Pergunte ao dono de um pequeno escritório de contabilidade se sua equipe usa ferramentas de IA, e a maioria dirá "um pouco, informalmente." Pergunte se eles têm uma política de IA por escrito, e a sala geralmente fica em silêncio. Essa lacuna é maior do que parece. Dados recentes do setor colocam a adoção de IA em contabilidade e escritórios de contadores em 73%, um salto de 340% em relação aos níveis de 2022 — mas, segundo o Relatório do Estado da IA na Contabilidade da Karbon, apenas 37% dos escritórios investiram em algum treinamento formal em IA. A maior parte desse crescimento aconteceu sem nenhuma camada de governança por baixo.
Essa incompatibilidade é exatamente o que a matéria de julho de 2026 do Journal of Accountancy sobre a elaboração de uma política de IA tenta resolver. Ela é voltada, de forma ampla, a escritórios de contabilidade de todos os tamanhos, mas o conselho pesa mais sobre as pequenas e médias práticas — aquelas com menor probabilidade de ter um departamento de compliance, e maior probabilidade de ter um profissional autônomo ou uma equipe de duas pessoas experimentando o ChatGPT discretamente entre chamadas com clientes.
O Verdadeiro Risco Não É a IA — É o Silêncio
Aqui está a parte desconfortável: seu escritório não precisa ter "adotado a IA" para ter um problema de risco com IA. Se mesmo um único funcionário já colou o balancete de um cliente em um chatbot para obter uma segunda opinião sobre um lançamento contábil, você já está exposto — independentemente de existir ou não uma política registrada.
Isso costuma ser chamado de "IA paralela" (shadow AI): o uso de ferramentas que acontece fora de qualquer lista autorizada, fora de qualquer contrato e fora do conhecimento de qualquer pessoa. Não é hipotético. Pesquisas recentes de segurança descobriram que cerca de 34,8% dos prompts de funcionários no ChatGPT agora contêm dados sensíveis da empresa, um salto em relação a apenas 11% em 2023. Na contabilidade especificamente, isso significa números de receita de clientes, demonstrações de fluxo de caixa e documentos fiscais indo parar em um sistema de terceiros que o escritório nunca avaliou, nunca contratou e não consegue auditar.
A exposição legal também não é abstrata. Quando um funcionário insere dados financeiros de um cliente em uma conta pessoal de IA, esses dados são transmitidos e armazenados por um terceiro fora de qualquer acordo existente com o cliente — o que pode se enquadrar na definição legal de vazamento de dados e desencadear obrigações de notificação previstas na legislação estadual. Para um escritório vinculado à Regra de Informações Confidenciais de Clientes da AICPA (Seção 1.700.001 do Código de Conduta Profissional), isso não é um tecnicismo menor. É a mesma regra que determina se você pode discutir as finanças de um cliente com alguém fora do trabalho contratado — e ela se aplica às ferramentas de IA exatamente da mesma forma que se aplica a uma conversa informal em um evento de networking.
O Que uma Política de IA de Verdade Realmente Cobre
O guia do Journal of Accountancy divide uma política utilizável em oito blocos: escopo e finalidade, estrutura de governança, privacidade de dados, controles de qualidade e precisão, protocolos de documentação, avaliação de viés, transparência com o cliente e regras de uso aceitável. É muita coisa para um escritório de cinco pessoas resolver de uma vez, então vale a pena focar nos três que fazem o trabalho de proteção mais importante.
1. Documente o prompt, o resultado e quem revisou
O guia é direto sobre isso: "Se não está documentado, não aconteceu." Esse não é um padrão novo para contadores — é a mesma lógica que rege os papéis de trabalho e os arquivos de cada trabalho —, mas agora precisa se estender à IA. Quando um funcionário usa uma ferramenta de IA para redigir um memorando para o cliente, pesquisar uma questão técnica ou resumir um documento, o escritório deveria conseguir mostrar:
- Qual prompt foi usado
- O que a ferramenta retornou
- Quem revisou o resultado, e como
Esse registro deve ficar no arquivo do cliente junto com qualquer outra documentação de ferramentas de terceiros — não em uma conversa do Slack que desaparece depois de 90 dias.
2. Exija revisão humana antes que qualquer coisa chegue a um cliente
Esta é a frase que deveria estar afixada acima de cada estação de trabalho: a IA não deve ser usada para tomar, finalizar ou apoiar decisões relacionadas a serviços prestados a clientes sem uma revisão humana completa, de acordo com as políticas de supervisão já existentes no escritório. Na prática, isso significa que pesquisas, explicações técnicas ou citações geradas por IA precisam ser verificadas diretamente nas fontes primárias — o Código de Receita Federal (Internal Revenue Code), regulamentos do Tesouro, normas do FASB — e não aceitas apenas porque a resposta soou confiante. Ferramentas de IA generativa são bem conhecidas por produzir citações plausíveis que na verdade não existem; um funcionário que não confirma de forma independente uma seção de código citada antes de ela entrar em uma carta para o cliente pulou exatamente o ponto central do julgamento profissional.
3. Saiba exatamente o que acontece com os dados que você digita
Antes que qualquer ferramenta tenha acesso a informações de clientes, alguém no escritório precisa responder a quatro perguntas sobre ela: Onde os dados são armazenados? Quem pode acessá-los? Eles são desidentificados? São usados para treinar o modelo? Se a resposta a qualquer uma dessas perguntas não for clara — e, para a maioria das ferramentas de IA voltadas ao consumidor, ela não será —, a política deveria simplesmente proibir a inserção de informações pessoais, confidenciais ou proprietárias nessa ferramenta. Os escritórios que lidam bem com isso não tentam fiscalizar cada interação individual; eles mantêm uma lista de ferramentas aprovadas e um processo simples para que a equipe solicite adições, tratando a governança de IA como uma decisão do escritório como um todo, e não uma decisão individual.
Os Erros que os Escritórios Continuam Cometendo
Alguns padrões aparecem repetidamente na forma como pequenos escritórios tropeçam no risco de IA, e nenhum deles exige má intenção — apenas a ausência de uma política.
Tratar "ainda não adotamos IA" como proteção. Um escritório pode não ter nenhuma ferramenta de IA em sua pilha de tecnologia oficial e, ainda assim, ter todos os funcionários usando uma conta pessoal do ChatGPT no celular durante o expediente. As lacunas de política não esperam a adoção oficial; elas existem no momento em que um funcionário tem acesso à internet e um prazo a cumprir.
Presumir que os planos gratuitos e pagos se comportam da mesma forma. Muitas ferramentas de IA de consumo usam conversas do plano gratuito para treinar seus modelos subjacentes por padrão, enquanto os planos pagos ou empresariais frequentemente incluem proteções contratuais de dados. Um funcionário que cria uma conta gratuita para economizar tempo, com frequência, está inscrevendo os dados de clientes do escritório em um pipeline de treinamento sem perceber. É exatamente por isso que as quatro perguntas sobre tratamento de dados citadas acima — armazenamento, acesso, desidentificação, uso em treinamento — precisam ser respondidas para cada ferramenta, não presumidas uma vez e depois esquecidas.
Deixar que "pareceu certo" substitua a verificação. Citações fiscais, referências a seções de código e resumos técnicos gerados por IA podem ser fluentes e completamente errados. Um funcionário sob pressão de prazo é quem tem mais probabilidade de pular a etapa de verificação — e é exatamente por isso que a política precisa estabelecer a exigência de revisão humana como uma regra, e não como uma sugestão deixada ao julgamento individual.
Nenhum registro do que foi perguntado ou revisado. Mesmo escritórios que acertam na substância costumam pular a documentação. Se um cliente ou regulador perguntar mais tarde como um determinado número ou recomendação foi produzido, "usamos IA para ajudar" não é uma resposta sem um registro do prompt, do resultado e de quem aprovou.
Um Checklist Inicial para uma Política de Duas Páginas
Você não precisa de assessoria jurídica externa para redigir uma primeira versão. Uma política funcional para um pequeno escritório pode caber em uma ou duas páginas e cobrir:
- Uma lista de ferramentas aprovadas — nomeie os produtos de IA específicos que a equipe pode usar para o trabalho com clientes, e um processo simples (mesmo que seja apenas "pergunte ao sócio") para solicitar novas ferramentas.
- Uma regra de tratamento de dados — nenhuma informação pessoal, confidencial ou proprietária de clientes entra em nenhuma ferramenta que não esteja na lista aprovada.
- Uma exigência de revisão humana — nenhum resultado de IA é usado para finalizar trabalhos, entregáveis ou aconselhamento a clientes sem revisão de um funcionário qualificado, registrada no arquivo.
- Uma regra de verificação de citações — qualquer referência gerada por IA a uma seção de código, regulamento ou norma deve ser conferida na fonte primária antes de ser citada a um cliente ou usada em uma declaração.
- Um hábito de documentação — onde a equipe registra o trabalho assistido por IA (um campo no sistema de gestão da prática, uma nota no arquivo do trabalho — qualquer coisa durável e pesquisável).
- Uma nota de transparência com o cliente — uma frase em linguagem simples nas cartas de contratação descrevendo que o escritório pode usar ferramentas de IA como parte da prestação de serviços, sujeita às salvaguardas acima.
Nada disso exige uma reformulação tecnológica. Exige decidir, por escrito, o que o escritório já presume informalmente — e garantir que todos os funcionários estejam trabalhando a partir das mesmas premissas.
Pequenos Escritórios Carregam Mais Desse Risco, Não Menos
É tentador presumir que a governança de IA é um "problema de escritório grande" — algo para práticas nacionais com diretores de risco dedicados. O oposto é mais próximo da verdade. Escritórios menores tipicamente não têm uma função de compliance, dependem mais fortemente de ferramentas de IA de consumo de uso geral em vez de produtos empresariais avaliados, e têm menos redundância caso o atalho de um funcionário se torne um evento de responsabilidade. Um escritório de dois sócios sem uma política de IA por escrito está confiando inteiramente em hábitos informais para proteger a confidencialidade do cliente — e hábitos informais não se sustentam bem quando um cliente pergunta, durante um trabalho, exatamente como seus dados foram tratados.
A solução não exige uma equipe jurídica. Uma política de uma a duas páginas que nomeia ferramentas aprovadas, declara a exigência de revisão humana em linguagem simples e diz à equipe onde registrar o trabalho assistido por IA cobre a maior parte da exposição. Os blocos acima são um checklist inicial razoável; o que mais importa é que algo exista por escrito antes que o próximo funcionário recorra a um chatbot em uma questão de cliente.
Onde a Escrituração Financeira se Encaixa Nisso
A governança de IA e a escrituração financeira estão resolvendo o mesmo problema subjacente: garantir que exista um rastro claro e revisável por trás de cada número e decisão. Um escritório que não consegue mostrar como uma resposta assistida por IA foi verificada tem a mesma lacuna de uma empresa que não consegue mostrar como uma transação foi categorizada — ambas se resumem a saber se o rastro existe e se um ser humano realmente o examinou.
Esse é o mesmo princípio por trás da contabilidade em texto simples. O Beancount.io mantém seus registros financeiros como texto legível por humanos e com controle de versão, em vez de entradas opacas de banco de dados — cada mudança tem um histórico visível, e nada acontece em uma caixa-preta. Para uma profissão cada vez mais preocupada com a explicabilidade, esse tipo de transparência não é um luxo. Comece gratuitamente e veja como um livro-razão totalmente auditável se encaixa em um escritório que leva a documentação a sério.