Gestão de políticas internas: o guia de compra na era da IA

O essencial

• A gestão de políticas internas foi durante anos avaliada por três critérios: arquivo, circuito de aprovação e tomada de conhecimento. Desde 2025 é avaliada também pela capacidade de produzir prova oponível.
• O regulamento europeu da IA transforma a política num entregável regulamentar: o artigo 4.º impõe medidas de literacia em IA aos prestadores e aos responsáveis pela implantação, e o artigo 53.º, n.º 1, alínea c) obriga os prestadores de modelos de IA de finalidade geral a instituir uma política de direitos de autor.
• O controlo A.2 do anexo A da ISO/IEC 42001 exige uma política de IA documentada, alinhada com as restantes políticas da organização e revista em intervalos planeados.
• Uma tomada de conhecimento prova que um documento foi aberto. Não prova que um controlo funcione, e nada cobre quanto às ferramentas de IA que nunca entraram no inventário.
• O critério de compra decisivo é a demonstrabilidade: política ligada ao controlo, controlo ligado a um responsável e a uma data, e toda a cadeia exportável para qualquer período passado.

O que faz realmente um software de gestão de políticas internas

A gestão de políticas internas consiste em centralizar o ciclo de vida das regras da organização: redação, revisão, aprovação, publicação, divulgação, tomada de conhecimento, monitorização, revisão periódica e retirada. A categoria existe porque nem as unidades partilhadas nem as cadeias de correio eletrónico sabem responder à única pergunta que conta durante uma auditoria: que versão de que regra se aplicava a que pessoas, numa data determinada. A maioria de quem avalia uma compra chega à procura de um repositório melhor. O repositório é a parte menos interessante. Quatro capacidades separam uma verdadeira ferramenta de gestão de políticas internas de uma pasta bem arrumada:

• A separação obrigatória entre redação e aprovação. Quem redige uma política não pode ser quem a aprova, e o sistema guarda ambas as identidades juntamente com o momento da aprovação.
• A reconstituição a uma data passada. É possível mostrar o que dizia a versão publicada a 14 de março, e não apenas o que diz hoje.
• A tomada de conhecimento dirigida. Apenas o subconjunto pertinente de pessoas é solicitado, consoante a função, a entidade jurídica ou o sistema em causa, e as exceções permanecem visíveis.
• A exportação para auditoria. A prova sai da ferramenta num formato que um avaliador consegue ler sem dispor de licença.

Todo o resto, incluindo os assistentes de redação com IA hoje integrados em quase todos os produtos, é conforto de utilização. Se estas quatro capacidades forem fracas, nenhuma qualidade do editor salvará a auditoria. É a mesma lógica que separa um arquivo documental de um dispositivo de governação da IA verdadeiramente operacional.

Política, norma, procedimento: a distinção que determina a ferramenta

Uma política enuncia a intenção e atribui a responsabilidade. Uma norma fixa o limiar mensurável. Um procedimento descreve os passos. As organizações que fundem os três níveis num único documento acabam por reescrever o texto inteiro sempre que muda um parâmetro técnico, e é essa a razão pela qual os seus ciclos de revisão derrapam sistematicamente. As ferramentas distinguem-se com nitidez neste ponto: umas preveem um único tipo documental, plano, outras modelam uma hierarquia na qual uma norma pode mudar sem reabrir a política que a autoriza. Se os seus controlos de IA forem revistos com mais frequência do que a sua intenção de governação, e serão, exija a hierarquia.

Porque 2026 mudou os requisitos

Até há pouco tempo, dispor de uma política inscrevia-se nas boas práticas. Para quem desenvolve ou utiliza IA passou a ser uma obrigação jurídica sustentada em artigos precisos. O artigo 4.º do regulamento europeu da IA, dedicado à literacia em matéria de inteligência artificial, aplica-se desde 2 de fevereiro de 2025. Determina que os prestadores e os responsáveis pela implantação de sistemas de IA tomem medidas para assegurar, na medida do possível, um nível suficiente de literacia do seu pessoal e das demais pessoas que se ocupem do funcionamento e da utilização dos sistemas de IA em seu nome. Estas medidas têm de ser registadas, dirigidas aos perfis certos e mantidas atualizadas. E o registo de quem recebeu que formação é exatamente aquilo que uma ferramenta de gestão de políticas internas deveria guardar. O artigo 53.º, n.º 1, alínea c) vai mais longe quanto aos prestadores de modelos de IA de finalidade geral, obrigados a instituir uma política destinada a cumprir o direito da União em matéria de direitos de autor e direitos conexos. A formulação merece atenção: a obrigação não consiste em comportar-se corretamente, mas em dispor de uma política, e a autoridade competente pode exigir a sua apresentação. O nosso guia operacional do regulamento europeu da IA reconstitui o resto do regime. As normas técnicas apontam no mesmo sentido. O controlo A.2 do anexo A da ISO/IEC 42001 exige uma política de IA documentada, o seu alinhamento com as restantes políticas da organização e a sua revisão em intervalos planeados quanto à adequação e à eficácia. O ponto 7.5 qualifica-a como informação documentada obrigatória, pelo que em sede de certificação será pedida pelo nome. O NIST AI RMF é coerente com esta abordagem: a subcategoria GOVERN 1.2 espera que as características de uma IA fiável estejam integradas nas políticas, processos, procedimentos e práticas da organização, ao passo que GOVERN 1.1 espera que os requisitos legais e regulamentares sejam compreendidos, geridos e documentados. A este quadro acresce o plano nacional. A CNPD tem-se pronunciado sobre a utilização de sistemas de IA à luz da proteção de dados, e o enquadramento português da supervisão do regulamento da IA articula-se com as autoridades setoriais já existentes. Uma política de IA redigida em Portugal tem de poder ligar-se a ambos os corpos sem reescrita, o que pressupõe uma ferramenta capaz de sustentar vários referenciais sobre a mesma cláusula. A consequência prática, para quem esteja a construir uma lista restrita, está na deslocação da pergunta. Antes tratava-se de saber se a ferramenta conseguia fazer chegar um documento a toda a gente e registar a sua abertura. Agora trata-se de saber se a ferramenta sabe dar a um avaliador uma resposta defensável a um pedido estreito e incómodo: mostre-me a política que cumpre esta obrigação, a versão em vigor no período que reivindica, as pessoas a quem se aplicava e a prova de que o controlo subjacente funcionou efetivamente. Os produtos concebidos como motores de divulgação respondem muito bem à primeira pergunta e muito mal à segunda.

A armadilha da tomada de conhecimento: uma assinatura não é conformidade

Todos os produtos da categoria contabilizam tomadas de conhecimento, e a maioria dos guias de compra transforma-as no indicador principal. É um indicador fraco. Uma tomada de conhecimento regista que uma pessoa identificada abriu um documento e clicou para confirmar. Não regista que a tenha compreendido, que o seu comportamento tenha mudado, nem que o controlo descrito pela política esteja a funcionar. Um departamento pode exibir 100 por cento de confirmações numa política de utilização aceitável e manter ao mesmo tempo em produção um modelo nunca revisto, com o painel a permanecer verde do princípio ao fim. Com a IA o desvio alarga-se. As políticas de utilização aceitável cobrem apenas as ferramentas que se conhecem. O shadow AI, ou seja, os modelos e assistentes que as equipas adotam sem passar por qualquer processo de entrada, escapa à confirmação por construção: uma ferramenta que nunca entrou no inventário nunca esteve no âmbito de uma campanha de tomada de conhecimento. Uma taxa de cobertura medida sobre um registo a que falta um terço do parque mede o registo, não a conformidade. O que um avaliador pede é, em vez disso, uma cadeia. Que obrigação impõe este controlo, que política o enuncia, quem responde por ele e que prova atesta o seu funcionamento no período examinado. Uma ferramenta que se fica por “publicado, 94 por cento de confirmações” deixa-lhe a tarefa de recompor essa cadeia à mão, numa folha de cálculo, na semana anterior à auditoria. É o teste prático da auditabilidade, e é o ponto em que termina a ferramenta documental e começa a de governação. Nada disto torna inútil a tomada de conhecimento. Continua a ser a via mais barata de demonstrar que uma regra foi comunicada, e a comunicação constitui um elemento jurídico real de várias obrigações, incluindo o dever de literacia acima referido. O erro está em tratar a percentagem de confirmações como um resultado em vez de como um entre vários dados de entrada. Leia-a como indicador de divulgação, conserve-a, e coloque separadamente a pergunta difícil: para cada política, que artefacto independente convenceria alguém que não confia em nós de que a regra foi cumprida.

Nove critérios de avaliação que contam hoje

As grelhas funcionais desta categoria reúnem cerca de meia centena de linhas, quase todas satisfeitas por qualquer produto. São estes nove critérios que os separam.

1. O encadeamento política, controlo, prova. Pode uma cláusula apontar para um controlo, e esse controlo para o artefacto que demonstra a sua execução? Se a resposta for uma ligação para uma pasta partilhada, não há encadeamento.
2. O mapeamento em vários referenciais. Uma mesma política satisfaz em regra várias obrigações em simultâneo. Uma única cláusula deveria poder sustentar ao mesmo tempo as correspondências com o regulamento europeu da IA, a ISO/IEC 42001 e o NIST AI RMF, sob pena de acrescentar um referencial equivaler a reescrever a biblioteca. O nosso quadro de governação da IA detalha a lógica das correspondências.
3. Revisões desencadeadas por eventos. Os ciclos anuais foram concebidos para uma regulação estável. Verifique se uma revisão pode ser desencadeada por um novo ato normativo, por uma mudança de versão do modelo ou por um incidente, e não apenas por uma data de calendário.
4. Datas de eficácia e sucessão de versões. O número de versão não chega. São precisas uma data de entrada em vigor, uma cadeia de substituição e a capacidade de responder ao que estava em vigor num qualquer instante passado.
5. Confirmação dirigida. Tomadas de conhecimento orientadas por função, entidade jurídica, jurisdição ou sistema de IA concreto, com uma fila de exceções visível. As campanhas indiferenciadas produzem números lisonjeiros e pouco sinal.
6. Ligação ao inventário. A biblioteca de políticas deveria assentar na mesma fonte autorizada que o seu inventário de sistemas de IA. Mantidos em separado, ambos divergirão, e essa divergência tornar-se-á a constatação de auditoria.
7. Dados estruturados e exportáveis. Políticas conservadas apenas em PDF não podem ser consultadas, comparadas nem transmitidas a controlos a jusante. Peça uma interface programável e uma exportação estruturada antes de pedir modelos de documento.
8. Registo de auditoria inalterável. Cada mudança de estado registada, com o próprio registo protegido contra alterações por parte dos administradores.
9. Delegação da redação com separação mantida. Os especialistas de negócio redigem no seu perímetro enquanto a autoridade de aprovação permanece no responsável designado.

Em que diferem as categorias de ferramentas

Citar produtos envelhece depressa e ensina pouco, dado que neste mercado a paridade funcional se atinge uma ou duas versões depois de qualquer novidade real. As categorias são mais estáveis, porque refletem a origem de cada produto. Quatro famílias repartem hoje a gestão de políticas internas, e cada uma transporta os pressupostos do problema para que foi construída. As suítes de controlo documental vêm da gestão da qualidade e da acreditação do setor público. Ciclo de vida, versionamento e confirmação estão aí excelentemente resolvidos, muitas vezes ao melhor nível do mercado. O mapeamento regulamentar fica pela superfície, e as obrigações próprias da IA estão ausentes ou são tratadas como um tipo documental qualquer. As plataformas GRC transversais ligam as políticas a riscos, controlos e regulação como função de primeiro nível, o que corresponde exatamente ao primeiro critério. O preço a pagar é a configuração: estes projetos medem-se em trimestres, e os conteúdos relativos à IA apresentam-se em regra como um módulo acrescentado sobre um modelo de dados anterior à IA. As ferramentas de intranet e de suíte de escritório ganham na adoção, porque as equipas já lá trabalham, e no preço, porque a licença está muitas vezes paga. São as mais fracas no rigor probatório: separação de funções, inalterabilidade dos registos e reconstituição a uma data passada são aí convenções mais do que comportamentos impostos pelo sistema. As plataformas de governação nativas para IA partem da obrigação em vez do documento, pelo que as políticas chegam já ligadas aos controlos e a um inventário de sistemas de IA. Sendo uma categoria mais jovem, a cobertura fora da governação da IA é desigual. A maioria das organizações já possui uma ferramenta das três primeiras famílias. A pergunta realista raramente é, por isso, a de uma substituição integral, mas a de que camada guardará a prova. Tratamos deste equilíbrio na nossa análise das ferramentas de governação da IA.

A questão de construir sobre o SharePoint

Construir sobre uma plataforma documental já instalada é defensável enquanto o número de políticas for reduzido, não estiver envolvido qualquer supervisor setorial e ninguém lhe tiver ainda pedido para reconstituir um estado passado. Deixa de o ser no dia em que precisa de separação obrigatória de funções e de um registo inalterável, porque ambos terão de ser desenvolvidos e depois mantidos à medida que a plataforma subjacente evolui. Orçamente a manutenção, e não apenas a construção.

Para onde caminha o setor: políticas legíveis por máquina

A geração atual de ferramentas trata a política como um documento a que se juntam metadados. A direção do movimento leva à política como dado estruturado, utilizável pelos próprios sistemas. A formulação publicada mais nítida desta ideia é a proposta dos Policy Cards (Mavracic, outubro de 2025), que sustenta que os Model Card, Data Card e System Card descrevem um sistema mas carecem de uma camada normativa operacional. Os Policy Card codificam regras de autorização e de proibição, obrigações e requisitos probatórios que um agente aplica em tempo de execução, com correspondências para o NIST AI RMF, a ISO/IEC 42001 e o regulamento europeu da IA. Imponha-se ou não este formato concreto, a necessidade que exprime já é real para quem coloca em serviço agentes de IA autónomos. Um agente não consegue ler um PDF e daí deduzir que está proibido de transmitir dados de clientes a um modelo externo. A restrição tem de existir numa forma que o motor de execução saiba avaliar. Quem toma uma decisão plurianual fará bem, portanto, em ponderar a representação estruturada das políticas e a abertura do formato de exportação acima da ergonomia do editor.

Um plano de avaliação em 30 dias

Semana 1: inventariar o existente. Levante cada política, norma e procedimento com o respetivo responsável, a data da última aprovação e o próximo prazo de revisão. A maioria das organizações descobre duas coisas: vários documentos não têm responsável algum, e o total ultrapassa qualquer estimativa. Nesta fase não compre nada. Semana 2: ligar os documentos às obrigações. Para cada elemento, anote a obrigação que o impõe. Alguns não se ligarão a nada, o que em regra assinala um documento herdado. Mais útil ainda é a lista inversa: as obrigações a que não corresponde documento algum. Do lado da IA, esse vazio abrange normalmente as medidas de literacia do artigo 4.º, uma posição sobre a utilização aceitável das ferramentas generativas e uma regra de gestão de alterações de modelo. Semana 3: pilotar duas políticas de ponta a ponta. Escolha uma política simples e outra que toque na IA. Faça-as circular em cada ferramenta pré-selecionada, da redação à aprovação, à publicação e à tomada de conhecimento dirigida, e exporte depois a prova. É a exportação que constitui o teste, não o circuito. Semana 4: conduzir uma auditoria simulada. Escolha uma data situada três meses atrás e peça a cada ferramenta que mostre o que estava então em vigor, quem tinha confirmado e que prova atesta o funcionamento do controlo associado. Pontue quanta recomposição manual a resposta exigiu. O exercício reproduz o desenrolar de uma auditoria de IA e é a única parte da avaliação que prevê o comportamento da ferramenta sob pressão.

Questões frequentes

O que é um software de gestão de políticas internas? Um software de gestão de políticas internas conduz o ciclo de vida completo das regras internas de uma organização: redação, revisão, aprovação, publicação, divulgação, tomada de conhecimento, revisão periódica e retirada. Substitui as unidades partilhadas e as cadeias de correio por circuitos obrigatórios, versionamento acompanhado de datas de eficácia, um registo de quem confirmou que versão e uma trilha que cobre cada alteração. Os produtos mais maduros ligam ainda cada política aos controlos e obrigações a que serve. A gestão de políticas internas é o mesmo que gestão documental? Não. Um sistema de gestão documental arquiva ficheiros e controla versões. A gestão de políticas internas acrescenta a camada de governação: separação obrigatória entre redação e aprovação, campanhas de confirmação dirigidas, planeamento das revisões e relatórios pensados para avaliadores e não para arquivistas. Pode construir essa camada sobre um sistema documental, mas assume então o seu desenvolvimento e a sua manutenção. O regulamento europeu da IA obriga a um software de gestão de políticas internas? Obriga a ter políticas, não um produto determinado. O artigo 4.º obriga prestadores e responsáveis pela implantação a tomar medidas que assegurem um nível suficiente de literacia em IA, e o artigo 53.º, n.º 1, alínea c) obriga os prestadores de modelos de finalidade geral a instituir uma política de cumprimento em matéria de direitos de autor. Nada o obriga a comprar uma ferramenta. Na prática, porém, quando é preciso provar que versão se aplicava a quem e quando, a folha de cálculo deixa de aguentar. É preciso uma política de IA autónoma ou podemos alargar as existentes? Ambas as vias funcionam, e o controlo A.2 da ISO/IEC 42001 espera precisamente alinhamento com as restantes políticas da organização em vez de um documento isolado. Uma política de IA autónoma demonstra-se em regra com maior facilidade, porque o avaliador que pede a política de IA recebe um artefacto único em vez de cláusulas alteradas dispersas por seis documentos. Seja qual for a via escolhida, mantenha a responsabilidade nominativa e o intervalo de revisão explícito. Um software gratuito de gestão de políticas internas é suficiente? Para uma organização pequena com um punhado de políticas e sem supervisor setorial, uma ferramenta gratuita ou já incluída numa suíte é muitas vezes proporcionada. Deixa de o ser assim que precisa de separação obrigatória de funções, de reconstituição a uma data passada ou de exportação da prova, que são justamente as funções que as versões gratuitas omitem. O preço da ferramenta raramente é o fator decisivo. É-o o custo de recompor as provas à mão. Quanto custa um software de gestão de políticas internas? Os preços publicados são raros nesta categoria. A maioria dos fornecedores cota por utilizador e por ano acrescida de uma taxa de plataforma, e o total depende do número de pessoas obrigadas a confirmar as políticas muito mais do que do número de redatores. Fixe esse número de destinatários antes de pedir propostas, porque é a variável que mais mexe no preço e aquela que quem compra subestima com maior frequência. Com que frequência devem as políticas ser revistas? A ISO/IEC 42001 exige revisão em intervalos planeados sem fixar o intervalo. A periodicidade anual é a escolha corrente e continua razoável em domínios estáveis. Para as políticas de IA, o intervalo de calendário por si só não chega, porque obrigações e sistemas mudam entre um ciclo e outro. Acrescente desencadeadores por evento: um novo ato normativo, uma mudança relevante de modelo ou de fornecedor, ou um incidente.

Conclusão

Esta categoria vende-se há uma década com a mesma promessa: tirar as políticas das unidades partilhadas e provar que as equipas as leram. Essa promessa é hoje o bilhete de entrada e já não o elemento diferenciador. A regulação deslocou a fasquia da divulgação para a prova, e a IA deslocou-a mais depressa do que tudo o resto, porque os sistemas a governar mudam muito mais vezes do que previa um ciclo de revisão anual. Quando avaliar uma solução de gestão de políticas internas, conduza a auditoria simulada antes da demonstração funcional. Uma ferramenta incapaz de reconstituir o que estava em vigor no trimestre passado, e de apresentar a prova correspondente, não sobreviverá ao encontro com um avaliador por muito agradável que seja a sua experiência de edição. Se está a construir essa camada probatória especificamente para a IA, comece pelo nosso quadro de governação da IA.