Seu colega usa um assistente de IA para redigir suas atas de reunião. Outro o utiliza para filtrar candidaturas. Um terceiro gera visuais para uma apresentação a um cliente. Nenhum desses usos foi validado pela direção, e ninguém sabe exatamente quais ferramentas estão em jogo. Este cenário diz respeito hoje à maioria das PME francesas, e as obrigações relacionadas ao AI Act e à diretiva NIS2 tornam essa zona cinza cada vez mais arriscada.
Usos informais da IA nas empresas: mapear antes de regulamentar
Antes de redigir uma carta ou proibir qualquer coisa, o primeiro passo é saber o que realmente está acontecendo. Uma PME cujos funcionários usam ChatGPT, Copilot, Gemini ou uma ferramenta semelhante pode ser considerada um “implantador” no sentido do AI Act. Esse status implica em identificar os usos, avaliar os riscos e treinar as equipes.
O problema é que essas ferramentas são instaladas sem validação de TI. Um funcionário cria uma conta gratuita, cola dados de clientes, obtém um resultado satisfatório e repete no dia seguinte. A ferramenta se torna um reflexo, não uma escolha técnica aprovada.
Para mapear essas práticas, um questionário anônimo enviado às equipes é suficiente como ponto de partida. Três perguntas já fornecem uma visão útil: qual ferramenta você usa, para qual tarefa e quais dados você transmite?
Esse levantamento permite distinguir os usos de baixo risco (reformulação de texto interno) daqueles que apresentam um verdadeiro problema (triagem de currículos, análise de dados pessoais). Você encontrará também informações de TI no Planet X Tech que detalham essas distinções entre níveis de risco.
AI Act e NIS2: o que a regulamentação já exige das PME
Você pode ter lido que alguns prazos do AI Act foram adiados. Isso é parcialmente verdade. O calendário regulatório foi alterado para 2026, mas as exigências de formação e transparência continuam aplicáveis. Esperar até o último minuto para agir é como acumular uma dívida de conformidade difícil de resolver.
Concretamente, o AI Act impõe aos implantadores garantir que as pessoas que usam sistemas de IA tenham um nível suficiente de compreensão dessas ferramentas. Para uma PME de vinte pessoas, isso significa que deve existir um mínimo de conscientização documentada, mesmo que informal.
NIS2 amplia o escopo muito além da cibersegurança clássica
A transposição francesa do NIS2 continua sendo um ponto de atenção. O dispositivo previsto prevê uma responsabilidade aumentada dos dirigentes sobre a gestão de riscos, incluindo aqueles relacionados à cadeia de suprimentos. Os editores de software também são alvo, o que ultrapassa a abordagem tradicional centrada apenas no sistema de informação interno.
Entre as obrigações previstas pelo NIS2, várias dizem respeito diretamente ao uso de ferramentas de IA não supervisionadas:
- A gestão de riscos de fornecedores, o que inclui serviços em nuvem e APIs de IA utilizadas pelos funcionários sem contrato formalizado.
- A autenticação forte e a continuidade das atividades, dois domínios fragilizados quando dados circulam em plataformas não controladas.
- A notificação gradual de incidentes, que pressupõe saber quais ferramentas estão em jogo quando ocorre uma vazamento de dados.
A ligação entre IA informal e cibersegurança é direta: uma ferramenta de IA não inventariada é um ponto cego na gestão de incidentes.
Regulamentar os usos de IA sem bloquear a produtividade
Proibir todas as ferramentas de IA não funciona. Os funcionários que ganharam tempo com esses assistentes contornarão a proibição, e a empresa perderá produtividade sem reduzir o risco. A abordagem eficaz baseia-se em um quadro claro que distingue o que é permitido, o que requer validação e o que é proibido.
Três categorias para estruturar uma carta interna de IA
A lógica é simples. Classifique cada uso identificado durante o mapeamento em uma dessas categorias:
- Uso livre: reformulação de textos internos, pesquisa de informações gerais, brainstorming. Nenhum dado sensível sai da empresa.
- Uso regulamentado: geração de conteúdos destinados a clientes, síntese de documentos contendo dados de negócios. Esses usos requerem validação do responsável e a utilização de uma ferramenta aprovada.
- Uso proibido: qualquer tratamento envolvendo dados pessoais (currículos, fichas de clientes, dados médicos) em uma ferramenta não contratualizada. Esses casos estão diretamente relacionados ao AI Act quando tocam em sistemas de alto risco.
Essa grade não precisa ser perfeita desde o primeiro dia. Ela deve existir, ser comunicada e evoluir à medida que a regulamentação se torna mais clara.
Treinar sem transformar cada funcionário em jurista
O AI Act exige que os usuários compreendam as ferramentas que manipulam. Na prática, uma sessão de uma hora por trimestre cobrindo os fundamentos é suficiente para uma PME: quais dados nunca colar em um assistente de IA, como verificar uma resposta gerada, a quem relatar um uso duvidoso.
O formato mais eficaz continua sendo o exemplo concreto. Mostre um caso real em que um assistente de IA produziu uma resposta falsa, mas credível. Mostre uma exportação de conversa contendo dados de clientes. Essas demonstrações marcam mais do que um documento de dez páginas sobre conformidade regulatória.
Dados, segurança e governança: a base técnica a ser estabelecida
O mapeamento dos usos e a carta interna não são suficientes se a infraestrutura técnica não acompanhar. Um ponto frequentemente negligenciado diz respeito aos dados que transitam por essas ferramentas. Quando um funcionário cola uma planilha Excel em um assistente de IA gratuito, esses dados são potencialmente armazenados e utilizados para treinar o modelo.
A resposta técnica passa pela escolha de ferramentas com garantias contratuais sobre o tratamento de dados. Vários editores agora oferecem versões profissionais onde os dados não são nem armazenados nem reutilizados para treinamento. O custo adicional é modesto em comparação ao risco de um vazamento.
No que diz respeito à governança, designar uma pessoa responsável (mesmo em meio período) para centralizar as questões relacionadas à IA evita que cada departamento invente suas próprias regras. Esse responsável não precisa ser um especialista em inteligência artificial. Ele deve conhecer os processos internos e saber direcionar as solicitações para os recursos adequados, sejam eles jurídicos ou técnicos.
A questão para os próximos meses não é travar tudo, mas passar de uma situação em que ninguém sabe o que está acontecendo para um quadro onde os usos são visíveis, classificados e ajustáveis. As empresas que estabelecerem essa base antes da entrada em vigor completa do AI Act e do NIS2 ganharão um tempo considerável na conformidade final.
