Diretrizes redigidas em linguagem natural podem ser aplicadas diretamente às interações com a IA, sem tradução para regras técnicas
Redigir uma política de uso de inteligência artificial deixou de ser o principal desafio das empresas. A dificuldade, segundo a White Cube, consultoria de dados e IA, está no passo seguinte: garantir que a regra aprovada pelo jurídico, pelo compliance ou pelo DPO seja aplicada no momento em que um colaborador envia uma mensagem a um chat de IA.
A questão ganha escala com a adoção. Estudo da IDC feito a pedido da ABES (Associação Brasileira das Empresas de Software), divulgado em agosto de 2026, mostra que 86% das empresas brasileiras já usam IA generativa, enquanto apenas 48% afirmam ter dados bem estruturados e governados.
Onde a regra se perde
Os controles de segurança para IA, conhecidos como guardrails, costumam ser configurados em linguagem técnica: expressões regulares, dicionários de termos, listas de bloqueio e classificadores treinados para categorias predefinidas. O modelo atende bem dados estruturados, como CPF ou número de cartão, mas encontra dificuldade com o que mais preocupa jurídico e compliance, como os termos de uma aquisição em negociação ou o diagnóstico de um colaborador afastado.
Há também uma etapa de tradução. A política nasce em linguagem natural e precisa ser convertida pela área de TI em regras técnicas, com perdas inevitáveis no processo.
A regra escrita como a política
Na plataforma White Conductor, desenvolvida pela White Cube, o administrador descreve o guardrail como redigiria uma cláusula da política interna. Entre os exemplos de regras possíveis estão:
“Não permitir o envio de informações sobre operações de fusão, aquisição ou captação que ainda não tenham sido divulgadas ao mercado.”
“Não permitir o envio de dados de saúde de colaboradores, como atestados, diagnósticos ou códigos CID.”
“Sinalizar pedidos de avaliação de desempenho ou de comparação salarial envolvendo colaboradores identificados pelo nome.”
A avaliação é semântica: a plataforma interpreta a intenção e o conteúdo da mensagem, e não só a presença de palavras-chave. Isso dificulta que a regra seja contornada pela troca de um termo e reduz bloqueios sem sentido no contexto. O controle é aplicado na entrada, antes de a mensagem chegar ao modelo que vai responder.
Bloquear ou alertar
Cada regra é configurada em um de dois modos. No block, a mensagem é interceptada e o usuário é avisado de que ela viola a política de segurança da organização. No shadow, a mensagem é processada, mas o administrador recebe um alerta. Para a White Cube, a escolha do modo é tão relevante quanto a redação da regra, e uma regra nova pode começar em shadow para que a empresa avalie a taxa de falsos positivos antes de torná-la bloqueante.
O cuidado com a execução tem respaldo nas projeções do mercado. O Gartner prevê que, até 2027, processos manuais de conformidade de IA vão expor 75% das organizações regulamentadas a multas superiores a 5% de sua receita global.
Há também uma razão regulatória. A LGPD (Lei Geral de Proteção de Dados) estabelece o princípio da responsabilização e prestação de contas, que pede a demonstração de medidas eficazes, e o descumprimento pode levar a ANPD (Agência Nacional de Proteção de Dados) a aplicar multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração. Uma política que existe apenas no papel dificilmente cumpre essa exigência.
Criar uma política de uso de IA, nessa lógica, envolve três decisões: escrever as regras na linguagem de quem responde pela política, definir quais exigem bloqueio e quais pedem apenas alerta, e revisar o texto a partir do que os alertas mostram. É assim que a diretriz deixa de ser apenas publicada e passa a ser aplicada, como parte da governança de IA da empresa.
