Catálogo de IA aprovada na empresa: como montar, revisar e l

Resposta rápida

Um catálogo de IA aprovada é uma lista oficial, curta e viva, com as ferramentas de inteligência artificial que a empresa autoriza, para quais tarefas, com quais tipos de dado e quem responde por cada uma. Para montar o seu, faça quatro coisas nesta ordem: descubra o que o time já usa, classifique cada ferramenta por risco de dado, aprove o que serve (e oferte uma alternativa para o que você recusar) e revise a lista a cada trimestre. Quem proíbe sem oferecer alternativa não elimina o uso, só empurra tudo para a sombra.

Eu sou o Danilo Gato, fundador da CPDF (Comunidade Profissionais do Futuro - por Danilo Gato), e acompanho empresas que tentam colocar IA para funcionar no dia a dia. Em quase todas, o catálogo era a peça que faltava.

Por que a sua empresa precisa de um catálogo agora

O time já usa IA, com ou sem a sua autorização. A edição de 2024 do Work Trend Index, da Microsoft e do LinkedIn, ouviu 31 mil profissionais em 31 países e concluiu que 78% de quem usa IA no trabalho leva as próprias ferramentas, o chamado “Bring Your Own AI”. Nas pequenas e médias empresas o número sobe para 80%. Na América Latina, a pesquisa Future of Professionals 2026, da Thomson Reuters, aponta 46% dos profissionais usando IA que a empresa não homologou, e 38% no recorte brasileiro, segundo a cobertura da imprensa de tecnologia.

O dado que mais pesa para quem decide: no mesmo estudo da Microsoft, só 39% das pessoas que usam IA no trabalho receberam algum treinamento da empresa. Ou seja, a maior parte do uso hoje acontece sem regra, sem treino e sem ninguém olhando para onde o dado vai.

Isso tem nome, shadow AI, e o catálogo é a resposta prática a ele. A política de uso de IA diz o que pode e o que não pode. O catálogo diz com qual ferramenta, e é ele que a pessoa consulta quando está com a tarefa na mão.

O que entra no catálogo (e o que fica de fora)

Cada linha do catálogo responde a seis perguntas. Se alguma ficar em branco, a ferramenta ainda não está aprovada.

Campo	O que você escreve	Exemplo
Ferramenta e plano	Nome exato e o plano contratado	Claude Team, ChatGPT Business, Gemini no Workspace
Para que serve	As tarefas liberadas	Resumir reunião, rascunhar e-mail, analisar planilha
Dados permitidos	O nível máximo de sensibilidade	Público e interno, sim. Dado de cliente identificado, não
Quem é o dono	Uma pessoa, não um departamento	Fulana da TI, ramal tal
Como acessar	Conta corporativa, SSO, link	Login com e-mail da empresa, nunca conta pessoal
Data da última revisão	Quando alguém olhou isso de verdade	15/10/2026

O plano importa mais do que parece. A mesma marca pode ter um plano gratuito que usa suas conversas para treinar modelos e um plano empresarial que não usa. Os fornecedores globais costumam documentar isso nos termos de cada plano (OpenAI, Anthropic, Google e Microsoft publicam páginas de privacidade separadas para o uso corporativo), e é essa página que o dono da ferramenta precisa ler antes de aprovar.

Fica de fora do catálogo: ferramenta que ninguém assume como dona, ferramenta cujo plano você não sabe qual é e qualquer coisa que exija que a pessoa use o e-mail pessoal.

Como montar, passo a passo

Passo 1: descubra o que já está em uso

Antes de decidir qualquer coisa, pergunte. Uma enquete anônima de cinco perguntas, enviada ao time inteiro, rende mais do que um relatório de firewall. Pergunte quais ferramentas a pessoa usa, para que tarefa, se paga do próprio bolso, se já colou dado de cliente ou da empresa e o que a ferramenta faz que as oficiais não fazem.

Garanta na primeira linha que a enquete não vai punir ninguém. Se o time achar que é uma caça às bruxas, a resposta vem vazia e você continua no escuro.

Complemente com o que a TI enxerga: tráfego para domínios de IA, extensões de navegador instaladas e despesas de cartão corporativo com assinaturas de software. O que a enquete e a rede mostram juntas é o seu mapa real.

Passo 2: classifique pelo risco do dado, não pela marca

Crie três faixas simples e coloque cada tarefa em uma delas:

Faixa verde: conteúdo público ou sem informação sensível. Traduzir um texto de marketing já publicado, tirar dúvida de Excel, brincar com ideias de nome para um produto.
Faixa amarela: conteúdo interno, mas sem dado pessoal nem segredo. Resumir a ata de uma reunião interna, reescrever um procedimento, preparar uma apresentação.
Faixa vermelha: dado de cliente identificado, contrato, folha de pagamento, código-fonte proprietário, informação sob NDA. Só entra em ferramenta aprovada, com plano empresarial, e muitas vezes não entra em nenhuma. Veja o que fazer quando já aconteceu de colar dado da empresa na IA.

A pergunta que organiza tudo é “que dano acontece se esse texto vazar amanhã?”. Se a resposta é “nenhum”, é verde. Se é “um telefonema do jurídico”, é vermelho.

Passo 3: aprove poucas ferramentas e aprove bem

Resista à tentação de liberar vinte ferramentas. Um catálogo com três a seis opções bem escolhidas é mais seguro e mais usado do que um com quarenta linhas que ninguém lê. Uma sugestão de cobertura mínima:

Um assistente de conversa geral com plano empresarial (para a faixa verde e amarela).
Um assistente embutido na suíte que a empresa já paga, como Microsoft Copilot ou Gemini no Workspace, que respeita as permissões de arquivo que você já configurou.
Uma ferramenta específica por área crítica, se houver: assistente de código para o time de tecnologia, ferramenta de transcrição de reunião para o comercial.

Para cada uma, cheque o checklist de segurança para liberar IA na empresa: onde os dados ficam armazenados, se o provedor treina com eles, quanto tempo retém, quem administra os acessos e o que acontece se a pessoa sair da empresa. A adequação à LGPD merece uma passada à parte, e o artigo sobre IA e LGPD na empresa cobre os pontos em que o encarregado de dados costuma tropeçar.

Passo 4: dê um destino para o que você recusar

Esta é a etapa que quase ninguém faz e que decide o resultado. Para cada ferramenta que o time usa e que você não vai aprovar, escreva três coisas: por que ela não passou (em uma frase, sem jargão), qual ferramenta aprovada resolve o mesmo problema e até quando a pessoa tem para migrar.

“Proibido usar o aplicativo X” gera irritação e uso escondido. “O X não passou porque o plano gratuito treina com as conversas; o assistente Y, já liberado, faz a mesma tarefa, e você tem até o fim do mês para migrar” gera adesão.

Passo 5: publique onde as pessoas olham e dê um canal para pedir

O catálogo precisa estar a um clique de onde o trabalho acontece: a intranet, o canal de TI no chat da empresa, o wiki. Um PDF perdido numa pasta não conta.

Ao lado dele, coloque um formulário curto de “quero usar uma ferramenta nova”, com prazo de resposta prometido (cinco dias úteis é um bom começo). Quando o pedido demora três meses, a pessoa instala por conta própria. Quem responde rápido, mesmo que seja um “não, e use esta aqui”, mantém o time dentro do sistema.

Como revisar sem virar burocracia

Defina uma revisão trimestral de trinta minutos, com o dono de cada ferramenta e alguém do jurídico ou da área de dados. A pauta é fixa:

Algum fornecedor mudou os termos, o preço ou a política de privacidade?
Chegaram pedidos de ferramentas novas que se repetiram?
A enquete de uso real, refeita de forma curta, mostra ferramentas fora do catálogo ganhando espaço?
Há licenças pagas que ninguém usa? Isso também custa caro, e o caso das licenças de IA paradas na empresa mostra como descobrir e redistribuir.

Se um pedido de ferramenta nova aparece três vezes em um trimestre, é sinal de que o catálogo tem um buraco, não de que o time é indisciplinado.

Perguntas frequentes

Quantas ferramentas um catálogo deve ter?

Para uma empresa pequena ou média, de três a seis. O critério é cobrir as tarefas reais do time, não listar todo o mercado. Cada ferramenta a mais exige um dono, uma revisão e um treinamento.

O que fazer com o que o time já usa escondido?

Primeiro, descobrir com uma enquete sem punição. Depois, classificar pelo risco do dado. Se a ferramenta é de risco baixo e útil, aprove-a (com o plano correto). Se é de risco alto, ofereça uma alternativa aprovada e um prazo de migração. Punir em massa só faz o uso sumir da sua vista, e não do dia a dia.

Quem deve ser o dono do catálogo: a TI, o jurídico ou o RH?

O catálogo precisa de um responsável único, e na maioria das empresas a TI é quem tem acesso técnico para administrar contas. Mas as decisões de risco devem passar pelo jurídico e pelo encarregado de dados, e o RH entra no treinamento. Um comitê pequeno, com uma pessoa que coordena, funciona melhor do que três áreas que assumem metade cada.

Preciso de um catálogo se a empresa tem só dez funcionários?

Precisa, em versão leve. Uma página com quatro linhas já resolve: qual assistente usar, com qual conta, o que nunca colar e quem perguntar em caso de dúvida. O risco de vazamento não depende do tamanho da empresa, e o custo de organizar é baixo.

Como saber se o catálogo está funcionando?

Três sinais: os pedidos de ferramenta nova chegam pelo canal oficial, a enquete de uso mostra a maioria das tarefas dentro das ferramentas aprovadas e ninguém se surpreende quando a TI pergunta “qual ferramenta você usou para isso?”. Se as pessoas respondem sem medo, a política está sendo ouvida.

O primeiro passo hoje

Abra um documento em branco e escreva as seis colunas da tabela acima. Preencha com as duas ferramentas que você tem certeza de que o time usa. Já existe um catálogo, ainda que pequeno, e a partir dele você cresce com enquete, classificação e revisão. Empresas que começam assim chegam ao fim do trimestre com uma lista curta, uma política que as pessoas entendem e menos surpresas desagradáveis.

Fontes citadas: Microsoft e LinkedIn, Work Trend Index 2024 (31 mil profissionais, 31 países); Thomson Reuters, Future of Professionals 2026, conforme reportado pela imprensa brasileira de tecnologia.

Catálogo de IA aprovada na empresa: como montar, revisar e lidar com o que o time já usa escondido