Política de utilização de IA: exemplo e o que deve conter

Exemplo de política de utilização de IA, secção a secção

Para cada secção indicamos o que deve cobrir e, nas mais difíceis, uma cláusula-modelo. Substitua o que está entre parênteses retos pelos seus dados.

1. Objetivo e âmbito

Explique porque existe a política e a quem se aplica: trabalhadores, estagiários, consultores, trabalhadores temporários e qualquer pessoa que use IA em nome da organização. Abranja todas as ferramentas, não só os chatbots: assistentes de código, transcrição, geradores de imagem e funcionalidades de IA em sistemas existentes.

Exemplo: «A presente política aplica-se a todos os trabalhadores, colaboradores externos e demais pessoas que utilizem ferramentas de inteligência artificial no exercício de funções para a [Empresa], independentemente de a ferramenta ser disponibilizada pela [Empresa], estar integrada em software licenciado ou ser acedida através de uma conta pessoal.»

2. Ferramentas aprovadas

Liste as ferramentas autorizadas e para que classes de informação, ou remeta para uma lista na intranet mantida atualizada. Indique expressamente as versões empresariais, por exemplo o Microsoft 365 Copilot da empresa e não a versão gratuita. Descreva como pedir uma nova ferramenta e quem aprova. A lista deve sair do inventário de IA da empresa, para que os dois nunca divirjam.

Exemplo: «Só podem ser utilizadas no trabalho as ferramentas constantes da Lista de Ferramentas de IA Aprovadas. Pedidos de novas ferramentas são dirigidos a [responsável pela governação de IA] através de [formulário] e só são aprovados após análise de segurança, proteção de dados e fornecedor.»

3. Classificação da informação: o que nunca se introduz

Esta é a secção que evita mais incidentes. Ligue as classes de informação que já usa (pública, interna, confidencial, estritamente confidencial) a regras de IA e enumere o que é proibido em ferramentas que não estejam especificamente aprovadas para isso.

Exemplo: «Nunca introduza numa ferramenta de IA, salvo se estiver aprovada por escrito para essa classe de informação: palavras-passe, chaves de API ou outras credenciais; dados pessoais de clientes ou colaboradores; categorias especiais de dados, como saúde, biometria ou filiação sindical; números de identificação civil, fiscal ou da segurança social; dados de cartões de pagamento; informação financeira não publicada; código-fonte classificado como confidencial; documentos abrangidos por sigilo profissional ou acordos de confidencialidade com clientes.»

Se as equipas precisam mesmo de usar IA sobre dados pessoais, um controlo técnico é mais seguro do que uma regra: pseudonimização antes de os dados chegarem ao modelo, bloqueio de segredos e registo de cada pedido.

4. Verificação dos resultados e responsabilidade

Deixe claro que quem usa IA responde pelo resultado. Os resultados devem ser verificados quanto a exatidão, enviesamento, direitos de autor e adequação antes de serem usados ou partilhados. Decisões sobre pessoas exigem cuidado redobrado.

Exemplo: «É responsável por todo o trabalho que produz com apoio de IA. Confirme factos, números, fontes e código antes de os utilizar. Um resultado de IA nunca pode ser a única base de uma decisão sobre o emprego, o crédito, o acesso a serviços ou a situação jurídica de uma pessoa; uma pessoa competente deve rever e poder alterar o resultado.»

5. Utilizações proibidas

Liste o que nunca é permitido. Comece pelas práticas proibidas do artigo 5.º que podem realisticamente surgir numa empresa e acrescente limites próprios:

• IA que infira emoções de colaboradores, por exemplo análise de sentimento em videochamadas internas, salvo por razões médicas ou de segurança.
• Categorização biométrica que deduza características sensíveis, como origem étnica, opiniões políticas ou orientação sexual.
• Técnicas manipuladoras ou enganosas que distorçam o comportamento de alguém e causem provavelmente danos significativos, ou que explorem vulnerabilidades ligadas à idade, deficiência ou situação socioeconómica.
• Classificação social que conduza a tratamento prejudicial injustificado.
• Criar imagens íntimas de pessoas identificáveis sem consentimento ou material de abuso sexual de crianças (novas proibições do AI Act a partir de 2 de dezembro de 2026; o material de abuso sexual de crianças já é crime em Portugal).
• Limites próprios: fazer-se passar por uma pessoa real, criar conteúdo de assédio ou discriminatório, contornar controlos de segurança, deixar a IA tomar decisões finais de contratação ou despedimento.

6. Transparência e identificação de conteúdos de IA

Defina quando os colaboradores têm de dizer que usaram IA. O artigo 50.º obriga a informar as pessoas de que interagem com um sistema de IA, salvo se for evidente, e a assinalar falsificações profundas em imagem, som ou vídeo, bem como texto gerado por IA publicado para informar o público sobre assuntos de interesse público, salvo se tiver revisão humana com responsabilidade editorial.

Exemplo: «Chatbots e assistentes de voz em contacto com clientes informam, no início da interação, que são sistemas de IA. Imagens, vídeos e áudios gerados ou significativamente manipulados por IA que representem pessoas, locais ou acontecimentos reais são identificados como tal antes da publicação.»

7. Direitos de autor e confidencialidade

Descreva a quem pertence o resultado, o risco de a IA reproduzir material protegido e a proteção do sigilo dos clientes. Exija a verificação de licenças para código e imagens gerados e proíba o carregamento de material que a empresa não tenha direito a tratar. Entidades públicas devem ainda confirmar as regras de acesso e sigilo antes de enviar informação a um serviço externo de IA.

8. Segurança e shadow AI

Proíba contas pessoais de IA para trabalho e extensões de navegador ou complementos não aprovados que leiam o conteúdo das páginas. Exija início de sessão único (SSO) onde existir. Explique porquê: os termos de consumo podem permitir ao fornecedor treinar com o que escreve, e não há registos.

Exemplo: «Não utilize contas pessoais em serviços de IA para trabalho da [Empresa] nem instale extensões, complementos ou assistentes de reuniões de IA que não constem da Lista de Ferramentas de IA Aprovadas. A Direção de Sistemas de Informação pode bloquear ou remover ferramentas não aprovadas.»

9. Comunicação de incidentes

Defina o que conta como incidente de IA (informação confidencial numa ferramenta não aprovada, uma resposta discriminatória, um chatbot que dá informação errada a clientes) e como se comunica, de preferência pela via dos incidentes de segurança. Se envolver dados pessoais, pode ser também uma violação de dados a avaliar para notificação à CNPD no prazo de 72 horas. Proteja quem comunica erros de boa-fé; caso contrário, ninguém comunica.

10. Literacia e formação

Exija formação adequada à função antes do acesso às ferramentas e repita-a regularmente. Funções de maior risco, como recrutadores que usam uma ferramenta de triagem ou analistas que supervisionam um modelo de crédito, precisam de formação aprofundada. Guarde presenças e conteúdos: são a sua prova das medidas do artigo 4.º.

11. Funções e responsabilidades

Indique quem é dono da política (muitas vezes o responsável de segurança da informação ou de governação de IA), quem aprova ferramentas, quem responde a questões de proteção de dados (o encarregado de proteção de dados) e o que se espera das chefias. Sem nomes, ninguém acompanha.

12. Revisão e cumprimento

Fixe uma data de revisão, pelo menos anual e mais frequente enquanto a tecnologia e as regras mudam depressa. Indique que as violações são tratadas segundo os procedimentos internos e mantenha histórico de versões.

O que fazer e o que não fazer: a política numa página

Muitas empresas juntam à política um resumo de uma página, útil no acolhimento de novos colaboradores.

Como implementar a política numa empresa portuguesa

1. Partir do que já se usa. A lista de ferramentas aprovadas tem de refletir a realidade, senão é ignorada. Faça primeiro um levantamento rápido, idealmente como parte de uma análise de lacunas ao AI Act.
2. Avaliar os fornecedores antes de aprovar. Utilização dos dados, prazos e local de conservação, segurança e mudanças de modelo. Uma checklist comum torna a análise consistente.
3. Testar o rascunho com utilizadores reais. Peça a pessoas do comercial, recursos humanos, desenvolvimento e finanças que leiam e digam se as regras encaixam no seu trabalho.
4. Tratar a dimensão laboral. O Código do Trabalho, alterado pela Lei n.º 13/2023, obriga a informar os trabalhadores sobre os parâmetros e critérios de algoritmos e sistemas de IA que afetem o acesso ao emprego ou as condições de trabalho. Se a utilização de IA for monitorizada ou registada, verifique também as regras sobre meios de vigilância à distância e envolva a comissão de trabalhadores, quando exista. Para sistemas de risco elevado no local de trabalho, o artigo 26.º, n.º 7, do AI Act exige informar previamente os representantes dos trabalhadores e os trabalhadores afetados. Confirme com um jurista de direito do trabalho.
5. Lançar com formação, não só com um e-mail. Uma sessão de 30 minutos com exemplos reais vale mais do que um PDF na intranet. Registe as presenças.
6. Reforçar com controlos técnicos. SSO para as ferramentas aprovadas, bloqueio proporcional de serviços não aprovados e registo da utilização de IA.
7. Rever com regularidade. Pelo menos uma vez por ano e sempre que surja uma ferramenta relevante ou mudem as regras.

Perguntas frequentes

O que é uma política de utilização de IA?

É um documento interno que diz aos colaboradores e prestadores externos como podem e não podem usar ferramentas de IA no trabalho. Inclui normalmente ferramentas aprovadas, informação que nunca se introduz, regras de verificação, utilizações proibidas, transparência, segurança e comunicação de incidentes. Transforma a governação de IA em instruções do dia a dia.

O AI Act obriga a ter uma política de IA?

Não expressamente. O regulamento exige resultados: medidas de literacia (artigo 4.º), não usar práticas proibidas (artigo 5.º) e transparência em certos usos (artigo 50.º). Uma política acompanhada de formação é, para a maioria das organizações, a forma mais prática de demonstrar que essas medidas existem.

Onde encontro um bom exemplo de política de IA?

O exemplo acima tem cláusulas-modelo para as secções mais difíceis: âmbito, ferramentas aprovadas, classificação da informação, verificação, transparência e shadow AI. Adapte-as às suas ferramentas e classes de informação. Não copie a política de outra organização: reflete as ferramentas, os contratos e a tolerância ao risco dela, não os seus.

Devemos proibir o ChatGPT e outras ferramentas de IA?

Proibições totais raramente funcionam. As pessoas passam para contas pessoais e telemóveis, e surge shadow AI sem qualquer controlo. É preferível aprovar versões empresariais com condições contratuais adequadas, fixar regras claras sobre informação e bloquear apenas o que não pode ser tornado seguro.

Com que frequência se revê a política de IA?

Pelo menos uma vez por ano e sempre que algo relevante mude: um novo tipo de ferramenta, a troca de um fornecedor importante, novas orientações da Comissão ou da ANACOM, ou um incidente que revele uma falha. Enquanto o uso de IA cresce a este ritmo, muitas empresas reveem-na de seis em seis meses.

Ou receba a sua política já redigida, em 40 minutos

O exemplo acima chega para escrever a política internamente. Se preferir partir de um rascunho que já reflete as suas ferramentas, a sua informação e a sua tolerância ao risco, use os modelos gratuitos de política e governança de IA da Opsio: 14 passos de perguntas em português, cerca de 40 minutos, e ao submeter recebe quatro documentos redigidos a partir das respostas (política de utilização de IA para colaboradores, quadro de governança de IA, checklist de fornecedores de IA e modelo de avaliação de riscos), mais um retrato de maturidade em dez áreas. Os documentos são entregues em inglês, como ficheiros Word editáveis, e ficam seus. Gratuito e sem compromisso.

Este artigo é informação geral e não constitui aconselhamento jurídico. Confirme o texto consolidado do Regulamento (UE) 2024/1689, na redação dada pelo Regulamento (UE) 2026/1744, e a legislação laboral e de proteção de dados aplicável. Datas e obrigações à data de outubro de 2026.