A política de IA da sua empresa está num PDF. Deveria estar num firewall.

Em muita empresa, agora mesmo, alguém está colando um contrato numa ferramenta de IA pública para pedir um resumo. Ou uma planilha de preço, para montar uma proposta. Ou o e-mail de um cliente, para escrever a resposta. Gente bem-intencionada, resolvendo problema real. O mercado já tem nome para isso: shadow AI, a IA usada fora da vista da empresa.

A resposta mais comum é uma de duas. Ou você escreve uma política de uso de IA, que todo mundo assina e ninguém consegue aplicar. Ou bloqueia as ferramentas, e o uso vai para o celular pessoal, onde ninguém vê nada. Nos dois casos, a pergunta que o jurídico vai fazer continua sem resposta: que dado da empresa saiu, e para onde?

A rede da empresa resolveu um problema parecido há muito tempo: ninguém sai para a internet sem passar pelo firewall, e é nele que a regra mora. Falta fazer o mesmo com a IA.

Um firewall de IA entre as pessoas e os modelos

A ideia é uma camada no meio do caminho, no servidor da empresa. Ninguém conversa com o modelo de IA diretamente: as pessoas falam com essa camada, e só ela guarda as chaves dos modelos. Toda pergunta passa por ela. É ali que a regra é aplicada, em código, e não em texto que o modelo pode reinterpretar.

1. 1 A pessoa entra Com o login da empresa. Quem não está no grupo certo nem tem conta.
2. 2 A regra filtra Senha e chave saem da pergunta; o que não deve passar é recusado.
3. 3 A base responde A camada busca a resposta nos documentos da empresa.
4. 4 O modelo escreve O modelo liberado para aquela área monta a resposta.
5. 5 Fica o registro A conversa fica no servidor da empresa, não no da ferramenta pública.

O que você define nessa camada

• Quem entra. O login é o do diretório que a empresa já tem, sem senha nova e sem conta pessoal. Um grupo do diretório decide quem pode usar.
• Qual modelo cada área usa. Um para o uso geral, outro para uma área específica, ou um rodando dentro de casa para o que não pode sair. A pessoa não muda as instruções do modelo, e o que não foi liberado não aparece.
• O que pode ser perguntado. Antes de a pergunta chegar ao modelo, um filtro tira senha, token e chave, e a moderação recusa o que não deve passar. O que é barrado nem chega a ser cobrado como uso.
• Que documentos cada um consulta. Quando a empresa liga uma base de conhecimento, a camada busca nela primeiro e manda ao modelo a pergunta junto com os trechos certos. O mercado chama isso de RAG. Na prática, a resposta vem dos documentos da empresa, e não do que o modelo aprendeu na internet.

Por que essa solução é boa

• Compete em vez de proibir. A IA da empresa sabe coisas que a pública não sabe. O motivo para levar o dado para fora diminui por conveniência, não por ameaça.
• Uma política, qualquer modelo. A regra é escrita uma vez, na camada, e vale para o modelo de hoje e para o de amanhã.
• Dá uma resposta ao jurídico. As conversas ficam no servidor da empresa, e cada bloqueio do filtro fica registrado. A auditoria ganha uma evidência que hoje não existe.

Quer saber que uso de IA já acontece na sua empresa hoje? A governança de IA começa por esse mapa.

Os cuidados de uma governança de IA

• O que sai, e sob qual contrato. Com modelo na nuvem, vão para o provedor a pergunta, o histórico, os documentos anexados, as imagens e a identificação de quem perguntou. O contrato com ele precisa dizer para que serve, se treina o modelo e quando apaga.
• O filtro pega formato, não intenção. Um segredo escrito em prosa passa, e um documento pode carregar uma instrução escondida para o modelo. Por isso o que é sensível de verdade continua passando por uma pessoa.
• A equipe precisa saber. O registro também é dado pessoal, e quem administra a plataforma consegue ler as conversas. Dizer à equipe o que fica registrado e quem lê é o que separa governança de vigilância.

A camada apoia a conformidade, não a substitui: o desenho se valida com o jurídico e com o encarregado de dados. E ela não elimina a política: nada impede alguém de copiar um dado para a IA do próprio celular. Ela diminui o motivo para fazer isso.

Por onde começar a governança de IA na empresa

Se a sua empresa tem uma política de IA no papel e nenhuma forma de saber se ela é cumprida, o primeiro passo é dar uma porta a esse uso. A governança de IA da iRon King leva essa camada para o seu servidor, com a marca da sua empresa. Em 30 minutos de conversa, a gente levanta com você que usos de IA já existem na empresa, que modelos fariam sentido e o que precisaria ficar dentro de casa. Você sai com um primeiro desenho para levar ao jurídico.