O problema que ninguém menciona na demonstração de vendas
Quando a Microsoft demonstra o Copilot, a demonstração é impressionante: peça um resumo de cada reunião desta semana, o Copilot entrega. Peça uma minuta de proposta baseada em contratos anteriores, ela também entrega. O que a demonstração não mostra é o que acontece quando o seu ambiente Microsoft 365 nunca passou por uma revisão de permissões.
O Copilot não tem acesso próprio. Ele usa as permissões do usuário conectado. Se Sarah, do setor financeiro, ainda tiver acesso a uma pasta de RH que deveria ter sido removida em 2021, o Copiloto de Sarah incluirá dados de RH nas respostas sobre os custos do projeto. Se um site do SharePoint de um projeto concluído ainda estiver aberto para toda a empresa, qualquer funcionário poderá pedir ao Copilot para resumir esses arquivos.
Esse é o risco central do Copilot: não é um bug, é um espelho. Reflete o estado exato de suas permissões.
A Microsoft está incorporando progressivamente o Copilot nos planos Microsoft 365 Business e Enterprise. Muitas organizações obterão acesso sem tê-lo solicitado ativamente. Se você ainda não preparou seu ambiente, o Copilot já pode estar disponível para seus usuários hoje.
Os quatro riscos reais
A governança do copiloto não é burocracia. É a diferença entre uma ferramenta de produtividade e um vetor interno de vazamento de dados. Estes são os quatro riscos que vemos com mais frequência antes das implementações.
Permissões excessivas: o problema que você quase certamente já tem
A Microsoft tem um nome para a situação mais comum que encontra antes das implantações do Copilot: compartilhamento excessivo estrutural. Acontece quando um ambiente acumula anos de decisões de permissão tomadas por conveniência. Alguém precisou de acesso a uma pasta por uma semana, o acesso foi concedido, nunca revogado. Um projeto terminou, o site do SharePoint permaneceu aberto. Um funcionário saiu, mas o canal do Teams em que ele estava ainda existe com os documentos originais intactos.
Em organizações com mais de três anos de uso do Microsoft 365, é raro encontrar um ambiente sem esse problema. E o Copilot não ignora esses arquivos: ele os trata como um contexto legítimo para quem está perguntando.
Uma revisão de permissões não precisa ser um projeto de seis meses. Comece com os dados mais críticos: contratos, registros financeiros, informações de RH, propriedade intelectual. Aplicar privilégio mínimo: cada usuário deve ter acesso apenas ao que sua função atual exige.
GDPR e Copilot: o que sua organização precisa verificar
O Microsoft 365, incluindo o Copilot, opera sob o Adendo de Processamento de Dados da Microsoft, que está alinhado com o GDPR. Mas vários pontos necessitam de atenção específica para as organizações que operam ao abrigo da legislação de protecção de dados da UE.
- Limitação de finalidade: verificar se o seu aviso de privacidade cobre o uso de ferramentas de IA no processamento de dados pessoais dos titulares dos seus dados
- Residência de dados: confirme no Centro de Administração do Microsoft 365 onde os dados de prompt e resposta do Copilot são armazenados e por quanto tempo
- Transferências internacionais: se os dados pessoais dos titulares de dados da UE forem processados fora do EEE, garantir que existe um mecanismo de transferência adequado em vigor
- Treinamento de usuários: documentar que os funcionários foram instruídos a não inserir dados pessoais sobre clientes ou indivíduos nos prompts do Copilot
As organizações que já possuem políticas estruturadas de proteção de dados sob o GDPR geralmente precisam de ajustes direcionados, em vez de uma revisão completa para cobrir o Copilot. Quando o Copilot processa dados pessoais de forma automatizada, o artigo 35.º exige uma avaliação de impacto na proteção de dados; nosso guia para Requisitos de AI DPIA abrange os critérios e o processo de avaliação.
What to implement before enabling Copilot
Esta lista cobre o mínimo necessário para uma implantação responsável. O objetivo não é retardar a adoção: certifique-se de que a produtividade que o Copilot oferece não venha com exposição de dados que você não possa rastrear posteriormente.
Como é uma implementação bem executada
Uma empresa de serviços profissionais com 120 funcionários que apoiamos por meio da adoção do Copilot descobriu, durante sua auditoria de permissões, que 34% dos sites do SharePoint tinham pelo menos um usuário com acesso que não deveria mais ter. Três desses sites continham contratos com cláusulas de confidencialidade e informações sobre taxas de clientes.
A solução do problema levou três semanas. Sem a auditoria, esses dados teriam se tornado parte do contexto disponível para qualquer funcionário que perguntasse à Copilot sobre o trabalho do cliente.
Após o projeto de governança, a implementação do Copilot foi simples. Os usuários entenderam o que esperar, os documentos confidenciais foram rotulados e as permissões refletiram a realidade das funções atuais, em vez de seis anos de crescimento não revisado.
O Copilot não cria novos riscos do nada. Amplifica os riscos que você já corria, mas não conseguia medir.
Por onde começar
Se você ainda não tem uma data de ativação do Copilot, use bem esse tempo. Uma avaliação de prontidão de quatro semanas é suficiente para cobrir permissões, classificação de dados e uma política de uso aceitável, colocando você em posição de ativar o Copilot com confiança.
Se o Copilot já estiver ativo em seu ambiente, a primeira etapa é executar um relatório de acesso no Centro de Administração do SharePoint e ver quantos sites têm permissões abertas para "Todos" ou grupos amplos. Esse número dirá se você tem um problema urgente ou um projeto de manutenção.
Cyvra helps organisations structure AI governance before and during Microsoft Copilot adoption, covering permissions, GDPR, and acceptable use policy. Our Guia de implementação do copiloto aborda as etapas de configuração e a sequência de implementação para novas implantações. Se você quiser conversar sobre o estado atual do seu ambiente, entre em contato com nossa equipe.
