Política de uso de Inteligência Artificial

Esta política (PIA-01) define quais ambientes de Inteligência Artificial podem processar quais informações da Elinsa, sob quais condições e sob responsabilidade de quem. Ela não proíbe o uso de IA no trabalho.

Título I. Disposições gerais

1. Objeto

1.1. Esta política estabelece as regras de uso de sistemas de Inteligência Artificial sobre informações da Elinsa - Eletrotécnica Industrial e Naval do Brasil, daqui em diante denominada Elinsa, de seus colaboradores, seus contratantes e de terceiros.

1.2. Esta política não proíbe o uso de Inteligência Artificial. Define quais ambientes e ferramentas de IA podem processar quais informações, sob quais condições e sob responsabilidade de quem.

1.3. O descumprimento desta política sujeita o infrator às medidas do item 24.

1.4. Esta política combina obrigações previstas em lei, orientações regulatórias e regras que a Elinsa adota por decisão própria. O fundamento de cada item identifica a natureza da regra, na forma da legenda acima.

2. Âmbito de aplicação

2.1. Sujeitam-se a esta política todos os colaboradores, estagiários, aprendizes, prestadores de serviço, e terceirizados que prestem serviços à Elinsa.

2.2. Esta política alcança qualquer sistema de IA, generativo ou agêntico, nas seguintes hipóteses:

• a) contratado pela Elinsa;
• b) embutido em produtos e serviços já utilizados pela empresa;
• c) utilizado a partir de conta pessoal ou assinatura individual de colaborador;
• d) empregado na geração de código ou no desenvolvimento de sistemas internos.

2.3. Esta política independe do nome comercial da ferramenta e permanece aplicável a produtos lançados após sua aprovação.

2.4. Havendo conflito entre esta política, outras normas internas e cláusulas contratuais firmadas com contratantes, prevalece a disposição mais restritiva.

2.5. Quanto a prestadores de serviço e terceirizados, o cumprimento desta política deve ser incorporado ao contrato de prestação de serviços, ao termo de confidencialidade ou a instrumento equivalente. Compete ao Jurídico providenciar a cláusula nos instrumentos novos e nas renovações.

3. Definições

4. Princípios

4.1. O uso de IA na Elinsa observa os seguintes princípios:

• a) Contratação prévia. Nenhum serviço de IA processa informação da Elinsa sem contrato entre a empresa e o fornecedor.
• b) Finalidade e minimização. O processamento ocorre para finalidade específica, legítima e informada, com o mínimo de dados necessário.
• c) Segurança. O processamento por IA e o código produzido com auxílio de IA observam os padrões de segurança exigidos de qualquer sistema corporativo.
• d) Supervisão humana. Decisões de impacto sobre pessoas ou sobre a operação da rede não são tomadas exclusivamente por sistema automatizado.
• e) Responsabilização. Todo uso de IA sobre informação classificada tem responsável identificável.
• f) Proteção prioritária de crianças e adolescentes. Envolvendo menores de dezoito anos, prevalece o melhor interesse da criança e do adolescente.
• g) Proporcionalidade ao risco. A exigência de controle cresce conforme o risco da aplicação, na forma do item 9.
• h) Igualdade de tratamento. As regras aplicam-se a todos os níveis hierárquicos, sem exceção informal.
• i) Alternativa aprovada. A empresa compromete-se a disponibilizar ferramenta homologada que atenda às necessidades legítimas de trabalho.

4.2. Os princípios das alíneas b, c, e e f correspondem a princípios legais de tratamento de dados pessoais e são aqui estendidos ao uso de IA em geral, inclusive sobre informação que não seja dado pessoal.

5. Governança e competências

5.1. Compete à Tecnologia da Informação avaliar, homologar, monitorar e revogar o uso de ferramentas de IA na Elinsa.

5.2. A Tecnologia da Informação consulta Segurança da Informação, Jurídico, Recursos Humanos e Comunicação sempre que a matéria da avaliação o exigir.

5.3. Competem à Tecnologia da Informação a decisão sobre homologação, exceções, revogações e a definição de condições de uso.

5.4. Negativa fundada nesta política é decisão institucional da Tecnologia da Informação, registrada por escrito e fundamentada, e não avaliação pessoal do técnico que a comunica.

5.5. A função de Encarregado de que trata o art. 41 da LGPD é exercida por integrante da Tecnologia da Informação designado para esse fim, a quem compete avaliar finalidade, base legal e necessidade de relatório de impacto à proteção de dados pessoais.

5.6. Compete ao Jurídico avaliar o contrato com o fornecedor, as cláusulas de tratamento de dados e a compatibilidade do uso pretendido com as obrigações assumidas perante contratantes.

5.7. Compete a cada gestor de área o cumprimento desta política em sua equipe, inclusive quanto a sistemas e conteúdos produzidos internamente.

5.8. A Tecnologia da Informação pode estabelecer regras diferenciadas por área, função e caso de uso, observados os limites desta política, de modo a não submeter atividades de baixo risco ao mesmo controle exigido das de risco elevado.

5.9. Discordância de decisão ou de parecer da Tecnologia da Informação fundado nesta política é submetida à gerência da área solicitante e, não havendo solução, à Diretoria.

Título II. Critérios de classificação

6. Classificação das ferramentas de IA

6.1. Toda ferramenta de IA enquadra-se em uma das categorias seguintes, que determina o que pode processar:

6.2. A integração da ferramenta ao ecossistema corporativo já contratado não dispensa homologação. O critério de aprovação é a existência de contrato, a avaliação formal e os controles ofertados, e não o fornecedor de origem.

6.3. A homologação de um software não se estende automaticamente a recurso de IA nele incorporado após a aprovação. Identificado recurso novo de IA em ferramenta já aprovada, a área usuária comunica a TI, e o recurso permanece fora de uso sobre informação confidencial ou restrita até manifestação da TI.

7. Classificação da informação

7.1. As informações da Elinsa classificam-se em:

• a) Pública. Informação já divulgada oficialmente pela empresa.
• b) Interna. Informação de uso interno, sem caráter sigiloso, não destinada à divulgação externa, incluindo código-fonte desenvolvido pela Elinsa.
• c) Confidencial. Contratos, informações financeiras, estratégias comerciais, informações técnicas de rede e documentação de projetos.
• d) Restrita. Dados pessoais de colaboradores, dados pessoais sensíveis, dados de crianças e adolescentes, dados de titularidade de contratantes e credenciais de segurança.

7.2. A classificação alcança e-mails, documentos, repositórios de arquivos, mensagens corporativas, bancos de dados, código-fonte, ordens de serviço, registros fotográficos de campo e informações de recursos humanos.

7.3. Na dúvida sobre o enquadramento, prevalece a classificação mais restritiva até manifestação da TI.

7.4. Esta é uma classificação interna de segurança da informação. Não corresponde às categorias jurídicas da LGPD e não altera a qualificação legal de nenhum dado: um dado pessoal comum permanece dado pessoal comum ainda que classificado como restrito para fins desta política, e a base legal aplicável ao seu tratamento continua sendo definida pela lei.

8. Níveis de autonomia

8.1. Sistemas de IA classificam-se quanto à autonomia nos seguintes níveis, que determinam a instância de aprovação exigida:

8.2. Sistemas de níveis 2 e 3 têm ponto de supervisão humana designado, com competência e autoridade para intervir, suspender ou reverter suas ações.

8.3. A supervisão humana exigida neste item é regra interna de governança. Nas decisões abrangidas pelo art. 20 da LGPD, permanece assegurado ao titular o direito de solicitar revisão, independentemente dos controles previstos aqui.

9. Matriz de risco

9.1. A matriz orienta as decisões da Tecnologia da Informação e a intensidade dos controles exigidos:

9.2. A matriz é instrumento interno de priorização de controles. Os níveis nela indicados não correspondem a categorias legais de risco e não substituem a análise de base legal, a avaliação sobre necessidade de relatório de impacto ou qualquer outra exigência da LGPD.

Título III. Restrições de inserção e de conexão

10. Vedações de inserção de informação

10.1. É vedado inserir em ferramenta de IA não homologada:

• a) senhas, credenciais, tokens, chaves de API e certificados digitais;
• b) dados de configuração de infraestrutura, topologia de rede e diagramas de sistemas;
• c) informações sobre vulnerabilidades identificadas em sistemas da Elinsa ou de contratantes;
• d) logs que possam conter as informações das alíneas anteriores;
• e) código-fonte proprietário da Elinsa ou de contratantes;
• f) projetos, memoriais, laudos e desenhos técnicos de contratantes;
• g) documentos de terceiros protegidos por confidencialidade contratual;
• h) obras de terceiros cujas licenças não autorizem esse uso;
• i) informações classificadas como confidenciais ou restritas, na forma do item 7.

10.2. A vedação do item 10.1 aplica-se ainda que a inserção seja parcial, sirva a teste, ocorra fora do horário de trabalho ou em equipamento pessoal quando utilizado para fins profissionais.

10.3. A inserção de dados pessoais em ferramenta homologada observa adicionalmente o Título IV.

11. Conexão de ferramentas de IA ao ambiente corporativo

11.1. É vedado conectar a caixas de e-mail corporativas, ao ambiente Microsoft 365 da Elinsa ou a qualquer outro sistema, banco de dados ou repositório corporativo qualquer serviço de IA que não tenha contrato firmado com a Elinsa.

11.2. A vedação do item 11.1 abrange assistentes conversacionais, agentes autônomos, extensões de navegador, complementos, conectores e integrações, independentemente do fornecedor.

11.3. Ferramentas contratadas pela Elinsa observam adicionalmente as seguintes condições para acesso agêntico:

• a) o acesso agêntico a e-mail, arquivos ou sistemas corporativos exige aprovação específica da TI, distinta da homologação do uso conversacional da mesma ferramenta;
• b) permissões de aplicação exigem aprovação da Diretoria, além da TI;
• c) agentes com capacidade de enviar mensagens em nome de usuários operam, no mínimo, no nível 1 do item 8.1;
• d) toda integração aprovada tem prazo de validade, responsável nomeado, registro de atividade e procedimento de revogação documentado;
• e) nenhum agente opera sobre dados de titularidade de contratantes sem autorização do contratante, na forma do item 14.2.

11.4. A necessidade de apoio de IA no trabalho com e-mails e documentos é legítima e será instruída na forma do item 22, que avaliará ferramenta corporativa disponível ou contratável, escopo mínimo de acesso e controles de permissão, retenção, registro e revogação.

11.5. Todo conteúdo externo processado por sistema de IA, incluindo e-mails recebidos, anexos, páginas da internet e documentos de terceiros, é tratado como entrada não confiável. Aplicam-se as seguintes regras:

• a) sistema de IA não executa instrução encontrada dentro do conteúdo que processa, ainda que a instrução se apresente como legítima, urgente ou originada da empresa;
• b) agente exposto a conteúdo externo tem suas permissões limitadas ao mínimo da tarefa e não acumula acesso de leitura ampla com capacidade de ação externa;
• c) a avaliação de homologação de agente que processe conteúdo externo examina expressamente a exposição a injeção de prompt e as medidas de contenção adotadas pelo fornecedor;
• d) suspeita de manipulação do comportamento de sistema de IA é comunicada como incidente, na forma do item 23.

12. Controles técnicos e detecção

12.1. Compete à Tecnologia da Informação manter os seguintes controles (a confirmar viabilidade no licenciamento vigente):

• a) restrição do consentimento de usuário para aplicativos de terceiros no diretório corporativo, condicionando a liberação a aprovação administrativa;
• b) fluxo formal de solicitação de acesso, com registro do solicitante, do escopo pedido e da decisão;
• c) revisão periódica dos aplicativos com consentimento vigente e revogação dos que não tenham homologação ativa;
• d) inventário das integrações aprovadas, com escopo de permissões, prazo e responsável.

12.2. Compete à TI e à Segurança da Informação manter rotina de identificação de uso não homologado, que inclui:

• a) inventário periódico de uso de IA levantado junto às áreas, com identificação das tarefas atendidas e do que impede o uso da alternativa aprovada;
• b) revisão de registros de rede e de aplicações para identificar conexões a serviços de IA;
• c) auditoria de extensões de navegador e complementos, com verificação das permissões solicitadas;
• d) busca por chaves de API e integrações não geridas em repositórios, ambientes de nuvem e plataformas de automação.

12.3. O monitoramento é proporcional à finalidade, previamente comunicado aos colaboradores e limitado à identificação de ferramentas e fluxos de dados. Não abrange a inspeção rotineira do conteúdo de conversas.

12.4. O levantamento previsto na alínea a do item 12.2 tem finalidade de diagnóstico. Seu resultado orienta a contratação de alternativas aprovadas e não serve de base para medida disciplinar quanto a usos declarados espontaneamente.

12.5. Todo monitoramento previsto neste item observa finalidade determinada, necessidade, proporcionalidade, transparência prévia aos colaboradores, controle de acesso aos registros produzidos e prazo de retenção definido. Compete ao Encarregado verificar essas condições antes da implantação de qualquer rotina nova de detecção.

Título IV. Proteção de pessoas

13. Dados pessoais

13.1. O tratamento de dados pessoais por sistema de IA exige finalidade específica e informada, base legal do art. 7º da LGPD, limitação ao mínimo necessário e medidas de segurança compatíveis.

13.2. Dados coletados para determinada finalidade não podem ser reaproveitados por IA para finalidade incompatível.

13.3. O vínculo empregatício não constitui autorização genérica para tratar dados de colaboradores por IA. Cada tratamento exige base legal própria, que nem sempre será o consentimento.

13.4. Dados pessoais sensíveis, incluindo atestados, exames ocupacionais e registros de acidente de trabalho, somente são processados por ferramenta homologada para esse fim específico, mediante avaliação prévia.

13.5. Colaboradores podem requerer, pelo canal do item 23, confirmação sobre a submissão de seus dados a ferramentas de IA, bem como correção e, quando cabível nos termos da LGPD, eliminação, sem necessidade de justificar o pedido e sem consequência funcional.

13.6. O direito de eliminação não alcança dados cuja conservação seja necessária ao cumprimento de obrigação legal ou regulatória, ao exercício regular de direitos ou a outra hipótese prevista em lei. Não sendo possível atender ao pedido, a Elinsa responde ao requerente indicando as razões.

14. Dados de titularidade de contratantes

14.1. Dados de consumidores e dados operacionais recebidos para execução de contrato classificam-se como restritos por padrão.

14.2. O tratamento desses dados por qualquer ferramenta de IA depende de homologação interna e, quando exigido pelo contrato ou pelas instruções recebidas do contratante, de sua autorização prévia. Não havendo previsão contratual expressa sobre uso de IA, a Elinsa solicita a manifestação do contratante antes de iniciar o tratamento.

14.3. Registros fotográficos de campo obtidos em serviços comerciais e em obras seguem a regra do item 14.2.

14.4. Compete ao Jurídico, nas renovações e nos instrumentos novos, propor cláusula que discipline expressamente o uso de IA sobre dados de titularidade do contratante, de modo a substituir a consulta caso a caso do item 14.2 por regra contratual estável.

15. Imagem, voz e identidade

15.1. A utilização de imagem, voz, aparência, nome ou outro elemento identificador de pessoa para geração ou transformação de conteúdo por IA depende de autorização de uso de imagem compatível com a finalidade pretendida.

15.2. A regra do item 15.1 alcança geração ou alteração de fotografias, criação de avatares, clonagem ou síntese de voz, geração de vídeo com pessoas identificáveis e uso de imagens como referência para gerar novas imagens.

15.3. É vedado utilizar imagens de colaboradores para treinamento ou ajuste fino de modelos de IA.

15.4. Conteúdo que retrate pessoa identificável de modo confundível com registro real deve ser identificado como gerado ou manipulado por IA, inclusive em uso interno.

15.5. É vedado criar conteúdo sintético que retrate pessoa identificável sem autorização expressa e finalidade legítima documentada.

15.6. Situações envolvendo conteúdo de caráter íntimo são comunicadas de imediato pelo canal do item 23, para remoção diligente.

16. Comunicação interna e material institucional

16.1. Cartazes, murais, homenagens, comunicados, campanhas internas e conteúdo para canais da empresa constituem material institucional e sujeitam-se a esta política, ainda que produzidos por um setor, informalmente e sem custo.

16.2. É vedado inserir dados pessoais de colaboradores, incluindo nome completo, data de nascimento, matrícula, cargo e fotografia, em ferramenta de IA não homologada para produzir material de qualquer natureza.

16.3. Materiais de celebração observam minimização, limitando-se ao primeiro nome e ao dia, vedada a exibição de nome completo em conjunto com data de nascimento.

16.4. Fotografias de colaboradores alteradas por IA não circulam como conteúdo oficial sem autorização da pessoa retratada e sem identificação da manipulação.

16.5. A autorização de uso de imagem firmada na admissão não é considerada suficiente para a geração ou a alteração da imagem por IA quando sua redação não abranger, de forma clara e específica, essa finalidade. Nesse caso, exige-se manifestação específica da pessoa retratada.

16.6. Material em circulação que contrarie este item é retirado quando identificado. A pessoa retratada pode requerer a retirada a qualquer momento pelo canal do item 23, sem necessidade de justificar o pedido.

17. Crianças e adolescentes

17.1. É vedado utilizar qualquer sistema de IA para gerar, alterar, editar, compor, armazenar ou processar imagem, vídeo, áudio ou texto que retrate criança ou adolescente de forma erotizada, sexualmente sugestiva ou em contexto próprio do universo sexual adulto. Quem identificar conteúdo dessa natureza comunica imediatamente o canal do item 23. A empresa procede à remoção e à comunicação às autoridades competentes, sem prejuízo da responsabilização criminal cabível.

17.2. O uso de imagem ou voz de criança ou adolescente em conteúdo gerado ou alterado por IA depende de autorização escrita dos pais ou responsáveis legais, específica quanto à finalidade. Autorização obtida para uso tradicional não se estende à geração ou alteração por IA quando sua redação não abranger essa finalidade.

17.3. São vedados, independentemente de autorização:

• a) o uso de imagens de crianças ou adolescentes para treinamento ou ajuste fino de modelos;
• b) a criação de conteúdo sintético que retrate criança ou adolescente, em qualquer contexto;
• c) o envio de imagens de crianças ou adolescentes a ferramenta não homologada, inclusive para recorte, melhoria de qualidade ou remoção de fundo.

17.4. Dados de aprendizes e de colaboradores menores de dezoito anos não devem ser inseridos em ferramenta não homologada em nenhuma hipótese, e seu processamento por IA depende de avaliação prévia.

17.5. É vedado o perfilamento de menores de dezoito anos para direcionamento de publicidade, bem como o emprego de análise emocional para esse fim.

17.6. Assistente de IA voltado ao público externo passa obrigatoriamente pela homologação do item 22, com avaliação expressa dos riscos de exposição de crianças e adolescentes. Essa avaliação verifica também se a aplicação atrai, para a Elinsa, as obrigações da Lei nº 15.211/2025 dirigidas a provedores.

18. Decisões sobre pessoas e processos de RH

18.1. São vedados:

• a) avaliação, promoção, transferência ou desligamento de colaborador com base unicamente na saída de sistema de IA;
• b) seleção ou rejeição automática de candidatos com base unicamente em pontuação gerada por IA;
• c) classificação comportamental ou inferência de personalidade de colaboradores e candidatos;
• d) reconhecimento facial ou reconhecimento emocional de colaboradores, inclusive em frentes de serviço e veículos;
• e) uso de IA como base exclusiva para decisão disciplinar.

18.2. São permitidos, com decisão final humana, o apoio à triagem e ao resumo de currículos, à redação de comunicações e descrições de vaga e à organização de processos seletivos.

18.3. As vedações do item 18.1 aplicam-se integralmente a aprendizes e colaboradores menores de dezoito anos, sem possibilidade de exceção pelo item 22.

18.4. Utilizado sistema de IA em decisão relacionada a pessoas, os colaboradores afetados são informados previamente.

Título V. Desenvolvimento e operação

19. Sistemas e código desenvolvidos com auxílio de IA

19.1. Todo sistema, script, automação, formulário, planilha automatizada ou integração que armazene, processe ou exiba informação da Elinsa é registrado junto à Tecnologia da Informação antes de entrar em uso efetivo, independentemente de quem o desenvolveu, da ferramenta utilizada e de o uso ser restrito a um setor.

19.2. O registro informa finalidade, dados tratados, responsável técnico, responsável de negócio e local de hospedagem.

19.3. São requisitos de base, aplicáveis a todo sistema registrado, qualquer que seja a classificação da informação tratada:

• a) código-fonte versionado em repositório da organização elinsa-do-brasil no GitHub, vedada a guarda em repositório ou conta pessoal;
• b) banco de dados e demais dados hospedados em infraestrutura mantida pela empresa, vedadas cópias em serviços pessoais de nuvem;
• c) proibição de credenciais, tokens, chaves, strings de conexão e dados pessoais gravados diretamente no código-fonte;
• d) documentação que descreva a finalidade do sistema, a tecnologia empregada, como operá-lo, de onde ele lê e onde grava, suficiente para que outra pessoa o localize, o utilize e o interrompa;
• e) verificação de segurança, manual ou automatizada, antes da entrada em uso e a cada alteração relevante.

19.4. Tratando o sistema informação confidencial ou restrita, aplicam-se adicionalmente:

• a) revisão de segurança conduzida por pessoa distinta de quem desenvolveu o sistema, com registro das pendências identificadas e do tratamento dado a cada uma;
• b) ao menos duas pessoas com acesso e conhecimento suficientes para manter o sistema, além da TI, e documentação que permita a sucessão;
• c) componentes e bibliotecas suportados, com verificação de dependências e licenças, exigindo componente descontinuado justificativa e plano de substituição;
• d) autenticação integrada ao diretório corporativo sempre que tecnicamente viável.

19.5. Código produzido com auxílio de IA é tratado como código de autoria de quem o incorporou ao sistema, que responde por ele perante a empresa. Trecho que o responsável não consiga explicar não entra em sistema que trate informação confidencial ou restrita, salvo se aprovado na revisão do item 19.4, a, com as pendências tratadas. A ressalva alcança o risco de segurança, e não o de manutenção, que permanece endereçado pelo item 19.4, b.

19.6. Sistemas em uso na data de aprovação desta política são registrados no prazo de [definir prazo], para inventário e avaliação de risco. O registro no prazo não gera medida disciplinar. Atendidos os requisitos de base, o sistema permanece em uso enquanto a Tecnologia da Informação avalia a exigibilidade dos requisitos do item 19.4.

19.7. Identificado risco relevante, a Tecnologia da Informação fixa prazo de correção, migração ou desativação, considerada a importância do sistema para a operação. A desativação é a última alternativa, cabível quando a correção não for viável em prazo compatível com o risco.

19.8. Compete à Tecnologia da Informação apoiar a área usuária na migração do código para o repositório da organização, na hospedagem dos dados e na execução da verificação prevista no item 19.3, e. A falta de conhecimento técnico para cumprir esses requisitos não dispensa o registro do sistema nem justifica mantê-lo fora dele.

20. Atividades operacionais e de rede elétrica

20.1. Sistemas de IA não constituem base exclusiva de decisão sobre operação de rede, energização ou desenergização, liberação de equipes para serviço em campo, classificação de risco técnico ou procedimento que afete a segurança de trabalhadores ou da população.

20.2. Aplicações de IA sobre dados operacionais de rede dependem de aprovação conjunta da Tecnologia da Informação e da área técnica responsável, sem prejuízo das normas de segurança do trabalho aplicáveis.

21. Revisão humana de conteúdo gerado por IA

21.1. Exigem revisão humana antes da finalização, do envio ou da publicação:

• a) comunicação oficial da empresa e comunicação com contratantes;
• b) contratos e documentos jurídicos;
• c) material publicitário e institucional, inclusive comunicação interna;
• d) documentos técnicos, laudos, memoriais e relatórios de obra ou manutenção;
• e) conteúdo que subsidie decisão sobre pessoas ou sobre segurança operacional.

21.2. Disponibilizado sistema de IA que interaja diretamente com pessoas, estas são informadas de que interagem com sistema de IA, salvo quando isso for evidente pelo contexto.

21.3. A titularidade de conteúdo substancialmente gerado por IA é verificada antes de uso externo ou de registro como propriedade da Elinsa.

21.4. Quando a IA contribuir para decisão que afete colaboradores, clientes, contratantes, resultado financeiro ou segurança operacional, registram-se a ferramenta utilizada, a finalidade, o responsável pela revisão e a decisão adotada.

Título VI. Procedimentos, responsabilidade e vigência

22. Homologação e exceções

22.1. Toda ferramenta de IA externa, toda integração com o ambiente corporativo e toda exceção a esta política seguem o fluxo:

22.2. A Tecnologia da Informação responde à solicitação em até [definir prazo, sugestão: 10 dias úteis], prazo-alvo de gestão assumido pela empresa. Ultrapassado o prazo sem manifestação, a área solicitante escalona ao patrocinador executivo.

22.3. Toda decisão da Tecnologia da Informação é registrada por escrito, fundamentada e disponibilizada para consulta interna.

22.4. Aprovações informais, verbais ou baseadas em posição hierárquica não produzem efeito.

22.5. A vedação do item 17.1 não comporta exceção por este processo.

23. Incidentes e canal de comunicação

23.1. Dúvidas, solicitações de homologação, pedidos de retirada de conteúdo e comunicações de incidente são dirigidos a [definir canal].

23.2. Incidente que envolva potencial exposição indevida de dados pessoais é comunicado de imediato ao canal do item 23.1, para avaliação de risco. A comunicação à ANPD e aos titulares afetados, quando devida, observa os prazos, os critérios e o formato previstos na regulamentação da ANPD sobre comunicação de incidente de segurança. Sendo os dados de titularidade de contratante, comunica-se também o contratante, na forma do contrato.

23.3. A inserção acidental de informação classificada em ferramenta não homologada constitui incidente e deve ser comunicada. A comunicação espontânea e tempestiva é considerada na dosimetria de eventual medida disciplinar.

23.4. Comunicada a inserção indevida de informação em ferramenta de IA, adotam-se as seguintes providências:

• a) identificar o que foi inserido, em qual ferramenta e conta, quando, e quem teve acesso;
• b) excluir a conversa e os arquivos enviados e, havendo previsão, formalizar pedido de eliminação ao fornecedor;
• c) consultar e registrar o que o fornecedor declara reter em registros operacionais, backups, revisão humana e treinamento, e em que prazos elimina;
• d) revogar permissões concedidas à ferramenta e a complementos conectados e rotacionar senhas, chaves e tokens que tenham aparecido no conteúdo;
• e) acionar Segurança da Informação, Encarregado e Jurídico para avaliar obrigações contratuais e regulatórias e a necessidade de comunicar titulares, contratantes e a ANPD;
• f) documentar o ocorrido e utilizá-lo para ajustar controles, capacitação e alternativas aprovadas.

23.5. Comunicações relativas ao item 17.1 têm prioridade e não se submetem a triagem hierárquica prévia.

23.6. O dever de comunicação imediata do item 23.2 é interno e destina-se a dar à empresa tempo hábil de avaliar o incidente. Não se confunde com o prazo regulatório de comunicação à ANPD, que corre a partir do conhecimento do incidente pelo controlador e é apurado pelo Encarregado.

24. Descumprimento e sanções

24.1. O descumprimento desta política sujeita o infrator às medidas disciplinares previstas no Código de Conduta e na legislação trabalhista, observadas a proporcionalidade entre a conduta e a medida, a gradação prevista no Código de Conduta e a oportunidade de manifestação prévia do colaborador.

24.2. A comunicação espontânea e tempestiva, na forma dos itens 23.3 e 26, é considerada em favor do colaborador na dosimetria de qualquer medida.

24.3. A responsabilização civil ou criminal individual, quando cabível, decorre de lei e independe desta política. É o caso, entre outros, dos tipos penais referidos no fundamento do item 17.1.

24.4. Consequências suportadas pela empresa:

• a) sanções administrativas da ANPD, entre elas advertência, multa de até dois por cento do faturamento no Brasil no seu último exercício, limitada a cinquenta milhões de reais por infração, bloqueio ou eliminação dos dados e suspensão da atividade de tratamento. São aplicadas à Elinsa na condição de agente de tratamento, após processo administrativo, e dosadas conforme os critérios do art. 52, § 1º, entre os quais a adoção de política de boas práticas, a cooperação e a pronta adoção de medidas corretivas;
• b) equiparação da Elinsa a controladora e responsabilidade solidária pelos danos causados quando, na condição de operadora, realizar o tratamento em desconformidade com a LGPD ou deixar de seguir as instruções lícitas do contratante controlador. A equiparação depende da verificação dessas hipóteses no caso concreto e não decorre automaticamente do uso de IA. Somam-se as penalidades contratuais e o risco de perda do contrato;
• c) sanções do Estatuto Digital da Criança e do Adolescente, que incluem advertência, multa de até dez por cento do faturamento do grupo econômico no Brasil, limitada a cinquenta milhões de reais por infração, suspensão temporária e proibição de atividades. Essas sanções são dirigidas aos fornecedores e provedores abrangidos por aquela lei e pressupõem o descumprimento das obrigações nela previstas. A hipótese é registrada porque a operação de assistente de IA voltado ao público externo, tratada no item 17.6, pode atrair esse enquadramento;
• d) obrigação de indenizar por danos morais e materiais decorrentes de uso indevido de imagem, voz ou identidade, apurada judicialmente.

25. Vigência e revisão

25.1. Esta política entra em vigor na data de sua aprovação pela Diretoria, por prazo indeterminado.

25.2. A revisão ocorre [definir periodicidade] ou por alteração relevante da legislação aplicável, em especial pela regulamentação da Lei nº 15.211/2025, pela edição de nova regulamentação da ANPD sobre IA ou pela aprovação de lei geral de Inteligência Artificial no Brasil.

25.3. A aprovação é acompanhada de ação de capacitação dirigida a coordenadores, gerentes e Diretoria.

25.4. Compete a [definir responsável] a manutenção e a atualização deste documento, incluída a revisão dos fundamentos quando a natureza de uma regra mudar, em especial quando regra hoje marcada como Interno passar a ter previsão legal.

26. Disposições transitórias

26.1. Fica aberta, a partir da aprovação desta política, janela de regularização voluntária de [definir prazo, sugestão: 60 dias] para declaração de ferramentas de IA, contas, assinaturas, integrações e sistemas já em uso.

26.2. A declaração é feita pelo canal do item 23 e informa a ferramenta, a finalidade, os dados envolvidos e as integrações ativas.

26.3. O uso declarado dentro da janela não enseja medida disciplinar. O objetivo é constituir o inventário inicial e priorizar a contratação de alternativas aprovadas.

26.4. Encerrada a janela, a Tecnologia da Informação define, para cada item declarado, a homologação, a substituição ou a desativação, com prazo compatível com a importância da atividade atendida.

26.5. Os sistemas de que trata o item 19.6 são declarados nesta mesma janela.

26.6. A janela de regularização não alcança condutas que configurem ilícito civil ou penal, nem afasta obrigações legais de comunicação de incidente já ocorrido.

Anexo A. Matriz de risco consolidada

Os níveis abaixo são classificação interna de risco, na forma do item 9.2. Não correspondem a categorias legais.

Anexo B. Base normativa

Dos fundamentos legais, regulatórios e internos que embasam esta política, a coluna Marcador indica a natureza de cada norma, na forma da legenda abaixo.

A coluna Natureza indica como cada norma é utilizada nesta política, na forma da descrição dos marcadores.

Anexo C. Exemplos de uso não homologado por área

Este anexo apoia a capacitação prevista no item 25.3. Os exemplos são ilustrativos e não esgotam as hipóteses vedadas.