O maior risco da IA nas empresas não é a tecnologia em si. É a ausência de regras.

Nos últimos meses, muitas empresas começaram a utilizar ferramentas de IA com uma naturalidade que noutros contextos nunca seria aceite. Por exemplo, para escrever e-mails, resumir documentos, rever propostas, criar conteúdos ou auxiliar na tomada de decisões. A adoção destas ferramentas foi rápida, mas a governação ficou para trás.

Esta discrepância tem consequências. Quando as equipas usam a IA sem uma política definida, sem critérios definidos para os dados e sem supervisão, a empresa não está a ser produtiva. Está a acumular riscos sem o saber.

A Comissão Europeia enquadra a IA num regime baseado no risco, com obrigações que variam consoante o tipo de sistema e o contexto de utilização. A Comissão Europeia esclarece ainda que os fornecedores e os deployers de sistemas de IA devem assegurar um nível suficiente de literacia nesta área às pessoas que lidam com esses sistemas, sendo que essa exigência deve ser proporcional ao contexto e ao impacto. A ENISA reconhece que a IA desempenha um papel duplo: pode aumentar a eficiência e a segurança, mas também pode abrir novas vias de manipulação, ataque e problemas de privacidade. É este papel duplo que torna a governação necessária e não opcional.

Há um ponto que vale a pena sublinhar: nem toda a utilização da IA numa empresa é de alto risco. O enquadramento europeu distingue entre práticas proibidas, sistemas de alto risco, obrigações de transparência em casos específicos e utilizações com um risco mais limitado. O erro não está em usar IA. O erro está em usá-la sem uma política clara, sem limites definidos e sem supervisão adequada.

Para a maioria das PME, a resposta não é a proibição. A resposta certa é definir regras mínimas e aplicá-las de forma consistente.

As oito regras mínimas

1. Defina os usos permitidos e os usos proibidos

Sem uma política clara, cada colaborador cria a sua própria, o que faz com que a empresa perca coerência, controlo e capacidade de resposta quando algo corre mal.

Não é necessário um manual extenso. Basta um documento curto que responda a perguntas simples: para que fins pode a IA ser utilizada? Que tipo de informação não deve ser incluída em prompts? Quem aprova exceções? E quem é responsável por erros? A exigência de literacia em IA prevista no regime europeu reforça precisamente a necessidade de medidas práticas e proporcionais ao contexto real de utilização.

2. Confirme se os dados podem ser partilhados, minimizados ou anonimizados

Nem tudo o que é útil deve ser colocado numa ferramenta de IA.

Dados pessoais, informação financeira, contratos, credenciais, código interno, dados de clientes e documentos estratégicos não devem ser utilizados introduzidos em ferramentas de IA. A ENISA destaca a importância de integrar a proteção de dados e os princípios de privacidade por design nos produtos, serviços e processos digitais, o que é particularmente relevante quando a IA passa a fazer parte do trabalho diário.

3. Exija uma revisão humana antes de utilizar o resultado

A IA acelera o trabalho. No entanto, não substitui o julgamento humano.

Respostas incorretas, descontextualizadas ou simplesmente inventadas continuam a representar um risco real, sobretudo quando o resultado é enviado a clientes ou parceiros, ou utilizado em processos de tomada de decisão interna. O regime europeu reconhece, a relevância da revisão humana e da responsabilidade editorial sobre os conteúdos gerados ou manipulados por sistemas de IA.

4. Use apenas ferramentas aprovadas pela empresa

Uma conta pessoal utilizada para fins profissionais representa um problema de controlo, não de conveniência.

Uma ferramenta que não foi aprovada pela empresa é uma ferramenta que esta não consegue controlar. O que não se controla não pode ser auditado, corrigido ou desativado quando necessário. Quando os colaboradores usam ferramentas que não estão sob o controlo da organização, esta perde visibilidade sobre a retenção de dados, integrações, histórico e risco contratual, muitas vezes sem sequer saber que o problema existe.

5. Valide os termos e a retenção de dados

Antes de aprovar uma ferramenta de IA, a empresa deve compreender onde e durante quanto tempo os dados são armazenados, para que fins podem ser utilizados e que garantias contratuais existem.

O enquadramento europeu não trata a IA como um bloco homogéneo, mas sim analisa os casos de utilização, os papéis das organizações e o impacto potencial sobre as pessoas e os dados. Na prática, isto significa que a escolha do fornecedor e do modelo de utilização não são pormenores técnicos. Trata-se de uma decisão de risco que deve ser tomada com a mesma seriedade que qualquer outro contrato importante.

6. Não delegue decisões críticas apenas à IA

A IA pode apoiar a análise. No entanto, não deve tomar decisões sozinha em matérias com um impacto relevante.

As decisões com consequências legais, financeiras, disciplinares ou reputacionais devem ser supervisionadas de forma efetiva e não apenas formal. O debate regulatório europeu parte precisamente da ideia de que certos usos exigem um controlo mais rigoroso, dado que o risco não é apenas técnico, mas também social e organizacional.

7. Registe os responsáveis e os casos de utilização aprovados

Se não se souber aonde a IA está a ser utilizada na empresa, não é possível gerir os riscos, que se vão apenas acumulando.

A criação de um registo simples dos casos de utilização ativos, das ferramentas aprovadas, dos tipos de dados envolvidos e dos responsáveis internos já melhora significativamente a governação. A Comissão Europeia parte precisamente do princípio de que as organizações conhecem o seu contexto de utilização e agem de forma proporcional ao impacto potencial.

8. Forneça formação às equipas e atualize as regras com regularidade

Uma política escrita, entregue e esquecida não resolve o problema.

As pessoas precisam de compreender o essencial: o que a ferramenta faz, o que não deve receber, quando o resultado deve ser revisto e como colocar questões. A Comissão Europeia determina que a literacia em IA deve ser assegurada às pessoas que lidam com sistemas de IA, tendo em conta o contexto e os destinatários. O NCSC reforça este ponto ao considerar a IA um tema de cibersegurança para responsáveis de decisão e gestores do risco, e não apenas para equipas técnicas.

O que significa isto para a gestão?

A questão não é “Devemos utilizar IA?”. Para a maioria das empresas, esta questão já vem tarde.

A questão pertinente é: em que circunstâncias é aceitável utilizar IA sem pôr em risco dados, clientes, decisões e reputação?

Para a maioria das PME, a resposta não exige um programa complexo. Basta ter uma política sucinta, ferramentas aprovadas e formação mínima para os utilizadores. Tal reduz o improviso, melhora a coerência e impede que um aumento da produtividade resulte num incidente de segurança ou num problema de conformidade.

Há dois extremos a evitar. O primeiro é o entusiasmo sem critério: “Todos usam, portanto, também usamos”. O segundo é o bloqueio total: “Como há risco, proibimos tudo”. Nenhum deles é sinal de maturidade organizacional.

Uma empresa madura não questiona se a IA é boa ou má. Pergunta onde faz sentido aplicá-la, com que limites e com que controlo.