Uma política de utilização aceitável de IA diz aos colaboradores que ferramentas de inteligência artificial podem usar, para que tarefas, com que dados e sob que controlo. Na Europa deixou de ser um anexo de boas práticas: desde 2 de agosto de 2026, as autoridades nacionais podem pedir provas de literacia em IA, e o AI Act já usa a expressão. Mostramos as duas políticas que a lei nomeia, um mapa de cláusulas, as linhas vermelhas e um método em oito passos.
O essencial
- Cada implementação tem duas políticas: a do prestador do modelo (anexos XI e XII do AI Act) e a do empregador, que não pode permitir o que a primeira proíbe.
- A política interna é o dossiê de prova do artigo 4.º (literacia), fiscalizado desde 2 de agosto de 2026, sem certificado obrigatório.
- Cada secção deve apontar para a cláusula que a pressupõe e para a prova que um auditor pode pedir.
- As linhas vermelhas têm base legal: inferência de emoções no trabalho, dados pessoais em ferramentas públicas, textos de interesse público sem controlo editorial.
- Em Portugal, o artigo 106.º do Código do Trabalho já obriga a informar os trabalhadores sobre os algoritmos que afetam decisões laborais.
O que é uma política de utilização aceitável de IA: as duas políticas que a lei nomeia
Do lado do empregador, uma política de utilização aceitável de IA é um regulamento operacional: quem usa que ferramentas, para que tarefas, com que dados, com que revisão humana, com que divulgação e com que consequências. É o texto que um colaborador consulta antes de colar um contrato num assistente de conversação.
Os modelos descarregáveis ignoram que o direito europeu já conhece outra política com este nome. O anexo XI do Regulamento (UE) 2024/1689, secção 1, ponto 1, alínea b), exige que a documentação técnica de um modelo de IA de finalidade geral indique «as políticas de utilização aceitável aplicáveis»; o anexo XII, ponto 1, alínea b), repete a exigência na informação entregue aos prestadores a jusante. Ambos executam o artigo 53.º, n.º 1, alíneas a) e b), aplicável desde 2 de agosto de 2025, e o formulário de documentação do modelo do Código de Práticas para a IA de finalidade geral (julho de 2025) tem um campo para isso. Exemplos: as Usage Policies da OpenAI, a Usage Policy da Anthropic, também designada Acceptable Use Policy, e a Llama Acceptable Use Policy da Meta.
Há, portanto, duas políticas em cadeia: as regras internas não podem autorizar o que a política do prestador proíbe, e esta deve ficar, na nossa leitura, no registo de ferramentas e no dossiê contratual (ver o nosso guia sobre modelos de IA generativa).
Política de utilização aceitável de IA e política de IA: onde está a diferença
A política de IA fixa compromissos, papéis e princípios (cláusula 5.2 e controlo <code>A.2.2</code> da ISO/IEC 42001). A política de utilização aceitável de IA é o regulamento dos utilizadores, ligado aos controlos <code>A.9.2</code> (utilização responsável) e <code>A.9.4</code> (utilização prevista). A primeira é aprovada pela gestão de topo; a segunda é lida por todos.
A expressão vem da segurança informática, onde a «acceptable use policy» regulava o correio eletrónico e a internet. A IA generativa reativou-a: o que sai da organização já não é um ficheiro, é uma instrução com dados lá dentro.
Porque se tornou um artefacto de conformidade: datas e números
O artigo 4.º (literacia no domínio da IA) aplica-se desde 2 de fevereiro de 2025, foi reescrito pelo Omnibus Digital sobre a IA (Regulamento (UE) 2026/1744) a 27 de julho de 2026 e é fiscalizado pelas autoridades nacionais de fiscalização do mercado desde 2 de agosto de 2026. As perguntas e respostas da Comissão, atualizadas a 20 de outubro de 2026, afastam qualquer certificado obrigatório e admitem um registo interno das formações e orientações. Quem usa o ChatGPT para redigir publicidade ou traduzir deve conhecer riscos como as alucinações.
O artigo 5.º, n.º 1, alínea f) (inferência de emoções no trabalho), aplica-se desde 2 de fevereiro de 2025. O artigo 50.º aplica-se desde 2 de agosto de 2026, com uma janela até 2 de dezembro de 2026 para a marcação de conteúdos sintéticos de sistemas já no mercado. O artigo 26.º, para sistemas de risco elevado, chega a 2 de dezembro de 2027 (anexo III) e a 2 de agosto de 2028 (anexo I). Só uma política de utilização aceitável de IA toca todas estas obrigações ao mesmo tempo.
Segundo o inquérito da Deloitte no Reino Unido (maio a junho de 2026), 63% da população ativa já usou IA generativa no trabalho e 12% fá-lo todos os dias; 31% dos utilizadores fazem-no sem o empregador saber, 46% usam ferramentas gratuitas e 17% pagam a sua própria ferramenta. No relatório da IBM de 2025 sobre o custo das violações de dados, 20% das violações envolveram shadow AI, com um custo adicional médio de 670 000 dólares; 63% das organizações atingidas não tinham política de governação de IA ou ainda a preparavam, e 97% das que sofreram uma violação ligada à IA não tinham controlos de acesso adequados. A Samsung restringiu as ferramentas generativas em maio de 2023, depois de engenheiros terem colado código-fonte interno no ChatGPT em abril. Ver o nosso dossiê sobre shadow AI e IA paralela.
O mapa de cláusulas da política de utilização aceitável de IA
Este quadro é trabalho nosso: para cada secção da política, a cláusula que a pressupõe e a prova que um auditor ou uma autoridade pode pedir. Os identificadores <code>GV</code> vêm do NIST AI 600-1, o perfil de IA generativa do NIST AI RMF.
| Secção da política | Cláusula que a pressupõe | Prova a conservar |
|---|---|---|
| Âmbito, papéis, responsável | ISO/IEC 42001 <code>A.2.3</code> e <code>A.3.2</code>; NIST AI 600-1 <code>GV-1.4-002</code> | Política assinada, histórico de versões, matriz RACI |
| Ferramentas aprovadas e níveis | AI Act, artigo 4.º e artigo 26.º, n.º 1; ISO/IEC 42001 <code>A.9.4</code> e <code>A.4.4</code>; <code>GV-6.1-010</code> | Registo de ferramentas ligado ao inventário de IA, política de utilização aceitável do prestador arquivada |
| Utilizações proibidas (linhas vermelhas) | AI Act, artigo 5.º, n.º 1, alínea f), e artigo 50.º, n.º 4; ISO/IEC 42001 <code>A.9.2</code>; <code>GV-1.3-004</code> | Lista de linhas vermelhas, registo de exceções |
| Regras sobre dados | RGPD, artigos 5.º e 32.º; ISO/IEC 42001 <code>A.7</code> e <code>A.9.2</code> | Matriz de classificação de dados, registos de DLP ou do gateway |
| Revisão humana dos resultados | AI Act, artigo 26.º, n.º 2, e controlo editorial do artigo 50.º, n.º 4; ISO/IEC 42001 <code>A.9.2</code> | Etapa de revisão no fluxo de trabalho, revisor identificado |
| Formação e literacia | AI Act, artigo 4.º; ISO/IEC 42001 cláusula 7.3 e <code>A.4.6</code> | Registo de formação, declarações de tomada de conhecimento |
| Incidentes e preocupações | AI Act, artigo 26.º, n.º 5; ISO/IEC 42001 <code>A.3.3</code> e <code>A.8.4</code> | Registo de incidentes, canal de comunicação |
| Periodicidade de revisão | ISO/IEC 42001 <code>A.2.4</code>; <code>GV-6.1-010</code> | Registo da revisão anual, registo de alterações |
A Declaração de Aplicabilidade, que seleciona e justifica os 38 controlos do anexo A (9 objetivos), é onde um auditor ISO/IEC 42001 procura o <code>A.9.2</code>; o Serviço para a IA e as autoridades nacionais procuram o registo do artigo 4.º. Uma política de utilização aceitável de IA bem construída serve as duas leituras com o mesmo dossiê. Ver como a ISO 42001 se encaixa no AI Act e o nosso guia do NIST AI 600-1.
Linhas vermelhas que todas as políticas precisam, e a base legal de cada uma
Uma linha vermelha só se defende com uma norma por trás. Estas são as que recomendamos em qualquer política de utilização aceitável de IA.
- <b>Inferir emoções de colegas ou candidatos.</b> O artigo 5.º, n.º 1, alínea f), proíbe-o no trabalho desde 2 de fevereiro de 2025, salvo por razões médicas ou de segurança. Coima até 35 milhões de euros ou 7% do volume de negócios mundial (artigo 99.º, n.º 3).
- <b>Colar dados pessoais de clientes, colegas ou candidatos numa ferramenta pública.</b> O RGPD exige licitude, minimização e segurança (artigos 5.º e 32.º), que uma conta gratuita raramente garante. Ver o nosso guia sobre RGPD e inteligência artificial.
- <b>Colar segredos comerciais ou código-fonte.</b> O caso Samsung mostrou que basta um engenheiro e uma tarde. A regra deve nomear as classes de informação.
- <b>Decidir sobre pessoas sem revisão humana.</b> O artigo 22.º do RGPD limita as decisões exclusivamente automatizadas; o artigo 26.º, n.º 2, exige supervisão humana competente nos sistemas de risco elevado. Uma triagem de currículos num assistente de conversação cai aqui.
- <b>Publicar texto gerado por IA sobre matérias de interesse público sem controlo editorial.</b> O artigo 50.º, n.º 4, obriga a divulgá-lo, salvo revisão humana ou controlo editorial com um responsável editorial. Comunicados e relatórios públicos incluídos.
- <b>Criar falsificações profundas (deepfakes) sem as divulgar.</b> O mesmo n.º 4 obriga a revelar que a imagem, o áudio ou o vídeo foi gerado ou manipulado. Coima até 15 milhões de euros ou 3% (artigo 99.º, n.º 4).
- <b>Usar contas pessoais e ferramentas não aprovadas.</b> Segundo a IBM, 97% das organizações com uma violação ligada à IA não tinham controlos de acesso adequados; segundo a Deloitte, 31% dos utilizadores escondem o uso ao empregador. Ver a nossa análise da governação da shadow AI.
- <b>Usar um modelo fora da política do prestador, ou deixar terceiros sem regras.</b> Pela cadeia do anexo XII, o uso interno não pode contrariar a política do prestador. A ação <code>GV-6.1-010</code> do NIST manda cobrir consultores e pessoal externo.
Luzes verdes: tornar explícita a utilização permitida
Uma política de utilização aceitável de IA que só proíbe empurra as pessoas para as contas pessoais. As luzes verdes devem ser tão precisas como as vermelhas. Propomos quatro elementos:
- <b>Ferramentas por nível.</b> Nível 1: contrato empresarial com cláusulas de tratamento de dados, autorizado para dados internos. Nível 2: aprovada com restrições, por exemplo sem dados pessoais nem código. Nível 3: proibida, com justificação escrita.
- <b>Classes de dados por nível.</b> Público, interno, confidencial, pessoal, sensível: para cada classe, os níveis de ferramenta onde pode entrar.
- <b>Famílias de tarefas e nível de revisão.</b> Rascunho de texto interno, tradução, síntese de documentos, apoio à programação, análise de dados: cada família com a revisão humana exigida antes de usar o resultado.
- <b>Pedido de nova ferramenta.</b> Quem aprova (segurança, proteção de dados, jurídico), com que critérios e em quantos dias úteis. Um prazo curto e cumprido é a melhor defesa contra a shadow AI.
A CNIL francesa recomendou a 18 de julho de 2024 exatamente isto: uma lista de utilizações autorizadas e proibidas, e a formação e sensibilização dos utilizadores finais. A Comissão Europeia insiste que em literacia não há receita única: as luzes verdes de um escritório de advogados não são as de uma fábrica.
Cada ferramenta aprovada deve ter uma entrada no inventário de sistemas de IA, com o nível, as classes de dados admitidas, o responsável interno, a data de aprovação e a política do prestador em anexo. Quando passa a alimentar um processo com impacto em pessoas, a entrada migra para o registo de sistemas de IA, onde se faz a classificação de risco. A segurança técnica da integração (gateway, registo de pedidos, isolamento de dados) está no nosso guia de segurança da IA.
A política de utilização aceitável de IA como prova do artigo 4.º: o que uma autoridade pode pedir desde 2 de agosto de 2026
O artigo 4.º alterado obriga prestadores e responsáveis pela implantação a tomar medidas para apoiar a literacia no domínio da IA, de modo a assegurar, na medida do possível, um nível suficiente de literacia do seu pessoal e de quem utiliza sistemas de IA por sua conta, sem exigir um nível específico a ninguém. O novo n.º 2 pede à Comissão e aos Estados-Membros que apoiem as organizações, sobretudo as PME, e à Comissão que publique exemplos práticos na plataforma única de informação. O novo n.º 3 prevê recomendações do Comité com base nos quadros europeus de competências, ainda não adotadas a 26 de outubro de 2026, tanto quanto apurámos.
Não é preciso certificado: basta um registo interno das formações e orientações. O repositório vivo de práticas de literacia, publicado a 4 de fevereiro de 2025 e atualizado a 10 de agosto de 2026, inspira, mas figurar nele não confere presunção de conformidade.
O dossiê mínimo que recomendamos:
- a política de utilização aceitável de IA, com versão, data e responsável;
- as declarações de tomada de conhecimento dos colaboradores;
- um registo de formação por função, porque um jurista e um programador não precisam do mesmo módulo;
- o registo de ferramentas e uma taxonomia comum com o inventário dos casos de uso avaliados, a boa prática n.º 5 do documento do CIPL «AI Act Article 4: AI Literacy Best Practices» (8 de maio de 2025);
- um circuito de retorno para dúvidas e incidentes, a boa prática n.º 8 do mesmo documento.
A cláusula 7.3 da ISO/IEC 42001 (consciencialização) pede o mesmo. Quanto a sanções, o artigo 99.º, n.º 4, não inclui o artigo 4.º entre as obrigações com teto europeu fixo: as coimas vêm das regras que cada Estado-Membro adotar ao abrigo do artigo 99.º, n.º 1, e a Comissão diz apenas que as autoridades poderão impor sanções e outras medidas de execução. Quem mantém este dossiê é, em regra, o comité de governação de IA.
Representantes dos trabalhadores e regras nacionais
O artigo 26.º, n.º 7, obriga os empregadores que implantam um sistema de IA de risco elevado no local de trabalho a informar os representantes dos trabalhadores e os trabalhadores afetados antes de o pôr em serviço; para o anexo III, a partir de 2 de dezembro de 2027. O nosso guia dos sistemas de IA de risco elevado ajuda a classificar as ferramentas de recursos humanos.
Em Portugal não é preciso esperar por 2027. A Lei n.º 13/2023 (Agenda do Trabalho Digno) acrescentou ao artigo 106.º, n.º 3, do Código do Trabalho a alínea s): o empregador deve informar o trabalhador sobre os parâmetros, os critérios, as regras e as instruções dos algoritmos ou sistemas de inteligência artificial usados nas decisões sobre o acesso e a manutenção do emprego e sobre as condições de trabalho. Se a política de utilização aceitável de IA autoriza uma ferramenta que intervém no recrutamento, na avaliação ou na distribuição de tarefas, o dever de informação nasce logo, e a política é o sítio natural para o cumprir. A ANACOM, designada em setembro de 2025 autoridade de fiscalização do mercado e ponto de contacto único do AI Act, fiscaliza o regulamento; a CNPD continua a ser a autoridade de proteção de dados.
Em Espanha, o artigo 64.4 d) do Estatuto de los Trabajadores dá ao comité de empresa acesso aos parâmetros e regras dos algoritmos que afetam as condições de trabalho; a AESIA supervisiona. Em Itália, o artigo 1-bis do d.lgs. 152/1997 (Decreto Trasparenza) impõe informação, também aos representantes sindicais, sobre sistemas automatizados de decisão ou de monitorização.
Na Alemanha, o Arbeitsgericht de Hamburgo decidiu a 16 de janeiro de 2024 que permitir o ChatGPT no browser com contas privadas, sem dados a chegar ao empregador, não exigia a codecisão do conselho de empresa; monitorizar o uso fá-la-ia regressar. Em Portugal vale o mesmo: quando a política depende de registos de utilização, aplicam-se as regras laborais e de proteção de dados sobre vigilância.
Redigir a política de utilização aceitável de IA em 8 passos
- <b>Inventariar as ferramentas em uso.</b> Inclua a shadow AI: extensões de browser, funções de IA ativadas por defeito, contas pessoais. Um inquérito anónimo e os registos de rede dão a primeira imagem; o nosso guia de governação de IA mostra onde a encaixar.
- <b>Classificar as ferramentas por nível e arquivar a política de cada prestador.</b> Guarde a política de utilização aceitável do prestador e as condições de tratamento de dados de cada ferramenta. A due diligence de fornecedores de IA e o controlo <code>A.10.3</code> da ISO/IEC 42001 dão o enquadramento.
- <b>Definir classes de dados e o que pode ir para onde.</b> Uma matriz com classes em linha e níveis em coluna vale mais do que três páginas de princípios. Dados de saúde, de candidatos e de clientes merecem linhas próprias.
- <b>Escrever luzes verdes e linhas vermelhas, cada uma ligada a uma cláusula.</b> Uma regra sem cláusula talvez seja dispensável. Uma cláusula sem regra é uma lacuna.
- <b>Fixar regras de revisão e divulgação.</b> Revisão humana antes de qualquer decisão sobre pessoas e controlo editorial do artigo 50.º, n.º 4, para textos de interesse público. Divulgação de falsificações profundas e respeito pela marcação de conteúdos sintéticos.
- <b>Informar ou consultar os representantes dos trabalhadores.</b> Articule a política com o artigo 106.º do Código do Trabalho e envolva a comissão de trabalhadores, quando exista. Com monitorização, esta etapa é incontornável.
- <b>Implementar.</b> Recolha as declarações de tomada de conhecimento, dê formação por função e abra o registo do artigo 4.º. A primeira sessão deve usar casos reais da organização.
- <b>Fazer cumprir e rever.</b> Monitorização proporcionada, registo de exceções, um canal de comunicação de incidentes de IA e uma revisão anual documentada (<code>A.2.4</code>). Cada revisão deixa rasto no registo de alterações.
A página de gestão de políticas internas da AI Sigil mostra como manter versões, declarações de leitura e revisões da política de utilização aceitável de IA num único sítio.
Perguntas frequentes
<b>A política de utilização aceitável de IA é obrigatória por lei na UE?</b>
Nenhum artigo do AI Act impõe ao empregador um documento com esse nome. Mas o artigo 4.º exige medidas de literacia, o artigo 5.º proíbe certas utilizações no trabalho, o artigo 50.º impõe transparência e o RGPD exige segurança. Uma política escrita é a forma mais simples de provar essas medidas. Nos modelos de finalidade geral, os anexos XI e XII obrigam o prestador a documentar a sua política: a do empregador é o segundo elo.
<b>Qual é a diferença entre uma política de IA e uma política de utilização aceitável de IA?</b>
A política de IA é o documento de governação: compromissos, papéis e princípios, aprovado pela gestão de topo (cláusula 5.2 da ISO/IEC 42001). A política de utilização aceitável de IA é o regulamento operacional dos utilizadores: que ferramentas, tarefas, dados, revisão e consequências. A primeira raramente muda; a segunda muda sempre que uma ferramenta entra ou sai. Publicar a segunda como anexo da primeira funciona, desde que cada uma tenha responsável e versão próprios.
<b>Uma política de utilização aceitável cumpre o artigo 4.º do AI Act?</b>
Sozinha, não: um documento lido uma vez não é uma medida de literacia suficiente. Combinada com formação por função, declarações de tomada de conhecimento e um registo interno, torna-se o centro do dossiê que a autoridade de fiscalização do mercado pode pedir desde 2 de agosto de 2026. A Comissão confirma que não há certificado exigido nem formações obrigatórias predefinidas, o que permite ajustar o esforço ao risco de cada função.
<b>O que nunca deve um colaborador introduzir numa ferramenta de IA pública?</b>
Dados pessoais de clientes, colegas ou candidatos, segredos comerciais, código-fonte, contratos confidenciais e qualquer informação classificada como sensível. Listas de exemplos funcionam melhor do que definições abstratas. Uma ferramenta pública sem contrato empresarial não dá garantias sobre a retenção dos dados nem sobre a reutilização para treino, e o caso Samsung mostrou a rapidez de uma fuga. Na dúvida, decide a classe de dados, não a urgência.
<b>Consultores, trabalhadores independentes e fornecedores também têm de a cumprir?</b>
Devem, e o contrato é o meio. O artigo 4.º abrange quem opera ou utiliza sistemas de IA por conta da organização, e a ação <code>GV-6.1-010</code> do NIST AI 600-1 pede que a política cubra consultores e pessoal de terceiros. Anexe a política aos contratos, exija a declaração de tomada de conhecimento no acesso aos sistemas e preveja um direito de auditoria. Os fornecedores que integram IA devem declarar que modelos usam.
<b>Com que periodicidade deve a política de utilização aceitável de IA ser revista?</b>
Pelo menos uma vez por ano, com registo da revisão, como prevê o controlo <code>A.2.4</code> da ISO/IEC 42001. Há gatilhos para uma revisão antecipada: uma nova ferramenta, uma alteração da política do prestador, um incidente, uma nova orientação da Comissão ou uma mudança legislativa, como a reescrita do artigo 4.º em julho de 2026. Nomeie um responsável por acompanhar estas alterações e mantenha um registo que um auditor consiga ler em minutos.
Conclusão
As páginas que dominam esta pesquisa oferecem modelos para descarregar. Uma equipa de conformidade europeia precisa de uma política de utilização aceitável de IA que reconheça a cadeia com a política do prestador, ligue cada regra a uma cláusula do AI Act, do RGPD ou da ISO/IEC 42001 e produza as provas que uma autoridade ou um auditor vão pedir. Esse pedido pode chegar desde 2 de agosto de 2026, e em Portugal o Código do Trabalho já exigia transparência sobre os algoritmos. Comece pelo inventário, escreva as luzes verdes antes das linhas vermelhas e trate a política como um documento vivo, com versão, responsável e registo de alterações. A nossa política de IA explica o nível acima.