para companhias de todos os portes que podem estar cometendo erros semelhantes ao inserir dados de clientes em plataformas de IA abertas.
Diante desse contexto, a pergunta que as lideranças devem fazer não é mais se precisam de uma política de uso de IA, mas sim o que deve constar nesse documento para que ele seja efetivo. O primeiro passo é definir claramente o que pode ser inserido em ferramentas de IA. Dados de clientes, cláusulas contratuais, informações financeiras não públicas e código proprietário precisam de regras explícitas, em vez de orientações genéricas.
Em segundo lugar, é preciso listar quais ferramentas estão autorizadas e em qual plano. A versão gratuita de uma IA generativa pode permitir a retenção de conteúdo para treinamento, enquanto a versão corporativa costuma ter contrato específico sobre propriedade e uso dos dados. Tratar as duas situações da mesma forma é um erro comum.
Outro ponto essencial é definir quem aprova o uso de uma nova ferramenta antes que ela entre em operação, criando um fluxo que evite a adoção descontrolada de tecnologias. A política também deve estabelecer as consequências para o descumprimento das regras, pois uma norma sem punição tende a ser ignorada. Por fim, a revisão periódica do documento é necessária, já que o mercado de IA muda rapidamente e uma política desatualizada não cobre as ferramentas em uso.
O ponto que mais falha na prática, mesmo em empresas com documentos bem elaborados, é o treinamento das equipes. Uma política de dez páginas distribuída por e-mail e nunca mais mencionada tem o mesmo efeito de não existir. Sessões curtas com exemplos reais do dia a dia da empresa são mais eficazes do que um texto jurídico bem escrito, mas mal comunicado.
Nenhum desses pontos exige conhecimento técnico profundo. É preciso apenas alguém disposto a mapear o que já acontece internamente e transformar isso em regras claras, antes que um órgão fiscalizador o faça após um incidente. A recomendação é verificar se a política atual da empresa responde a essas questões ou começar a escrever a primeira versão ainda esta semana.
