IA e segurança: boas práticas para usar inteligência artificial na empresa

É, desde que com regra combinada. O risco quase nunca está na ferramenta em si: está no uso não controlado — dado confidencial colado num prompt, resposta publicada sem revisão e conta pessoal no lugar da corporativa. Com uma política curta, uma ferramenta aprovada e revisão humana onde o erro custa caro, o risco fica administrável e o ganho de produtividade é real.

Não, e essa é a regra que mais precisa ficar clara com a equipe. Nome, documento, endereço, telefone, dado de saúde e conteúdo de contrato não devem ser colados em IA pública. Se você precisa de ajuda com um caso real, remova o que identifica a pessoa e trabalhe com o conteúdo anonimizado — na maioria das vezes a resposta é igualmente útil.

É o uso de ferramentas de IA dentro da empresa sem passar por aprovação, geralmente em conta pessoal e gratuita. Não costuma ser má-fé — é gente tentando trabalhar mais rápido. O que torna perigoso é a invisibilidade: ao contrário de um ataque, dado colado num prompt não deixa rastro, não dispara alerta e não aparece em log nenhum.

Não, piora. Proibição empurra o uso para o celular pessoal, onde não existe controle, auditoria nem possibilidade de apagar nada. O uso continua acontecendo — só que invisível para você. Autorizar com regra clara e ferramenta aprovada dá muito mais controle real do que uma proibição que ninguém consegue fazer cumprir.

Pela LGPD, quem decide sobre o tratamento é o controlador — a sua empresa. O fornecedor que trata os dados em nome dela é o operador. Contratar uma ferramenta não transfere a responsabilidade: acrescenta um elo que você também precisa conseguir justificar. Por isso a escolha da ferramenta e o contrato importam tanto quanto a regra interna.

Precisa, e nela é ainda mais fácil de fazer: cabe em uma página. Empresa pequena costuma ter menos camada de controle, então a regra escrita é o que evita improviso. E o custo de um vazamento não é proporcional ao tamanho da empresa — pode ser justamente o contrário, porque a pequena tem menos margem para absorver o prejuízo.

Pode, e é o comportamento que mais surpreende quem está começando. Modelos de linguagem produzem texto plausível, não texto verificado — inventam número, citam norma inexistente e afirmam com a mesma confiança quando acertam e quando erram. É exatamente por isso que a revisão humana é obrigatória em tudo que envolve preço, prazo, dado técnico ou base legal.

Corporativa, sempre que houver qualquer dado de trabalho envolvido. A diferença prática é grande: planos corporativos costumam permitir desativar o uso dos dados para treinamento, oferecem contas administradas com revogação de acesso e geram registro de uso. Conta pessoal não oferece nada disso — e o histórico sai da empresa junto com o funcionário.

Provavelmente você não sabe, e essa é a parte desconfortável. Se o uso acontece em conta pessoal, não há como auditar. Por isso o primeiro passo não é investigar o passado, e sim migrar o uso para conta da empresa e deixar claro que reportar um deslize não gera punição. Quem pune quem avisa garante que o próximo esconda.

Podem, com limite mais rígido. Nessas profissões o sigilo não é boa prática — é obrigação com sanção prevista no conselho. IA serve bem para tarefa administrativa, texto institucional e organização interna. O que não pode é informação identificável de paciente ou cliente entrando em ferramenta pública, porque aí o problema deixa de ser de segurança e vira ético-disciplinar.

A cada seis meses, no mínimo. Ferramenta muda de plano, muda de termos e surge concorrente novo o tempo todo; regra escrita há dois anos provavelmente já não corresponde ao que a equipe usa hoje. A revisão é rápida quando o documento tem uma página — que é outro motivo para não escrever trinta.

Por um levantamento honesto: quais ferramentas a equipe já usa, em que contas e para quê. Sem culpar ninguém, porque o objetivo é mapear e não punir. Com isso na mão dá para escrever a política em uma página, escolher a ferramenta aprovada e fazer meia hora de treinamento. Eu faço esse diagnóstico gratuitamente e devolvo por escrito.