Uma política de IA para empresas pequenas: uma página chega

Nota Este artigo descreve uma estrutura de base praticável e não substitui aconselhamento jurídico. Se existem para vocês deveres mais amplos – por exemplo do Regulamento da IA, de exigências setoriais ou de contratos com clientes – deve ser verificado caso a caso.

O essencial

Seis secções numa página chegam: acessos, entradas proibidas, dever de verificação, responsabilidade, casos de exclusão, pessoa de contacto.
A secção mais importante é a dos casos de exclusão – formulada em concreto, não como aviso genérico.
Uma proibição sem um acesso empresarial disponibilizado leva a acessos privados, não a menos utilização.
A política pertence ao início da introdução, não ao fim.

Porquê uma página

Um regulamento extenso é aprovado uma vez e depois nunca mais lido. Uma página é de facto lida – e só atua o que é lido.

A brevidade obriga além disso a decidir: quem quer regular tudo não regula nada de forma vinculativa. Seis secções cobrem os casos que ocorrem de facto no dia a dia.

As seis secções

1. Que acessos

Acessos empresariais nomeados, disponibilizados pela empresa. Os acessos privados estão excluídos para fins profissionais.

Fundamentação no texto: nos planos empresariais o uso das entradas para treino está normalmente excluído, nos planos privados nem sempre.

2. O que não é introduzido

Dados pessoais de clientes sem base esclarecida, credenciais e chaves, números de negócio não publicados, documentos sob acordo de confidencialidade.

Concreto em vez de genérico: nomear exemplos do vosso dia a dia, não categorias.

3. O que é sempre verificado

Todos os dados verificáveis antes da utilização: números, estudos, referências legais, prazos, preços, citações, nomes.

Acrescento importante: o tom seguro de uma resposta não diz nada sobre a sua correção.

4. Quem responde

Quem publica ou envia algo responde pelo conteúdo – independentemente de como ele surgiu. Como em qualquer outro texto.

5. Onde não se usa de todo

Cinco casos concretos da vossa área. A secção mais importante – e a única que não pode ser copiada.

Exemplos: informações jurídicas a clientes sem verificação por um profissional; temas sem conhecimento técnico próprio na casa; tudo aquilo em que um erro não daria nas vistas.

6. A quem se pergunta

Uma pessoa nomeada para dúvidas e casos-limite. Sem esta linha, cada um decide sozinho e de forma diferente.

Sabia que…?

A secção cinco é a única que não se adota de um modelo – e é precisamente por isso a mais valiosa. Exige uma decisão sobre onde, na vossa empresa, um erro não daria nas vistas.

Esta pergunta é incómoda, porque pressupõe nomear os próprios pontos cegos. Mas é o cerne de qualquer política aproveitável: quase todos os casos problemáticos nascem onde ninguém tem a competência técnica para reconhecer uma resposta errada como errada.

O que não pertence ali

Não incluir	Porquê
Uma lista de produtos permitidos	fica desatualizada em meses; melhor: acessos nomeados
Tutoriais de prompts	pertencem à formação, não à regra
Explicações técnicas de funcionamento	interessante, não muda comportamentos
Uma proibição geral sem alternativa	leva a acessos privados em vez de menos utilização
Dever de assinalar cada utilização	não é cumprido; melhor: nomear a responsabilidade

Da prática

A construção errada mais frequente é a quarta linha: uma proibição sem que exista um acesso empresarial utilizável. O resultado nunca é menos utilização – é utilização por acessos privados, sem visão de conjunto e noutras condições.

Quem leva a sério a questão dos dados disponibiliza por isso primeiro um acesso e regula depois. A ordem é decisiva: acesso, depois regra, depois formação – não ao contrário.

A relação com o Regulamento da IA

Para a maioria das empresas pequenas que usam modelos de linguagem para textos e análises, do Regulamento da IA não resultam deveres de grande alcance – são em regra utilizadoras, não fornecedoras de um sistema de IA.

Torna-se relevante em três casos: se oferecerem elas próprias um sistema de IA ou o alterarem substancialmente, se o usarem numa área classificada como de risco elevado – por exemplo em decisões de pessoal –, ou se operarem sistemas que interagem diretamente com pessoas. Nesses casos, a avaliação pertence a um profissional da área.

Independentemente disso, o Regulamento da IA exige dos utilizadores um mínimo de competência no uso – o que na prática reforça a formação que é de qualquer forma necessária.

Prompt

Ajuda-me a formular uma política de IA numa página para a nossa
empresa.

A nossa situação:
- Setor: [dado]
- Pessoas que usam ferramentas de IA: [número e funções]
- Para que devem ser usadas: [tarefas]
- Trabalhamos com dados pessoais? [sim / não / em parte]
- Temos clientes com acordos de confidencialidade? [sim/não]
- Que acessos disponibilizamos? [dado ou "ainda nenhum"]
- Áreas técnicas em que não temos competência própria mas
  recebemos perguntas: [lista]

Tarefas:
1. Formula as seis secções: acessos, entradas proibidas, dever
   de verificação, responsabilidade, casos de exclusão, pessoa
   de contacto. No total, no máximo uma página.
2. Formula a secção 2 com exemplos concretos do nosso setor, não
   com categorias genéricas.
3. Formula a secção 5 – onde não se usa de todo – como cinco
   casos concretos. Usa para isso a minha lista de áreas sem
   competência própria.
4. Se ainda não disponibilizamos acessos: diz claramente porque
   uma regra sem acesso disponibilizado não funciona.
5. Indica os pontos em que, pelo nosso setor, devemos chamar um
   profissional da área.

Não inventes artigos de lei nem prazos.

Conclusão

Seis secções, uma página, legível em cinco minutos. Cinco delas formulam-se em meia hora; a sexta – onde não se usa de todo – exige um olhar honesto sobre os próprios pontos cegos e é o verdadeiro valor do documento.

E a ordem conta: primeiro disponibilizar um acesso utilizável, depois regular. Uma proibição sem alternativa apenas desloca a utilização para onde ninguém a vê.

Perguntas frequentes

O que pertence a uma política de IA?

Seis secções: que acessos são usados, o que não pode ser introduzido, o que tem de ser sempre verificado, quem responde pelo conteúdo publicado, em que casos concretos não se usa de todo, e a quem se pergunta nos casos-limite. Tudo numa página.

Porque chega uma página?

Porque só atua o que é lido. Um regulamento extenso é aprovado uma vez e depois nunca mais consultado. A brevidade obriga além disso a decidir – quem quer regular tudo não regula nada de forma vinculativa.

Qual é a secção mais importante?

A dos casos de exclusão, porque não se adota de um modelo. Exige a decisão sobre onde, na própria empresa, um erro não daria nas vistas – e quase todos os casos problemáticos nascem precisamente onde ninguém tem competência para reconhecer uma resposta errada como errada.

Devem simplesmente proibir-se as ferramentas de IA?

Uma proibição sem um acesso empresarial disponibilizado não leva a menos utilização, leva a utilização por acessos privados – sem visão de conjunto e noutras condições, por exemplo quanto ao uso das entradas para treino. Faz sentido a ordem acesso, regra, formação.

O que significa o Regulamento da IA para as empresas pequenas?

Quem usa modelos de linguagem para textos e análises é em regra utilizador e não fornecedor – daí não resultam normalmente deveres de grande alcance. Torna-se relevante ao oferecer ou alterar substancialmente um sistema, ao usá-lo em áreas de risco elevado como decisões de pessoal, e em sistemas com interação direta com pessoas. Esses casos pertencem a um profissional da área.