Escrever a política de uso de IA com o que já vale em 2026

A política de uso de IA de outubro de 2026 se apoia no que já vale: as proibições e as regras de modelos de propósito geral do AI Act, a lei brasileira de dados pessoais e duas referências voluntárias de gestão. Serve às áreas de risco, jurídico e tecnologia. Rascunhe hoje a primeira versão com um questionário de uma página.

O calendário confunde quem decide. A Europa adiou a parte de alto risco para 2027 e 2028, o Brasil deixou o marco legal da IA para depois das eleições, e muita diretoria leu os dois fatos como licença para esperar. Enquanto isso, a equipe cola contrato, planilha de folha e conversa de cliente em assistentes abertos com conta pessoal, e nenhuma lei futura desfaz o vazamento de hoje.

Seis cláusulas cuidam do problema que já existe. Elas dizem que uso é permitido, que dado não entra, quem revisa, onde fica o registro, o que exigir do fornecedor e o que fazer quando algo sai errado. Cabem em uma ou duas páginas, e cada uma tem apoio em regra ou referência que já vale.

O que já vale em outubro de 2026

Política de uso de IA (AI acceptable use policy) é o documento interno que diz a cada pessoa o que ela pode fazer com assistentes de IA, com quais dados e sob qual revisão. Lembra a norma interna de uso do e-mail corporativo, com uma diferença de risco: o texto colado num assistente sai da empresa, e a resposta volta pronta para alguém publicar sem ler.

Na União Europeia, o AI Act (Regulamento (UE) 2024/1689) já cobra três blocos. As práticas proibidas do artigo 5 e a literacia em IA (capacitar quem opera os sistemas) valem desde 02/02/2025, e as obrigações de modelos de propósito geral (GPAI, os modelos amplos por trás dos grandes assistentes) desde 02/08/2025. O Digital Omnibus, publicado como Regulamento (UE) 2026/1744 em 24/07/2026 e em vigor desde 27/07/2026, mexeu só no calendário do alto risco: o Anexo III foi para 02/12/2027 e o Anexo I, de IA embutida em produtos regulados, para 02/08/2028. Para a política, a literacia é a cláusula com prazo vencido, e o registro de treinamento por função é a prova.

Em 2024, a política típica era uma lista de proibições copiada de consultoria. Hoje duas referências voluntárias organizam o texto: o NIST AI RMF (marco americano de gestão de risco de IA, de 26/01/2023, com o perfil de IA generativa NIST AI 600-1, de 26/07/2024) e a ISO/IEC 42001 (norma de sistema de gestão de IA, de 18/12/2023). Nenhuma lei exige a ISO 42001. Use as funções do NIST (governar, mapear, medir e gerenciar) como índice e tome da ISO o formato de dono, registro e revisão periódica que um auditor reconhece.

No Brasil, o PL 2338/2023, o Marco Legal da IA, passou no Senado em 10/12/2024 e segue parado na comissão especial da Câmara. Em 24/08/2026 o relator anunciou a votação para depois das eleições de outubro de 2026, com quatro pontos em aberto: direito autoral, reconhecimento facial, proteção trabalhista e impacto ambiental. Se a Câmara mudar o texto, ele volta ao Senado. Escreva a política sem depender do projeto e marque a revisão para o dia em que o parecer do relator sair.

Dado pessoal que entra num prompt já está sob a lei geral de proteção de dados (LGPD), cujo artigo 20 dá ao titular o direito de pedir revisão de decisão tomada só por sistema automatizado. A ANPD pôs IA e tecnologias emergentes entre os quatro eixos do mapa de fiscalização de 2026-2027, mantém um sandbox regulatório de IA (ambiente de teste supervisionado pela autoridade) com três empresas até dezembro de 2026 e recebe contribuições sobre o regulamento de fiscalização até 26/10/2026. Na política, isso vira uma regra de dado e uma regra de revisão humana.

Duas perguntas cabem em cada contrato de fornecedor: por quanto tempo o fornecedor guarda o que a equipe envia e se usa esse material para treinar modelos. A documentação técnica de API de 2026 descreve uma retenção com prazo, a do cache de prompt (cópia temporária do início da conversa, guardada para responder mais rápido e mais barato). Sobre treino com dados do cliente, as páginas técnicas não trazem regra comparável entre fornecedores, e a resposta tem de vir por escrito no contrato do plano.

A mesma política muda de peso conforme a área: nos três casos ilustrativos abaixo, uma cláusula diferente decide.

Em uma tarde sai o rascunho, desde que a pergunta certa chegue a quem conhece o uso. O questionário junta o inventário de usos, as ferramentas por plano, os dados que circulam e o que já deu errado, e o modelo transforma as respostas em cláusulas com dono e data.

A cláusula de incidente é a que mais falta nos rascunhos, porque ninguém escreve o que fazer até o primeiro vazamento. O caso do questionário, a tabela de preços colada numa conta pessoal, é o incidente típico: sem ataque, sem intenção, com dado que não volta.

Antes de levar o rascunho à diretoria, confira a política contra a lista abaixo. Cada item sem resposta vira uma lacuna com dono.

Faça hoje

Envie o questionário às três pessoas donas da política e rode o prompt com as respostas num assistente de plano empresarial. Em até 40 minutos você deve ter um rascunho com as seis cláusulas preenchidas e no máximo três lacunas marcadas como PENDENTE. Se saírem mais de três, o inventário de usos ficou raso: volte ao primeiro passo do guia antes de levar o texto à diretoria.