Resposta rápida: Se mais do que uma pessoa usa ferramentas de IA no seu negócio — ou se as usa com informações de clientes — precisa de regras internas básicas, e uma política de uma página chega. Não é um manual de conformidade: é um documento interno curto que responde a oito questões práticas, desde que ferramentas são aprovadas ao que fazer quando alguém tem dúvidas. Uma hora para escrever, uma hora por ano para manter. Seja igualmente claro quanto ao que ela não faz: uma política, por si só, não cumpre a proteção de dados nem o AI Act da UE. O que faz é substituir hábitos silenciosos e improvisados por decisões que a sua equipa consegue seguir.
Na maioria das pequenas empresas, a IA entra devagarinho. Alguém começa a redigir emails com o ChatGPT. Alguém pede ao Claude para resumir notas de reuniões. Um colaborador externo cola uma folha de cálculo de um cliente no Gemini para a limpar. Nada disto é anunciado e, normalmente, nada corre mal — até ao dia em que alguém cola a coisa errada na ferramenta errada, ou uma resposta não verificada chega a um cliente.
É essa lacuna que uma política de utilização fecha. Não proibindo nada, mas decidindo uma vez, e com antecedência, as questões de fronteira, em vez de deixar cada pessoa improvisar.
O que é uma política de utilização — e o que não é
Uma política de utilização de IA é um documento interno curto — uma página para a maioria das pequenas empresas. Regista as regras internas: que ferramentas são aprovadas, que informações podem ser colocadas nelas, que verificação é exigida antes de usar o resultado da IA e a quem recorrer em caso de dúvida.
Não é um documento de conformidade legal. Os deveres de proteção de dados ao abrigo do RGPD e do direito da UE, e as obrigações do AI Act da UE já em vigor — literacia de IA desde fevereiro de 2025, transparência de chatbots desde agosto de 2026 — existem independentemente do que a sua política diz. A parte legal está tratada em segurança de dados de IA para pequenas empresas e no AI Act da UE para as PME. Uma política não torna ninguém conforme por si só — quem vende um modelo pronto como "tudo o que precisa" está a exagerar. O que ela faz é tornar as expectativas explícitas e verificáveis, que é a parte de que a maioria das pequenas empresas carece.
A checklist: oito decisões
Percorra estas decisões com quem for responsável pela política. Escreva uma ou duas frases por resposta. Se uma decisão provocar discussão, é para isso que serve — melhor agora do que depois de um incidente.
1. Que ferramentas são aprovadas? Diga os nomes: ChatGPT, Claude, Gemini, Copilot, as que a sua equipa realmente usa. As condições de tratamento de dados diferem entre ferramentas e entre planos — um plano de consumidor e um plano empresarial não são o mesmo acordo — por isso aprove cada ferramenta no plano que efetivamente verificou, e registe-o.
2. O que pode ser colado na ferramenta, e o que não pode? Uma regra prática: se não enviaria por email a um desconhecido, não cole numa ferramenta. Nomes de clientes, detalhes de contratos, registos de pessoal, palavras-passe e chaves de API — as credenciais que um programa usa para falar com outro — nunca entram. Todo o resto é tornado anónimo primeiro — a tarefa raramente precisa dos nomes reais. Em caso de dúvida, descreva os dados por palavras em vez de os colar.
3. Que verificação exige o resultado da IA antes de ser usado? Separe os rascunhos internos de tudo o que sai da empresa. Uma chuva de ideias sem consequências exige pouca verificação; um número num orçamento, uma cláusula numa minuta de contrato ou um parágrafo no seu site precisa de alguém que o confirme antes de contar. Ajuste a verificação à tarefa: recalcule números, confirme afirmações legais ou técnicas numa fonte primária e leia a versão final como se um concorrente a tivesse escrito.
4. Quando informar os clientes? Se um cliente está a falar com um chatbot, deve sabê-lo — para empresas que servem clientes na UE, avisar as pessoas quando falam com um chatbot é exigência do AI Act da UE desde agosto de 2026, e a honestidade é um padrão sensato muito para além do mínimo legal. Decida também se os trabalhos com apoio de IA (um relatório, uma tradução, um design) são declarados e, se sim, registe-o onde os clientes possam ver.
5. Quem é responsável pela política? Uma pessoa nomeada. Aprova novas ferramentas, responde a perguntas e revê o documento a cada seis meses ou sempre que uma ferramenta muda as condições. Sem responsável, a política degrada-se num ficheiro que ninguém abre.
6. O que faz alguém com dúvidas? A resposta por omissão deve ser aborrecida: não cole, não envie, pergunte primeiro ao responsável. Dê às pessoas uma forma óbvia de perguntar — o mesmo canal ou inbox para todos — e garanta que o responsável responde.
7. O que acontece se algo correr mal? Decida a resposta antes de precisar dela: corrija o registo junto do cliente afetado, note o que aconteceu e porquê, ajuste a regra que falhou. Sem caças ao culpado — o objetivo é criar um hábito, não uma investigação.
8. Como é que uma ferramenta nova é aprovada? Alguém experimenta, verifica as condições de utilização de dados e o responsável acrescenta à lista ou diz que não. É esta regra que impede a dispersão silenciosa — o momento em que três pessoas usam três ferramentas que ninguém avaliou.
Um exemplo de uma página (construído)
Para mostrar o tamanho da coisa, aqui está a política completa de uma empresa fictícia de contabilidade com duas pessoas, construída para ilustração:
Usamos o ChatGPT e o Claude, nos planos aprovados pelo responsável da empresa. Nada mais está aprovado. Nomes, identificadores e valores de clientes nunca entram em ferramentas de IA; descrevemos a tarefa por palavras ou usamos exemplos inventados. Qualquer resultado de IA que um cliente receba é verificado linha a linha por quem o envia. O chatbot do nosso site diz que é um chatbot, em português e em inglês. Um dos sócios é responsável por este documento, revê-o a cada seis meses e responde a perguntas na inbox partilhada da equipa. Ferramentas novas: uma semana de experiência, verificar as condições, depois falar com o responsável.
Doze linhas. Exigiria adaptação numa indústria regulada, e não é aconselhamento jurídico — mas todos na empresa sabem onde estão as linhas, o que é mais do que a maioria das equipas pode dizer.
Quando realmente não precisa de uma
Se trabalha sozinho, usa a IA apenas para os seus próprios rascunhos e nunca cola informações de clientes, uma política formal é excesso. Escreva três linhas para si — que ferramentas, o que nunca entra, o que é verificado — e está feito. Reavalie quando contratar ou quando o trabalho de clientes começar a incluir dados.
Três perguntas que surgem
A política vai abrandar a equipa? Menos do que adivinhar. As regras que contam levam segundos a cumprir — anonimizar primeiro, verificar antes de enviar, perguntar em caso de dúvida — e substituem o processo mais lento e caro de descobrir depois do facto.
As ferramentas mudam todos os meses. Porquê escrever alguma coisa? A política governa decisões, não nomes de ferramentas. As ferramentas vêm e vão; as perguntas — o que entra, o que é verificado, quem decide — quase não mudam. É por isso que a decisão 5 inclui uma data de revisão.
Somos apenas quatro pessoas. Não é exagero? Quatro pessoas é precisamente quando é barato: uma conversa, uma página, uma tarde. O custo de a escrever cresce com o número de pessoas; o valor de a ter cresce mais depressa.
As limitações, com honestidade
Uma política de uma página não torna ninguém conforme com a proteção de dados, não cumpre nenhum dever do AI Act da UE e não garante que nunca há erros. Só funciona se o responsável nomeado a mantiver atualizada e se a equipa a puder contestar. Trate-a como um documento vivo, não como um certificado.
Onde um segundo par de olhos ajuda
Escrever regras é a parte fácil; saber quais dos seus processos reais as merecem é o julgamento. É para isso que serve o Diagnóstico de Processos e IA: uma entrevista de descoberta curta sobre como o trabalho é feito hoje, até três processos nomeados e delimitados analisados, e conclusões escritas em linguagem clara que ficam consigo, com uma lista priorizada de melhorias — incluindo melhorias de processo simples onde a IA é desnecessária. Custa 399 € (£349 no Reino Unido), pagamento único, sem mais compromissos.
Prefere falar primeiro? Marque a chamada gratuita de 30 minutos — sem necessidade de preparação, e se o diagnóstico não for adequado, dizemos-lho.
Leitura relacionada: segurança de dados de IA para pequenas empresas, erros comuns de IA nas pequenas empresas e o AI Act da UE para as PME.
Última atualização: 25 de outubro de 2026