Nos últimos dois anos, muitas organizações aprovaram políticas de uso de IA generativa. Poucas, porém, conseguem assegurar que essas regras sejam cumpridas quando um colaborador insere um contrato, uma planilha de remuneração ou um trecho de código em um chat de inteligência artificial. Para a White Cube, consultoria de dados e IA, essa distância entre a norma aprovada e a norma aplicada é o principal ponto de exposição regulatória.
Na avaliação da empresa, uma política sem mecanismo de aplicação demonstra intenção, mas não conformidade.
O que a legislação exige
A LGPD (Lei Geral de Proteção de Dados) determina a adoção de medidas de segurança técnicas e administrativas capazes de proteger dados pessoais, prevê regras específicas para dados sensíveis e estabelece o princípio da responsabilização e prestação de contas, que pede a demonstração de medidas eficazes. Em caso de descumprimento, a ANPD (Agência Nacional de Proteção de Dados) pode aplicar multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração.
Setores regulados somam outras obrigações, como a Resolução CMN 4.893/2021, no sistema financeiro, e a Resolução CVM 44/2021, que trata de informações relevantes ainda não divulgadas ao mercado. Deveres de sigilo contratual e profissional completam o quadro.
O risco da conformidade manual
O Gartner projeta que, até 2027, processos manuais de conformidade de IA vão expor 75% das organizações regulamentadas a multas superiores a 5% de sua receita global. No Brasil, estudo da IDC feito a pedido da ABES (Associação Brasileira das Empresas de Software) aponta que 86% das empresas já usam IA generativa, mas apenas 48% afirmam ter dados bem estruturados e governados.
Da norma escrita ao controle aplicado
Os guardrails são controles posicionados entre o usuário e o modelo de linguagem, que avaliam cada interação segundo as regras da organização antes do processamento. Na plataforma White Conductor, da White Cube, essas regras são redigidas pelo administrador em linguagem natural, da mesma forma que constariam de uma política interna. Um exemplo: "Não permitir o envio de informações sobre operações de fusão, aquisição ou captação que ainda não tenham sido divulgadas ao mercado."
A avaliação é semântica, isto é, considera a intenção e o conteúdo da mensagem, e não apenas palavras-chave. Com isso, diminui a perda que ocorre quando a regra elaborada pelo DPO, pelo jurídico ou pelo compliance precisa ser convertida pela área de TI em expressões técnicas.
Cada controle opera em modo block, que intercepta a mensagem antes de ela chegar ao modelo, ou em modo shadow, que permite o processamento e alerta o administrador. Segundo o Gartner, até 2028 mais de 50% das empresas usarão plataformas de segurança de IA para aplicar políticas de uso e monitorar a atividade da tecnologia.
O próprio monitoramento está sujeito à proteção de dados: o alerta ao administrador é tratamento de dados pessoais dos colaboradores e deve ser transparente, proporcional e previsto em política interna. Em julho de 2026, o TST (Tribunal Superior do Trabalho) anulou a justa causa de uma supervisora porque a acusação se baseava apenas em conversas pessoais acessadas pelo empregador sem autorização.
No uso corporativo de IA generativa, portanto, a LGPD e as normas setoriais pedem mais que um documento aprovado. Pedem a demonstração de que a regra é aplicada no momento em que o dado poderia deixar a organização, o que coloca a governança de IA na dependência de controles capazes de executar a política.