Proibir IA no desenvolvimento não funciona: as pessoas continuam usando, só que escondido. Liberar sem regra também não: código proprietário, segredos e dados de clientes acabam em ferramentas que a empresa nem sabe que existem. O meio-termo é uma política de uso curta, clara e aplicável.
Abaixo estão os tópicos que toda política de IA para times de software deveria cobrir.
1. Ferramentas aprovadas
Liste quais ferramentas podem ser usadas, em qual plano e com qual configuração. Planos empresariais costumam oferecer controles que planos pessoais não têm, como a garantia contratual de que os dados não serão usados para treinar modelos, retenção configurável e gestão centralizada de acessos.
2. Classificação do que pode ser enviado
- Pode: código do projeto em ferramentas aprovadas, documentação interna não sensível, logs anonimizados.
- Com cuidado: trechos com regras de negócio críticas, dados de configuração sem segredos.
- Nunca: senhas, tokens, chaves de API, certificados e dados pessoais de clientes sem anonimização.
3. Revisão humana obrigatória
Código gerado por IA passa pelo mesmo processo de qualquer outro código: testes, lint e revisão por uma pessoa. Defina onde a revisão é ainda mais rigorosa — autenticação, pagamentos, permissões, migrações de banco e qualquer coisa que toque dados pessoais.
4. Permissões dos agentes
Agentes de código conseguem executar comandos, instalar pacotes e alterar arquivos. A política deve dizer o que eles podem fazer sozinhos e o que exige confirmação: por exemplo, nunca fazer deploy, nunca rodar migrações em produção e nunca acessar credenciais reais.
5. Propriedade intelectual e licenças
Oriente o time a desconfiar de trechos longos que parecem copiados de bibliotecas conhecidas e a verificar licenças de dependências sugeridas pela IA. Ferramentas com filtros de código público ajudam a reduzir esse risco.
6. LGPD
Se dados pessoais forem processados por uma ferramenta de IA, isso precisa ter finalidade definida, base legal e um fornecedor com garantias adequadas — inclusive sobre transferência internacional de dados. Na prática, para desenvolvimento, a melhor regra é simples: use dados fictícios ou anonimizados.
7. Dono da política e revisão periódica
Defina quem é responsável por manter a política e revise-a a cada trimestre. Ferramentas e termos de uso mudam com frequência, e uma política desatualizada vira letra morta.
Checklist rápido
- Ferramentas e planos aprovados estão listados?
- Está claro o que nunca pode ser enviado a um modelo?
- Código gerado por IA passa por testes e revisão humana?
- Agentes têm limites explícitos de permissão?
- Há orientação sobre licenças e dados pessoais?
- Existe um responsável e uma data de revisão?