Política de IA: o guia para uma política auditável e conforme

O essencial

• Uma política de IA é o documento interno que fixa as regras sobre como a organização constrói, adquire e utiliza inteligência artificial. Não é uma apresentação de estratégia, nem uma página de princípios inspiradores.
• A política deixou de ser uma boa prática opcional e passou a ser um artefacto de conformidade: a ISO/IEC 42001 torna-a obrigatória (Cláusula 5.2) e o dever de literacia em IA do EU AI Act (Artigo 4) vincula prestadores e responsáveis pela implementação desde fevereiro de 2025.
• Uma política só funciona quando está ligada a um modelo operacional: um inventário dos sistemas de IA, controlos que aplicam as regras e evidência que prova que foram cumpridas. É essa ligação que transforma o texto num modelo operacional de governação de IA.
• Proibir ferramentas sem oferecer alternativas autorizadas é a forma mais rápida de gerar shadow AI. Uma boa política orienta o comportamento, em vez de se limitar a interditá-lo.
• A diferença entre uma política que passa numa auditoria e uma que não passa está na aplicabilidade: responsáveis nomeados, uma cadência de revisão e uma linha rastreável de cada regra até um controlo.

O que é (e o que não é) uma política de IA

Uma política de IA é o documento que estabelece como uma organização pode desenvolver, adquirir e utilizar inteligência artificial, e quem responde quando essas regras são quebradas. Converte compromissos abstratos sobre IA responsável em instruções que um colaborador, um prestador externo ou um responsável de compras conseguem seguir numa terça-feira de manhã. Não descreve intenções: descreve deveres. Três documentos são frequentemente confundidos, e separá-los é o primeiro passo para redigir um bom texto:

• Uma estratégia de IA descreve o que a organização quer alcançar com a IA. É direcional e aspiracional.
• Uma política de IA descreve as regras que limitam a forma como a IA pode ser usada para lá chegar. É prescritiva e vinculativa.
• As diretrizes ou normas de IA descrevem o «como» detalhado. Situam-se abaixo da política e explicam, por exemplo, como classificar dados antes de entrarem num modelo.

Uma política que se lê como uma apresentação de estratégia é o modo de falha mais comum. Frases como «vamos usar a IA de forma ética» não são regras: ninguém pode ser apanhado em incumprimento delas. Uma regra diz quem pode fazer o quê, com que sistemas, usando que dados e sob que supervisão. O âmbito de uma política é mais amplo do que a maioria dos primeiros rascunhos assume. Deve abranger colaboradores e prestadores externos, a IA que a organização constrói e a IA que apenas utiliza, os modelos embebidos em software de terceiros e os dados que entram e saem desses sistemas. A ISO/IEC 42001, a norma internacional de sistema de gestão para a IA, trata a política como a declaração de intenção de topo que o resto do sistema de gestão implementa. Uma política que vincula apenas o pessoal efetivo, ou apenas as ferramentas que a empresa construiu, deixa a maior exposição por cobrir. Para perceber como a política se encaixa junto de outros artefactos, consulte o nosso guia de governação de IA.

Porque é que uma política de IA passou a ser uma exigência de conformidade

Durante anos, ter uma política sobre IA era uma questão de boa higiene interna. Isso mudou. Três forças regulatórias tornam hoje uma política documentada e aplicada algo que um auditor, um regulador ou um cliente empresarial lhe podem exigir.

EU AI Act: literacia e transparência obrigatórias

O Artigo 4 do EU AI Act exige que prestadores e responsáveis pela implementação garantam um nível suficiente de literacia em IA entre o pessoal e quem opera sistemas de IA em seu nome. Este dever aplica-se desde 2 de fevereiro de 2025 e vale independentemente de os sistemas serem de risco elevado ou de risco mínimo. Não é possível demonstrar que a força de trabalho usa a IA de forma responsável se não existir uma declaração escrita do que significa uso responsável. É na política que essa declaração vive, e é o veículo natural para a formação que o Artigo 4 espera. Outros dois artigos moldam o que a política tem de dizer. O Artigo 50 fixa obrigações de transparência, incluindo informar as pessoas quando estão a interagir com um sistema de IA e assinalar conteúdo sintético. O Artigo 5 enumera práticas proibidas que nenhuma organização pode implementar. Uma política séria bloqueia à partida as práticas do Artigo 5 e codifica as divulgações do Artigo 50 como regras permanentes, em vez de decisões caso a caso. O risco é concreto: as sanções do Artigo 99 chegam a 15 milhões de euros ou 3 por cento do volume de negócios anual mundial para a maioria das obrigações, e a 35 milhões de euros ou 7 por cento para as práticas proibidas do Artigo 5, de acordo com a Latham and Watkins. O nosso guia do EU AI Act para operadores percorre as obrigações por ordem.

ISO/IEC 42001, Cláusula 5.2: uma política documentada

Se o EU AI Act é o bastão, a ISO/IEC 42001 é a certificação que prova que existe um sistema de governação digno de confiança. A norma, publicada em dezembro de 2023, é a primeira norma certificável de sistema de gestão de IA. A sua Cláusula 5.2 exige que a gestão de topo estabeleça uma política documentada, adequada ao propósito da organização, que fixe um enquadramento para os objetivos e assuma o compromisso de melhoria contínua. Por outras palavras, ao abrigo da 42001 a política não é evidência opcional: é um requisito nomeado que o auditor verifica. O nosso artigo sobre a norma ISO 42001 cobre a estrutura de cláusulas mais ampla.

NIST AI RMF e o contexto regulatório

Nos Estados Unidos, o NIST AI RMF centra a sua função Govern no alinhamento de políticas, procedimentos e princípios organizacionais, e a própria tabela de correspondência para a ISO 42001 do NIST mapeia essa função diretamente para as cláusulas de liderança e política da norma. Na Europa, o mesmo raciocínio aplica-se ao lado do RGPD: em Portugal, a Comissão Nacional de Proteção de Dados (CNPD) supervisiona o tratamento de dados pessoais que muitos sistemas de IA realizam, o que reforça a necessidade de regras escritas sobre dados e finalidade. A legislação está a acompanhar depressa: o Colorado AI Act impõe deveres a criadores e implementadores de sistemas de risco elevado usados em decisões consequentes, e as regras de auditoria de enviesamento de Nova Iorque para recrutamento automatizado já exigem governação documentada. Uma política que mapeia as suas secções para estes regimes viaja bem entre jurisdições. O nosso guia do NIST AI RMF explica as funções Govern, Map, Measure e Manage na prática.

O que uma política de IA sólida tem de conter

Os modelos empresariais convergem para um índice familiar. O que separa uma política que sobrevive a uma auditoria de uma que não sobrevive é se cada secção se liga a uma obrigação e a um controlo. As secções abaixo são as que uma política madura inclui.

• Propósito e âmbito. Diga porque existe a política e exatamente quem e o que vincula: colaboradores, prestadores externos, sistemas construídos, sistemas adquiridos e os dados envolvidos.
• Princípios. Codifique os valores da organização e a base legal. Mantenha-os curtos e testáveis, e ligue cada um a uma regra a jusante em vez de os deixar como slogans. São os princípios que o nosso guia sobre IA ética transforma em prática.
• Uso permitido e proibido. Nomeie as ferramentas autorizadas e os casos de uso aprovados, e também os que estão vedados. É aqui que as práticas proibidas do Artigo 5 se tornam bloqueios rígidos.
• Dados, confidencialidade e propriedade intelectual. Defina regras sobre que dados podem entrar num modelo, como são tratados os dados de clientes e os dados pessoais, e quem detém os resultados.
• Supervisão humana e responsabilização. Defina onde uma pessoa tem de permanecer dentro ou sobre o processo de decisão, e quem responde por cada classe de decisão.
• Transparência e divulgação. Codifique os deveres do Artigo 50: revelar a interação com IA, rotular conteúdos sintéticos e documentar o uso de modelos onde for exigido.
• Aquisição e IA de terceiros. Exija que os modelos comprados e os fornecedores com funcionalidades de IA sejam avaliados antes do uso, para que os sistemas de terceiros herdem as mesmas regras.
• Comunicação de incidentes. Dê às pessoas uma via definida para reportar um resultado prejudicial, uma fuga de dados ou um uso indevido, com prazos.
• Papéis e responsabilidades. Atribua um responsável pela política, um aprovador e o executivo responsável, idealmente numa matriz RACI simples.
• Aplicação. Indique as consequências de um incumprimento para que a política tenha dentes.
• Cadência de revisão e versionamento. Fixe um intervalo de revisão e um histórico de versões, porque uma política estática fica desatualizada dentro de um trimestre.

Uma política que carrega estas onze secções e mapeia cada uma para um regime e um controlo deixa de ser um memorando de recursos humanos. É o topo de um sistema de governação.

Do documento à aplicação: tornar a política auditável

Aqui está a verdade incómoda que os guias empresariais mais bem posicionados evitam: uma política que não se consegue aplicar é teatro. Um auditor não avalia a prosa. Pede-lhe que prove que as regras foram cumpridas, num sistema nomeado, numa data nomeada. Essa prova exige três coisas que o documento, por si só, não fornece. A primeira é um inventário. Não é possível aplicar uma regra a sistemas de IA que não se conseguem ver. Um registo de IA, um registo vivo de cada modelo, caso de uso, conjunto de dados e integração na organização, é o substrato que torna a política operável. Sem ele, «todo o uso de IA tem de ser aprovado» é um desejo inaplicável, porque ninguém sabe que IA está em uso. É também por isto que a política é o principal controlo contra o shadow AI: as ferramentas não autorizadas que o pessoal adota de forma discreta são precisamente as que a política, aliada a um inventário, deve trazer à superfície. A segunda são os controlos. Cada regra da política deve mapear para um controlo que a operacionaliza. «É exigida supervisão humana nas decisões de recrutamento» torna-se um controlo com um responsável, um procedimento e um ponto de verificação. A política declara a intenção; o controlo faz com que aconteça. A terceira é a evidência. Cada controlo deve produzir um registo: uma aprovação, um log, uma revisão concluída. A evidência é o que transforma uma afirmação numa posição defensável quando um regulador ou um comprador pergunta. Uma plataforma como a AI Sigil existe para fechar este ciclo, ligando a política ao registo de IA, aos controlos fundacionais e à evidência que cada controlo gera. A política é o ponto de entrada; o modelo operacional é o que uma auditoria realmente inspeciona.

Como redigir e implementar uma política de IA em 8 passos

Não é preciso um programa de seis meses para publicar uma primeira versão, mas sim uma sequência disciplinada e um responsável nomeado.

1. Mapeie as partes interessadas. Reúna as áreas jurídica, de segurança, de proteção de dados, de recursos humanos e as unidades de negócio que constroem ou compram IA. Uma política escrita apenas pela área jurídica será ignorada pela engenharia.
2. Faça o inventário do uso atual de IA. Antes de escrever regras, descubra o que já está em jogo, incluindo as ferramentas que o pessoal adotou sem pedir. Este inventário é a realidade que a política tem de governar.
3. Defina princípios e a base legal. Ancore a política aos seus valores e aos regimes que se lhe aplicam: o EU AI Act, a ISO 42001, o NIST AI RMF e qualquer lei setorial ou estadual.
4. Redija as secções. Use o esqueleto de onze secções acima e escreva regras, não aspirações. Mapeie cada secção para uma obrigação e um controlo.
5. Defina o uso permitido e proibido de forma concreta. Nomeie ferramentas autorizadas e casos de uso aprovados. As proibições vagas empurram as pessoas para o shadow AI.
6. Atribua responsáveis e uma matriz RACI. Cada regra precisa de alguém que responda por ela, e a política precisa de um único responsável que a mantenha.
7. Forme e comunique. Implemente a política com a formação de literacia em IA que o Artigo 4 espera, para que o pessoal compreenda não só as regras mas também o raciocínio. O nosso guia para construir um modelo de governação de IA mostra como a formação encaixa no programa mais amplo.
8. Fixe uma cadência de revisão e meça. Estabeleça um intervalo de revisão, acompanhe a adoção e os incidentes, e atualize a política à medida que as ferramentas e a lei mudam.

Erros frequentes numa política sobre IA

A maioria das políticas fracas falha do mesmo punhado de formas.

• Copiar e colar sem inventário. Um modelo adotado sem saber que IA está de facto em uso governa uma ficção.
• Proibir ferramentas sem alternativas. Se o caminho autorizado for mais lento do que o caminho paralelo, o pessoal escolhe o caminho paralelo. Ofereça ferramentas aprovadas, não apenas proibições, sob pena de alimentar o shadow AI.
• Sem responsável nomeado. Uma política que ninguém mantém fica desatualizada no momento em que um novo modelo entra em produção.
• Sem cadência de revisão. A capacidade da IA e a regulação movem-se ambas ao ritmo trimestral. Uma revisão anual já é lenta demais.
• Sem evidência. Uma política sem controlos por trás não produz nada que um auditor possa inspecionar, o que significa que falha exatamente quando importa.

Perguntas frequentes

Uma política de IA é legalmente obrigatória? Depende de onde opera e do que faz, mas a direção é só uma. A ISO/IEC 42001 torna uma política documentada obrigatória para a certificação, e o dever de literacia do Artigo 4 do EU AI Act, em vigor desde fevereiro de 2025, obriga na prática a declarar e a ensinar o uso responsável. Leis estaduais dos EUA, como o Colorado AI Act, acrescentam deveres de governação documentada para usos de risco mais elevado. Mesmo onde nenhuma lei isolada nomeia a palavra «política», não se demonstra conformidade com estes regimes sem uma. Qual é a diferença entre uma política e um modelo de governação de IA? A política é o livro de regras de topo: o que é permitido, quem responde, o que acontece num incumprimento. O modelo de governação é o sistema operacional mais amplo que a implementa, incluindo o inventário, os controlos, os comités e a evidência. A política declara a intenção; o modelo torna-a real. Uma política sem modelo é inaplicável, e um modelo sem política não tem rumo. Quem deve ser responsável pela política? Um único responsável, apoiado por um grupo transversal. Na prática, situa-se na área jurídica, de conformidade ou numa função dedicada de governação de IA, com contributos da segurança, da proteção de dados e da engenharia. O que importa é que uma pessoa nomeada mantenha o documento e que um executivo nomeado responda por ele. Com que frequência deve ser revista? Pelo menos trimestralmente nas organizações de ritmo rápido, e de imediato quando é adotada uma ferramenta importante ou muda uma lei relevante. Inscreva o intervalo de revisão e o histórico de versões no próprio documento. Como ajuda uma política a lidar com o shadow AI? O shadow AI é o uso não governado de ferramentas de IA que as áreas de sistemas e de governação desconhecem. A política aborda-o de duas formas: define ferramentas autorizadas e casos de uso aprovados, para que o pessoal tenha um caminho legítimo, e, aliada a um inventário de IA, dá à organização uma forma de detetar e recuperar o uso não autorizado. Uma proibição sem alternativa agrava o shadow AI, não o resolve. O que deve incluir a política para satisfazer o EU AI Act? No mínimo: uma declaração de uso responsável e o compromisso de literacia em IA por detrás do Artigo 4, as regras de transparência e divulgação do Artigo 50, proibições rígidas às práticas do Artigo 5, e um mapeamento dos usos de IA para a respetiva categoria de risco, para que os sistemas de risco mais elevado recebam a supervisão que o regulamento exige. Ligue cada ponto a um controlo e a um responsável, para que os compromissos sejam verificáveis.

Conclusão

Uma política de IA é o menor artefacto que torna a governação real, e o mais fácil de errar. Escrita como uma página de princípios, não muda nada. Escrita como um conjunto de regras, mapeada para o EU AI Act, a ISO 42001 e o NIST AI RMF, e ligada a um inventário, a controlos e a evidência, torna-se o ponto de entrada para um sistema de governação em que um auditor e um cliente podem confiar. Comece pelas onze secções, nomeie um responsável, fixe uma cadência de revisão e ligue cada regra a algo que prove que foi cumprida. Para que a política faça mais do que ficar numa pasta partilhada, construa-a sobre um modelo operacional que a aplique. Veja como a AI Sigil transforma uma política em governação de IA que consegue evidenciar.