O problema que ninguém menciona na demonstração de vendas
Quando a Microsoft demonstra o Copilot, a demonstração é impressionante: peça um resumo de cada reunião desta semana, o Copilot entrega. Peça uma minuta de proposta baseada em contratos anteriores, ela também entrega. O que a demonstração não mostra é o que acontece quando o seu ambiente Microsoft 365 nunca passou por uma revisão de permissões.
O Copilot não tem acesso próprio. Ele usa as permissões do usuário conectado. Se Sarah, do setor financeiro, ainda tiver acesso a uma pasta de RH que deveria ter sido removida em 2021, o Copiloto de Sarah incluirá dados de RH nas respostas sobre os custos do projeto. Se um site do SharePoint de um projeto concluído ainda estiver aberto para toda a empresa, qualquer funcionário poderá pedir ao Copilot para resumir esses arquivos.
Esse é o risco central do Copilot: não é um bug, é um espelho. Reflete o estado exato de suas permissões.
A Microsoft está incorporando progressivamente o Copilot nos planos Microsoft 365 Business e Enterprise. Muitas organizações obterão acesso sem tê-lo solicitado ativamente. Se você ainda não preparou seu ambiente, o Copilot já pode estar disponível para seus usuários hoje.
Os quatro riscos reais
A governança do copiloto não é burocracia. É a diferença entre uma ferramenta de produtividade e um vetor interno de vazamento de dados. Estes são os quatro riscos que vemos com mais frequência antes das implementações.
Permissões excessivas: o problema que você quase certamente já tem
A Microsoft tem um nome para a situação mais comum que encontra antes das implantações do Copilot: compartilhamento excessivo estrutural. Acontece quando um ambiente acumula anos de decisões de permissão tomadas por conveniência. Alguém precisou de acesso a uma pasta por uma semana, o acesso foi concedido, nunca revogado. Um projeto terminou, o site do SharePoint permaneceu aberto. Um funcionário saiu, mas o canal do Teams em que ele estava ainda existe com os documentos originais intactos.
Em organizações com mais de três anos de uso do Microsoft 365, é raro encontrar um ambiente sem esse problema. E o Copilot não ignora esses arquivos: ele os trata como um contexto legítimo para quem está perguntando.
Uma revisão de permissões não precisa ser um projeto de seis meses. Comece com os dados mais críticos: contratos, registros financeiros, informações de RH, propriedade intelectual. Aplicar privilégio mínimo: cada usuário deve ter acesso apenas ao que sua função atual exige.
LGPD e Copilot: o que sua organização precisa verificar
O Microsoft 365, incluindo o Copilot, opera sob o Adendo de Processamento de Dados da Microsoft, que cobre tanto a LGPD quanto o GDPR. Mas vários pontos necessitam de atenção específica para as organizações que operam nos termos da LGPD.
- Limitação de finalidade: verificar se o seu aviso de privacidade cobre o uso de ferramentas de IA no tratamento de dados pessoais dos titulares
- Residência de dados: confirme no Centro de Administração do Microsoft 365 onde os dados de prompt e resposta do Copilot são armazenados e por quanto tempo
- Transferências internacionais: se dados pessoais de titulares brasileiros forem tratados fora do Brasil, garantir que existe um mecanismo de transferência internacional adequado em vigor conforme o Capítulo V da LGPD (Artigos 33 a 36)
- Treinamento de usuários: documentar que os funcionários foram instruídos a não inserir dados pessoais sobre clientes ou indivíduos nos prompts do Copilot
As organizações que já possuem políticas estruturadas de proteção de dados sob a LGPD geralmente precisam de ajustes direcionados, em vez de uma revisão completa para cobrir o Copilot. Quando o Copilot trata dados pessoais de forma automatizada, o Artigo 20 da LGPD prevê o direito de revisão de decisões automatizadas, e a ANPD pode exigir um Relatório de Impacto à Proteção de Dados Pessoais (RIPD) a qualquer momento nos termos do Artigo 38; nosso guia para Requisitos de DPIA/RIPD para IA abrange os critérios e o processo de avaliação. Para organizações com operações ou clientes na Europa, o Artigo 35 do GDPR impõe uma exigência equivalente de avaliação de impacto na proteção de dados (DPIA).
O que implementar antes de ativar o Copilot
Esta lista cobre o mínimo necessário para uma implantação responsável. O objetivo não é retardar a adoção: certifique-se de que a produtividade que o Copilot oferece não venha com exposição de dados que você não possa rastrear posteriormente.
Como é uma implementação bem executada
Uma empresa de serviços profissionais com 120 funcionários que apoiamos por meio da adoção do Copilot descobriu, durante sua auditoria de permissões, que 34% dos sites do SharePoint tinham pelo menos um usuário com acesso que não deveria mais ter. Três desses sites continham contratos com cláusulas de confidencialidade e informações sobre taxas de clientes.
A solução do problema levou três semanas. Sem a auditoria, esses dados teriam se tornado parte do contexto disponível para qualquer funcionário que perguntasse à Copilot sobre o trabalho do cliente.
Após o projeto de governança, a implementação do Copilot foi simples. Os usuários entenderam o que esperar, os documentos confidenciais foram rotulados e as permissões refletiram a realidade das funções atuais, em vez de seis anos de crescimento não revisado.
O Copilot não cria novos riscos do nada. Amplifica os riscos que você já corria, mas não conseguia medir.
Por onde começar
Se você ainda não tem uma data de ativação do Copilot, use bem esse tempo. Uma avaliação de prontidão de quatro semanas é suficiente para cobrir permissões, classificação de dados e uma política de uso aceitável, colocando você em posição de ativar o Copilot com confiança.
Se o Copilot já estiver ativo em seu ambiente, a primeira etapa é executar um relatório de acesso no Centro de Administração do SharePoint e ver quantos sites têm permissões abertas para "Todos" ou grupos amplos. Esse número dirá se você tem um problema urgente ou um projeto de manutenção.
A Cyvra ajuda organizações a estruturar a governança de IA antes e durante a adoção do Microsoft Copilot, cobrindo permissões, conformidade com a LGPD e política de uso aceitável. Nosso Guia de implementação do Copilot aborda as etapas de configuração e a sequência de implementação para novas implantações. Se você quiser conversar sobre o estado atual do seu ambiente, entre em contato com nossa equipe.
