87% das empresas não têm política de IA: como evitar riscos
Dados recentes mostram que 87% das empresas brasileiras ainda não possuem uma política formal de governança de Inteligência Artificial (IA), mesmo com a maioria dos trabalhadores utilizando essas ferramentas diariamente. O que antes era visto como uma boa prática, agora se tornou um risco regulatório concreto para os negócios.
O poder de suspender o tratamento de dados de uma empresa está previsto na LGPD desde 2019. A diferença é que a ANPD se tornou uma agência reguladora com orçamento e carreira próprios entre setembro de 2025 e 2026. Em dezembro, a agência publicou o Mapa de Temas Prioritários para 2026-2027, colocando a Inteligência Artificial como um dos quatro eixos centrais de fiscalização, com 20 ações previstas.
Um exemplo prático ocorreu em 2024, quando a ANPD suspendeu a política de privacidade da Meta no Brasil. A empresa usava publicações de usuários para treinar IA generativa, afetando cerca de 102 milhões de pessoas. Esse caso levanta o questionamento sobre quantas empresas brasileiras fazem algo parecido sem saber, ao inserir dados de clientes em IAs abertas.
Pontos para uma política eficaz
O primeiro ponto é definir claramente o que pode e o que não pode ser inserido em ferramentas de IA. Dados de clientes, cláusulas contratuais, informações financeiras não públicas e código proprietário precisam de regras explícitas para cada categoria.
O segundo é listar quais ferramentas estão autorizadas e em qual plano. A versão gratuita de uma IA generativa costuma permitir retenção e uso do conteúdo para treinamento, enquanto a versão corporativa possui contrato específico sobre propriedade dos dados. A política precisa tratar essas versões de formas diferentes.
O terceiro ponto envolve definir quem aprova o uso de uma ferramenta nova antes que ela entre em operação. Sem esse fluxo, qualquer área da empresa pode adotar o que quiser, tornando a política um documento sem força prática.
O quarto é estabelecer consequências para o descumprimento da política. Regras sem consequências definidas tendem a ser tratadas como sugestões. O quinto ponto é revisar a política regularmente, pois o mercado de ferramentas de IA muda rápido e uma política publicada há um ano pode não cobrir as ferramentas atuais.
O sexto ponto é o que mais falha na prática: treinar as equipes para que a política seja compreendida. Um documento distribuído por e-mail e nunca mais mencionado tem o mesmo efeito de não existir. Sessões curtas com exemplos reais do dia a dia da empresa funcionam melhor do que textos jurídicos bem escritos e mal comunicados.
Nenhum desses pontos exige conhecimento técnico profundo. É preciso alguém disposto a mapear o que já acontece dentro da empresa e transformar isso em regra clara, antes que a regra seja escrita por um órgão fiscalizador depois de um incidente.
