Protocolo de Governança de IA

Para a sua equipe usar IA de verdade — sabendo o que pode.

---

O que você acabou de comprar

Sete documentos e uma ordem de montagem. Não é software, não é curso, não é consultoria: é o método que uma empresa aplica sozinha para sair do cada um se vira como dá para todo mundo sabe o que pode fazer.

O ganho maior não é proteção — é uso. Hoje, numa empresa sem regra, metade das pessoas usa IA escondido, do próprio jeito, e a outra metade não usa porque ninguém disse que podia. As duas metades custam caro, e o custo não aparece em lugar nenhum: ele é feito de coisas que não aconteceram. Governança é o que destrava as duas.

Ao final, sua empresa tem:

Quatro coisas e uma data na agenda. Quase nenhuma empresa do seu porte tem isso — e é o suficiente para dizer "pode usar" com todas as letras, em vez de torcer para dar certo.

O que muda na prática, na segunda-feira

Uma honestidade, antes de tudo

Nenhum controle fecha 100%. Sempre existirá o celular pessoal, o 4G e a criatividade de quem quer burlar. A garantia é em camadas, e a última é humana — a política e a cultura.

O objetivo aqui não é blindagem perfeita. É sair do escuro e tornar o risco governável. Quem te prometer 100% está vendendo alguma coisa.

E mais uma: isto não é parecer jurídico. O Protocolo aponta onde você precisa de advogado — em especial nas partes de monitoramento e medida disciplinar, que dependem da sua relação trabalhista e do seu regulamento interno. Aponta, não substitui.

Por onde começar

Comece pelo Guia de implantação e siga na ordem. Ele é o fio; o resto são as contas.

O guia divide o trabalho pelos períodos de um fim de semana. Você não precisa ler tudo antes de começar — precisa fazer o passo 1.

O que tem dentro

Por que a lei está num anexo separado. Os sete documentos acima não citam lei nenhuma, de propósito: a mesma política serve a uma empresa no Brasil, em Portugal ou no Quênia. Tudo o que é jurisdição vive no anexo — então, quando a lei mudar, muda um arquivo, não o seu método.

Três erros que custam caro — e que este Protocolo evita

1. Escrever política genérica. Política que não nomeia os seus segredos — o nome do projeto, a margem, a base de clientes — não muda comportamento nenhum. O passo 1 existe para isso.

2. Inverter a ordem do passo 3. Comunicar → colher o termo → só então ligar qualquer registro de uso. Fazer ao contrário cria exatamente a exposição que o Protocolo existe para remover, e é a parte que gera problema trabalhista.

3. Achar que terminou. A lista de ferramentas vence quando sai modelo novo — e sai todo mês. O passo 5 é o que impede o trabalho do fim de semana de virar documento morto em seis meses.

Se você travar

O guia foi escrito para ser executado sem ajuda. Se ainda assim empacar num passo, o problema quase sempre é um destes dois: você não sabe o que é sigiloso na sua empresa (volte ao passo 2) ou não sabe quem decide (passo 5 — o dono da regra é uma pessoa com nome, não uma área).

---

Inteligência Analógica — a inteligência analógica no comando da inteligência artificial. O difícil é fazer fácil.

Guia de Implantação — Governança de IA em um fim de semana

Comece por aqui. Este é o fio que amarra os documentos do Protocolo de Governança de IA num passo a passo que você executa sozinho, sem depender de ninguém para começar. Os templates são as peças; este guia é a ordem de montagem. Ao final, sua empresa sai do zero governança para o piso: uma regra escrita, dados classificados, a equipe avisada com lastro, um limite no ar e uma revisão marcada.

O que você ganha com isso: a equipe passa a usar IA sabendo o que pode — quem estava parado por medo destrava, e quem já usava passa a fazer do jeito certo. Proteção é consequência; uso é o motivo.

Para quem: dono/gestor de PME (ou o TI/consultor). ⚠️ Não é parecer jurídico. Este guia instala um método; as partes que tocam monitoramento, medida disciplinar e dado pessoal precisam de revisão por advogado antes de valerem na sua empresa. O guia aponta onde — não substitui a revisão.

Tempo: um fim de semana para deixar tudo pronto — mais alguns dias para a equipe assinar o termo, que depende de gente responder e não de você. Acompanhe pelo Checklist de implantação — este guia explica por que e como; o checklist marca o que está feito.

---

Antes de começar — a ideia em uma frase

Governança de IA não é um software mágico nem um calhamaço jurídico. São quatro coisas simples no lugar certo: uma regra (o que pode), uma classificação (com quais dados), um combinado com a equipe (com lastro) e um limite (uma barreira técnica). Este guia instala as quatro. O princípio que rege tudo: o humano no comando — a IA sugere, a pessoa decide e responde.

Uma honestidade que vale dizer logo: nenhum controle fecha 100%. Sempre haverá o celular pessoal, o 4G, a criatividade de quem quer burlar. A garantia é em camadas, e a última é humana — a política e a cultura. O objetivo aqui não é blindagem perfeita; é sair do escuro e tornar o risco governável.

---

Passo 1 — Escreva sua política (sábado de manhã)

Por quê: sem uma regra escrita, cada pessoa inventa a sua — e "o que pode" vira opinião. A política transforma opinião em combinado.

Como:

1. Abra o template Política de uso de IA.
2. Personalize os termos sigilosos do seu negócio — os nomes que, se saírem, doem: {{o faturamento, a margem, o nome do projeto novo, o maior cliente}}. Este é o passo que torna a política sua. Uma política genérica não protege nada específico.
3. Defina a ferramenta de IA aprovada da empresa (a que você recomenda que usem para trabalho).

Erro comum: copiar a política e não preencher os segredos. Aí você tem um documento bonito que não protege o que importa.

✅ Pronto quando: existe uma política por escrito, com os seus segredos listados por nome.

---

Passo 2 — Classifique seus dados (sábado à tarde)

Por quê: a política diz "não vaze dado sigiloso" — mas a equipe só obedece se souber o que é sigiloso. A classificação é a régua que a política aplica.

Como:

1. Abra a Matriz de dados e perfis.
2. Parte A — dados: preencha os exemplos reais de cada nível (público, interno, sigiloso, restrito/dado pessoal). Regra de bolso: na dúvida, suba um nível. Errar para cima custa pouco; para baixo, é vazamento.
3. Parte B — perfis: para cada setor, defina se pode usar IA, qual ferramenta e o nível máximo de dado que pode colar. Quem não está na matriz não usa até entrar — default deny.

Erro comum: tentar classificar tudo. Comece pelos dados sigilosos e pessoais — são os que importam. O resto se resolve com a regra de bolso.

✅ Pronto quando: qualquer pessoa consegue olhar um dado e dizer se ele pode ir para uma IA.

---

Passo 3 — Comunique e colha o termo (domingo de manhã)

Por quê: uma política que ninguém leu não governa nada — e sem registro de que foi comunicada, não há lastro para o monitoramento (é a base legal, legítimo interesse, não vigilância oculta).

Como:

1. Envie o Comunicado à equipe. Tom de cuidado, não de polícia — "queremos que vocês usem, com segurança". Se soar como ameaça, a equipe esconde o uso e o Shadow AI piora.
2. Colha o Termo de ciência de cada colaborador.
3. Abra um canal de dúvidas — o "falem comigo" do comunicado precisa ter para onde ir.

Erro comum: publicar a política num drive e achar que comunicou. Comunicar é avisar ativamente e registrar o aviso.

✅ Pronto quando: todos foram avisados e há registro (o termo) de que a política foi comunicada.

---

Passo 4 — Ligue o limite mínimo (domingo à tarde)

Por quê: regra sem barreira depende só de boa vontade. Um limite técnico — mesmo simples — tira o vazamento do "confiar que ninguém vai" para o "não dá para".

Como: escolha o nível possível hoje (não o ideal — o possível). Detalhe em Limite técnico — o cerco:

• Mínimo (qualquer empresa): orientar a ferramenta aprovada e bloquear o que der de conta pessoal. Depende mais da política — mas já é um começo.
• Intermediário (com firewall): bloquear a categoria "IA" no firewall e liberar só a ferramenta corporativa aprovada.
• Avançado (com TI): subir um gateway — um portão que aplica a matriz de perfis e barra o dado sigiloso antes de sair. Exige equipe técnica; o playbook do cerco explica a arquitetura.

Lembre: nenhum nível fecha 100%. A camada que falta é sempre a política + a cultura (o Passo 1 e 3). Por isso ela vem primeiro.

✅ Pronto quando: existe pelo menos uma barreira entre o dado sigiloso e uma IA não governada.

Se você não tem quem faça isso, este é o passo que costuma exigir ajuda — e não faz mal parar aqui. Os passos 1 a 3 já valem sozinhos: a regra existe, os dados estão classificados e a equipe está avisada com lastro. O limite técnico é o que mais depende da infraestrutura que a empresa já tem, e é normal precisar de alguém de TI para o nível intermediário em diante.

---

Passo 5 — Marque a revisão (15 minutos, domingo à noite)

Por quê: a ameaça muda toda semana — ferramenta nova, vazamento novo, regra nova do regulador. Uma governança que não é revisada envelhece e vira teatro.

Como:

1. Marque no calendário a revisão a cada [cadência] (ou quando surgir ferramenta nova). Use o mesmo valor na política e na matriz.
2. Defina quem relê a política, a matriz e o cerco. Revisão sem dono não acontece.

✅ Pronto quando: a revisão tem data e dono — não é "quando sobrar tempo".

---

Fim de semana terminado — o que você tem agora

Não é governança perfeita. É o piso — e o piso já muda tudo: você saiu de "não faço ideia do que minha empresa pede à IA" para "temos regra, sabemos quais dados protegemos, a equipe está avisada com lastro, há um limite no ar e uma revisão marcada". A maioria das empresas ainda está no primeiro estado.

Para onde subir a partir daqui, quando fizer sentido para o seu tamanho:

• Suba o limite técnico um degrau. Se hoje você ficou no mínimo, o playbook do cerco mostra o próximo nível — e ele quase sempre usa ferramenta que a empresa já paga.
• Amplie a matriz. Comece pelos setores que ficaram de fora e pelos dados que você adiou.
• Cumpra a revisão marcada. É o passo que a maioria pula, e o único que impede tudo isso de virar papel velho em seis meses.

Governar não é um projeto que acaba. É uma rotina que começa — e você acabou de começá-la.

Matriz de Dados e Perfis de Uso de IA — [sua empresa]

Modelo editável. Documento do Protocolo de Governança de IA. Define a régua que a Política de uso de IA aplica: o que cada dado vale e quem pode usar o quê. Adapte os {{campos}} e as linhas à sua empresa.

Status: v0.1 (modelo). Não é parecer jurídico — a definição de dado pessoal vem da lei do seu país (ver o anexo de jurisdição); revise com sua assessoria. Vigência: a partir de [data] · Responsável: [quem preencheu].

---

Parte A — Classificação de dados (o que pode ir para uma IA)

Antes de decidir quem usa IA, decida o que pode entrar nela. Quatro níveis. Preencha os exemplos com os dados reais da sua operação.

Regra de bolso: na dúvida entre dois níveis, trate como o mais alto. O custo de errar para cima é pequeno; para baixo, é um vazamento.

Parte B — Matriz de perfis (quem usa o quê)

Nem todo setor merece a mesma régua. Para cada perfil, defina: se pode usar IA, qual ferramenta aprovada e o nível máximo de dado que pode colar. É o que um gateway aplica na prática — aqui, no papel, é o acordo.

⚠️ Enquanto não existir ferramenta corporativa governada (passo 4 do guia), o teto de todos é Interno — mesmo da diretoria. Não é rigor excessivo: sem o limite técnico, "Sigiloso permitido" significa dado sigiloso indo para uma conta que você não controla. Suba o teto depois que a barreira estiver no ar, não antes.

Princípio: default deny. Um perfil que não foi pensado não usa IA com dado da empresa até entrar aqui. É mais seguro liberar aos poucos do que descobrir o furo depois.

Como manter

• Revise a cada [cadência] — o mesmo valor da política e do checklist — ou quando surgir ferramenta ou setor novo.
• Toda exceção ("posso usar X?") vira uma linha nova aqui — a matriz é viva, não decreto.
• Esta matriz alimenta a política (o "pode/não pode") e, se houver, a configuração do gateway (perfis + classificação de dados). Mesmo acordo, dois lugares.

Licença de uso — Protocolo de Governança de IA

Você comprou o direito de usar este material para governar a IA na sua própria empresa. Em linguagem simples, o que isso quer dizer:

Pode

• Usar em qualquer empresa da qual você faça parte — se você tem mais de uma, vale para todas.
• Editar à vontade. Os documentos foram feitos para serem adaptados; política genérica não protege ninguém.
• Tirar a marca da Inteligência Analógica dos documentos que forem publicados internamente. A política é da sua empresa — ela não precisa levar a marca de quem forneceu o modelo.
• Compartilhar internamente com sócios, equipe, TI, RH e com o advogado ou contador que for revisar.
• Mostrar a um cliente ou fornecedor o resultado do seu trabalho.

Não pode

• Revender, redistribuir ou publicar os arquivos, no todo ou em parte — nem de graça.
• Usar como material de consultoria paga para terceiros. Implantar isto na empresa de um cliente, cobrando por isso, exige a licença de implementador (fale conosco — existe caminho para isso, e é bem-vindo).
• Incluir em curso, treinamento ou produto que você venda.
• Registrar como obra sua.

O resumo em uma frase

Use para proteger a sua empresa, à vontade. Não use para vender a terceiros sem falar conosco.

Vigência e atualização

Esta versão do Protocolo é de 25/08/2026. O material reflete a lei e as práticas vigentes nessa data.

A sua compra inclui 12 meses de vigência. Nesse período:

• a Inteligência Analógica confere todo mês, na fonte oficial (Câmara dos Deputados e Senado Federal, dados abertos), se as normas e os projetos de lei citados no seu Protocolo continuam como estavam;
• você recebe um resumo por trimestre — inclusive quando nada mudou, que é o caso mais comum e a resposta que interessa: o que você implantou continua valendo;
• quando alguma coisa muda de verdade, você recebe o aviso com o link da fonte e a versão corrigida no endereço de sempre, sem precisar baixar nada de novo.

Depois dos 12 meses, a vigência custa R$ 99 por ano. O material continua seu, com ou sem renovação — o que expira é a conferência, não o seu acesso. Nada é bloqueado e nada some.

O alcance disto, dito sem letra miúda: a conferência cobre o que o Protocolo cita, na fonte oficial — não o direito inteiro, nem a regulação do seu setor, nem a jurisprudência. O que não tem fonte de dados abertos (orientações da ANPD, as fases do regulamento europeu de IA) é conferido à mão, e por isso em intervalo maior. E avisar que a lei mudou não substitui o advogado que decide o que aquilo significa para a sua empresa.

As duas coisas que não prometemos

Isto não é parecer jurídico. É um método com modelos de documento. As partes que tocam monitoramento, medida disciplinar e tratamento de dados pessoais dependem da sua relação trabalhista, do seu regulamento interno e da legislação aplicável a você — faça revisar por um advogado antes de publicar. O Protocolo aponta onde isso é necessário; não substitui a revisão.

Nenhum controle fecha 100%. O que este material entrega é risco governável e defensável, não blindagem. Qualquer resultado depende de como você aplica e de como sua empresa opera.

O limite disto, dito sem letra miúda: a responsabilidade da Inteligência Analógica, em qualquer hipótese, limita-se ao valor que você pagou pelo Protocolo — que também é o valor que devolvemos, sem perguntas, dentro dos 7 dias de garantia. Não respondemos por decisões que você tome a partir do material, nem por incidentes na sua operação.

Isso não é uma forma de fugir de responsabilidade: é a única promessa que dá para fazer com honestidade sobre um método que você aplica, na sua empresa, com dados que só você conhece.

---

Dúvida sobre o que a licença permite? Pergunte — respondemos em linguagem simples, e se a resposta for "pode", é "pode" mesmo.

Inteligência Analógica

Você fez a Fase 1. Faltam quatro passos.

Com a régua preenchida, sua equipe já sabe o que pode entrar numa IA — e você já viu onde está o buraco. O que ainda não existe é lastro: a regra escrita com o nome dos seus segredos, o combinado assinado e um limite que de fato impeça.

Os quatro passos que faltam — política de uso, comunicado à equipe, termo de ciência, o cerco técnico, o checklist e o anexo com o que a lei brasileira acrescenta — saem por R$ 99, uma vez.

Quero os quatro passos — R$ 99