Desde 2 de fevereiro de 2025, empresas que fornecem ou utilizam sistemas de IA na União Europeia têm uma obrigação nova e pouco comentada. O Artigo 4 do regulamento europeu de inteligência artificial exige que essas organizações desenvolvam o letramento em IA de suas equipes e de quem opera esses sistemas em seu nome — o conhecimento necessário para usar IA de forma informada, ciente dos riscos e dos danos possíveis.
Repare no que a norma não diz. Ela não pede um documento, uma política assinada nem um treinamento gravado. Ela pede uma capacidade demonstrável dentro da operação. E essa é exatamente a distinção que a maioria das empresas ainda não fez.
Os números explicam por quê. A pesquisa AI Pulse Poll de 2025 da ISACA, com 3.029 profissionais de confiança digital, encontrou que 59% das organizações já permitem o uso de IA generativa — mas apenas 28% têm uma política formal e abrangente. O levantamento State of AI in the Enterprise da Deloitte, publicado em janeiro de 2026 com 3.235 líderes de negócio e de TI em 24 países, mostra o degrau seguinte: só 21% relatam governança madura para os riscos de agentes de IA. Cerca de quatro em cada cinco empresas não têm limites claros de decisão para esses agentes, monitoramento em tempo real ou trilha de auditoria.
O documento existe. O controle, não
A maior parte das empresas que "tem política de IA" tem, na prática, um PDF. Alguém do jurídico ou da segurança escreveu, uma reunião aprovou, um e-mail comunicou. Está tudo lá: quais dados não podem ser colados em ferramentas externas, quais decisões exigem revisão humana, quais áreas podem usar IA para quê.
E nada disso opera.
O documento não sabe quem é quem. Não sabe se quem acabou de pedir o resumo de um contrato tem autorização para lê-lo. Não impede que uma informação desatualizada vire resposta oficial. Não registra o que foi feito, por quem e quando. Quando chega uma auditoria ou uma investigação de incidente, a empresa tem uma regra escrita e nenhuma evidência de que ela foi cumprida.
É a diferença entre uma placa de "proibido entrar" e uma porta com fechadura. A placa comunica a intenção. Só a fechadura muda o comportamento — e só ela deixa registro de quem passou.
O que reguladores e normas já pedem
Três referências internacionais convergem para o mesmo ponto, e vale conhecê-las mesmo que nenhuma se aplique diretamente à sua empresa hoje.
O regulamento europeu de IA entrou em vigor em 1º de agosto de 2024 e se aplica em etapas: proibições e obrigação de letramento desde 2 de fevereiro de 2025; modelos de uso geral desde 2 de agosto de 2025; o restante em 2 de agosto de 2026, com obrigações adicionais para sistemas de alto risco em 2 de agosto de 2027. Empresas brasileiras que atendem clientes na Europa entram nesse calendário por contrato antes de entrar por lei.
A ISO/IEC 42001, publicada em 2023, é a norma internacional de sistema de gestão de IA — e é certificável por auditoria externa. Ela não pede boas intenções: pede política de IA definida, papéis e responsabilidades atribuídos, avaliação de risco documentada, controles operacionais (entre eles governança de dados e controle de acesso), monitoramento contínuo, auditorias internas regulares e revisão anual da política pela liderança.
O NIST AI Risk Management Framework, dos Estados Unidos, publicado em 2023 e de adoção voluntária, organiza a gestão de risco em quatro funções: governar, mapear, medir e gerenciar. A função de governar é a única que atravessa todas as etapas — ou seja, governança não é uma fase do projeto, é uma condição permanente da operação.
No Brasil, o PL 2338/2023 foi aprovado pelo Plenário do Senado em 10 de dezembro de 2024 e segue em análise na Câmara dos Deputados desde 17 de março de 2025. O texto estrutura a regulação por níveis de risco e prevê direitos de quem é afetado por decisões automatizadas. Enquanto tramita, a LGPD já rege os dados pessoais que passam por qualquer ferramenta de IA. Nada disto é parecer jurídico — a leitura do que se aplica ao seu caso é do seu jurídico. O ponto operacional é outro: os controles descritos nessas três referências são praticamente os mesmos, e são exatamente os que faltam quando a política existe só no PDF.
Cinco controles que transformam regra em mecanismo
Uma política de IA vira controle quando cada frase dela tem um mecanismo correspondente na ferramenta que as pessoas realmente usam. São cinco.
Identidade corporativa. A pessoa entra com o crachá da empresa, não com um cadastro próprio. Cargo, área e vínculo vêm do diretório corporativo. Quem é desligado perde o acesso junto — sem depender de alguém lembrar de revogar.
Acesso função por função. A regra "o financeiro não vê contratos de RH" precisa ser uma permissão configurada, não uma expectativa. O que a pessoa pode ler, a IA que trabalha para ela também pode — e nada além.
Aprovação conforme o risco da ação. Nem toda ação precisa de freio. Apagar um registro, alterar uma credencial ou disparar uma comunicação sensível precisam. A classificação de risco define onde entra a aprovação humana.
Revisão e aprovação de conteúdo crítico. Documentos críticos podem exigir revisão e aprovação em duas etapas, com segregação de funções e exceções auditadas. É o controle que impede que um arquivo desatualizado, colocado na pasta errada, vire resposta oficial da IA da empresa.
Trilha de auditoria. Quem fez, o quê, quando e de onde. Sem registro, a empresa não consegue provar conformidade nem reconstruir um incidente — e a política, por melhor que seja, permanece indemonstrável.
O que precisa existir na prática
Os cinco controles só valem se estiverem no mesmo lugar em que o trabalho acontece: entrada com a identidade corporativa, acesso definido por papel, agentes limitados ao que a pessoa que os usa já pode ver, ações sensíveis que param e pedem confirmação, e registro consultável de cada ação relevante. Nenhuma peça funciona sozinha — identidade sem trilha não prova nada; trilha sem permissão registra o acesso indevido depois que ele aconteceu.
Há um obstáculo anterior: muitas empresas não têm escritos os processos que a política deveria referenciar. Adiar a governança até "organizar a casa" é o caminho mais comum para não governar nunca. Partir de modelos prontos — RH, financeiro, operações, atendimento, qualidade — e adaptá-los encurta essa etapa. E o que uma pessoa cria e a empresa aprova precisa continuar disponível para os papéis autorizados, em vez de morrer na conta de quem criou. É assim que a Skyller foi desenhada.
Roteiro de cinco passos para tirar a política do PDF
- Liste as afirmações da sua política atual. Cada frase que diz "não pode", "só com aprovação" ou "apenas para a área X" é uma regra candidata a virar mecanismo. Se a política não tem frases assim, ela ainda é declaração de intenção.
- Marque cada regra com o controle que a sustenta. Identidade, permissão, aprovação por risco, revisão de conteúdo ou trilha. Regra sem controle correspondente é regra que ninguém segue — e ninguém consegue provar que segue.
- Comece pelas duas ou três rotinas de maior exposição. Contratos, dados de clientes, folha, preço. Governar tudo de uma vez trava o projeto; governar o que dói primeiro entrega evidência rápida.
- Defina onde a IA precisa parar. Escreva a lista de ações que exigem confirmação humana antes de acontecer, e configure-a. Sem essa lista, a empresa oscila entre travar todo uso de agentes e liberar sem freio.
- Marque a revisão no calendário. As referências internacionais convergem em revisão periódica e auditoria interna. Política que não é revisada envelhece mais rápido que a tecnologia que ela deveria reger.
Três perguntas para levar à próxima reunião de diretoria: se um auditor pedir hoje a evidência de que a nossa política de IA foi cumprida no último trimestre, o que conseguimos entregar? Quando alguém é desligado, quanto tempo leva até perder o acesso às ferramentas de IA da empresa? E quem, nominalmente, aprova um documento antes de ele virar resposta oficial da IA para toda a empresa?
