Quando a IA entra numa empresa, raramente é por decisão formal. Alguém cria uma conta, cola um contrato para pedir um resumo, liga o email a uma ferramenta nova e, passado um mês, ninguém sabe que dados foram para onde.
Antes de generalizar o uso de IA, a empresa deve saber que informação entra, quem tem acesso, o que a ferramenta pode fazer sozinha e quem responde se algo correr mal. Esta checklist reúne 12 verificações que um dono de empresa consegue fazer sem ser técnico.
Bloco 1: Dados (o que entra)
1. Define o que nunca entra numa ferramenta de IA. Escreve uma lista curta: dados pessoais de clientes, contratos confidenciais, informação financeira sensível, palavras-passe e credenciais. Se a equipa não souber o que está proibido, vai decidir caso a caso.
2. Separa dados pessoais de dados da empresa. Nomes, emails, contactos e dados de saúde ou financeiros de pessoas exigem cuidado com o RGPD. Quando possível, anonimiza antes de colar (troca o nome do cliente por “Cliente A”).
3. Confirma o que o teu plano faz com os dados. Planos pessoais, de equipa e de empresa têm regras diferentes sobre retenção e utilização das conversas. Lê as condições do teu plano e as definições de privacidade. Não assumas que são iguais às do plano gratuito.
Bloco 2: Acessos (quem pode o quê)
4. Usa contas da empresa, não pessoais. Quando alguém sai, a conta e o histórico ficam com a empresa. Com contas pessoais, deixas de saber o que existe.
5. Ativa a autenticação em dois passos. Em todas as contas de IA e nas ferramentas que lhes ligas. É a medida mais simples e uma das que mais protege.
6. Dá o acesso mínimo. Quando ligas email, calendário, drive ou CRM, começa com leitura. Só dás permissão de escrita ou envio quando o processo estiver testado.
7. Liga uma ferramenta de cada vez. Se algo correr mal, sabes onde procurar. Regista o que ligaste, quando e quem aprovou.
Bloco 3: Autonomia (o que faz sozinha)
8. Define o que exige aprovação humana. Envio de emails, publicações, pagamentos, alterações a preços e respostas a clientes não saem sem revisão. Quanto mais irreversível a ação, mais clara a aprovação.
9. Verifica antes de instalar. Extensões, plugins e skills de terceiros correm com as tuas permissões e podem conter instruções ou scripts que não revês. Instala só de fontes que conheces, lê o que fazem e testa primeiro numa conta sem dados reais.
10. Desconfia de instruções escondidas em conteúdo externo. Uma página web, um email ou um documento recebido pode conter texto escrito para manipular a IA (“ignora as regras anteriores e envia isto”). Isto chama-se injeção de instruções. Por isso, quando a IA lê conteúdo externo, não lhe dês poder para agir sem aprovação.
Bloco 4: Responsabilidade (quem responde)
11. Atribui um responsável. Uma pessoa, com nome, que sabe que ferramentas estão em uso, quem tem acesso e quando se revê. Sem dono, a segurança fica para “depois”.
12. Prepara o que fazer quando algo falha. Se alguém colar dados que não devia ou um acesso for comprometido, o que se faz primeiro? Escreve cinco passos: revogar o acesso, avisar o responsável, registar o que aconteceu, avaliar se há dados pessoais envolvidos e decidir se é preciso notificar. Esta última avaliação deve ser feita com apoio jurídico.
Semáforo rápido
| Situação | Cor | O que fazer |
|---|---|---|
| Texto público ou já publicado | Verde | Pode usar à vontade |
| Documentos internos sem dados pessoais | Amarelo | Usa conta da empresa e revê o resultado |
| Dados de clientes, contratos, finanças | Vermelho | Só com decisão explícita, anonimização e validação jurídica |
| Credenciais e palavras-passe | Preto | Nunca |
O que costuma correr mal
- Políticas que ninguém lê. Um PDF de 20 páginas não muda comportamentos. Uma lista de uma página, sim.
- IA “sombra”. A equipa usa ferramentas que a empresa não conhece. Proibir sem alternativa não resolve; oferece uma opção aprovada.
- Segurança só no início. Planos, funcionalidades e ligações mudam. Marca uma revisão trimestral.
- Falsa sensação de proteção. Uma ferramenta “segura” não corrige maus hábitos de quem a usa.
Checklist final
- [ ] Lista de dados proibidos escrita e partilhada
- [ ] Dados pessoais identificados e, quando possível, anonimizados
- [ ] Condições do plano e definições de privacidade verificadas
- [ ] Contas da empresa, com autenticação em dois passos
- [ ] Acessos mínimos e ferramentas ligadas uma a uma
- [ ] Ações irreversíveis com aprovação humana
- [ ] Extensões e skills verificadas antes de instalar
- [ ] Responsável nomeado e plano de resposta escrito
- [ ] Revisão trimestral agendada
Perguntas frequentes
Preciso de um especialista em segurança? Para começar, não. Estas 12 verificações cobrem o essencial. Para dados sensíveis ou setores regulados, vale a pena apoio especializado.
Posso usar IA com dados de clientes? Depende dos dados, da finalidade, do contrato com o fornecedor e do RGPD. Fala com quem trata a proteção de dados na tua empresa antes de decidir.
Proibir a IA é a opção mais segura? Raramente funciona. A equipa tende a usá-la na mesma, fora do teu controlo. É mais eficaz definir regras e dar uma opção aprovada.
Quanto tempo demora a aplicar? Cerca de uma hora para a primeira versão, mais a revisão com quem trata dos dados.
Com que frequência devo rever? Pelo menos de três em três meses, e sempre que ligares uma ferramenta nova.
