Copilot e oversharing: revise as permissões antes de liberar a IA

Por que o Copilot expõe problemas de permissão que já existiam

O Microsoft 365 Copilot não cria acessos novos. Ele usa o Microsoft Graph e respeita as permissões que cada usuário já tem no SharePoint, no OneDrive, no Teams e no Exchange. Se a pessoa não consegue abrir um arquivo, o Copilot também não mostra esse arquivo para ela. O problema é que, na maioria das empresas, as pessoas conseguem abrir muito mais do que deveriam.

Antes da IA, esse excesso de acesso ficava escondido porque era difícil achar as coisas. Uma planilha de salários salva numa biblioteca aberta a toda a empresa podia passar anos sem que ninguém a notasse, porque ninguém sabia que ela existia nem onde procurar. Com o Copilot, basta pedir "mostre a remuneração da diretoria" ou "resuma as propostas comerciais do último trimestre": a ferramenta encontra, lê e organiza o conteúdo em segundos. É isso que o mercado chama de oversharing, ou compartilhamento excessivo. Ele já existia como risco escondido e, com a IA, passa a ser um risco real.

Por isso, antes de liberar licenças, a pergunta certa não é "o Copilot é seguro?", e sim "nossas permissões estão corretas?". A segurança da IA depende, em grande parte, da organização dos dados que a empresa já tem. Com os acessos em ordem, o Copilot aumenta a produtividade. Sem essa ordem, ele entrega informação sensível a quem não deveria vê-la, com rapidez e com um resumo bem escrito.

Onde o oversharing costuma se esconder no SharePoint e no OneDrive

O compartilhamento excessivo raramente nasce de má-fé. Ele se acumula aos poucos, em decisões práticas do dia a dia: um link enviado com pressa, um site criado para um projeto que já terminou, um convidado externo que nunca foi removido. Com os anos, essas pequenas exceções viram um mapa de acessos que ninguém consegue explicar por inteiro, nem mesmo a equipe de TI.

Nas revisões de ambientes Microsoft 365, alguns pontos aparecem com frequência:

• Grupo "Todos, exceto usuários externos" (Everyone except external users) adicionado a sites, bibliotecas ou pastas. Isso abre o conteúdo para toda a organização de uma só vez.
• Links "Qualquer pessoa" e "Pessoas na organização" criados no OneDrive e no SharePoint, muitas vezes sem data de validade e repassados por e-mail e chat.
• Equipes e Grupos do Microsoft 365 configurados como públicos: qualquer funcionário pode entrar e ler os arquivos da equipe no Teams.
• Herança de permissões quebrada em pastas e arquivos, o que cria exceções que não aparecem para quem olha só as permissões do site.
• Sites inativos ou sem dono, de projetos encerrados, que continuam acessíveis e cheios de documentos antigos que ninguém revisa.
• Convidados externos que mantiveram o acesso depois do fim do contrato, da auditoria ou do projeto.

O OneDrive merece atenção especial. Muitos usuários o tratam como pasta pessoal, mas compartilham pastas inteiras com links amplos para facilitar o trabalho em grupo. Cada pessoa que abre um desses links ganha acesso ao conteúdo e, a partir daí, o Copilot pode usar esse material nas respostas a ela. Uma pasta com relatórios financeiros compartilhada "só para agilizar" uma reunião pode continuar aberta por anos sem que o dono se lembre disso.

Como auditar as permissões antes de ativar o Copilot

Uma auditoria de permissões não precisa durar meses, mas precisa de método. O objetivo é responder a três perguntas: onde está o conteúdo sensível, quem consegue acessá-lo e se esse acesso faz sentido para o negócio. Um roteiro prático para chegar a essas respostas:

1. Fazer o inventário de sites, equipes e OneDrives: quantos sites existem, quem são os proprietários, quando houve a última atividade e quais guardam conteúdo crítico (financeiro, RH, jurídico, diretoria, dados de clientes).
2. Gerar relatórios de compartilhamento: encontrar sites com links "Qualquer pessoa", links para toda a organização e permissões dadas ao grupo "Todos, exceto usuários externos". Os relatórios de governança de acesso a dados (Data access governance) do SharePoint Advanced Management foram feitos para esse levantamento.
3. Priorizar pelo risco: começar pelos sites com dados pessoais protegidos pela LGPD, informações de salário, contratos e planejamento estratégico. Não é preciso corrigir tudo de uma vez. É preciso corrigir primeiro o que causaria mais dano se aparecesse numa resposta do Copilot.
4. Envolver os proprietários do conteúdo: o administrador de TI não sabe se o time comercial deve ver a pasta de comissões. As revisões de acesso de site pedem que o dono de cada site confirme ou remova permissões, com registro da decisão.
5. Corrigir e padronizar: remover grupos amplos, tornar privadas as equipes públicas quando fizer sentido, expirar links antigos, arquivar sites inativos e remover convidados que não precisam mais de acesso.
6. Ajustar as configurações padrão do tenant: mudar o tipo de link padrão para "Pessoas específicas", definir validade para links de convidados e limitar quem pode criar sites e equipes.

O último passo é o que impede o problema de voltar. Se os padrões do tenant não mudarem, a empresa limpa as permissões hoje e, em seis meses, volta a ter centenas de links abertos. Governança de acesso é uma rotina: vale repetir os relatórios de tempos em tempos e incluir a revisão de permissões nos processos de entrada e saída de colaboradores.

Ferramentas do Microsoft 365 para conter o excesso de acesso

A Microsoft reconheceu o problema e ampliou os recursos de governança para quem vai implantar o Copilot. Boa parte deles está no SharePoint Advanced Management, que a Microsoft passou a disponibilizar para quem tem licenças do Microsoft 365 Copilot. Os mais úteis numa preparação para a IA são:

• Restricted Content Discovery (descoberta restrita de conteúdo): tira um site do Copilot e da pesquisa da organização sem alterar as permissões. Serve para proteger sites sensíveis enquanto a revisão de acessos não termina.
• Restricted Access Control (controle de acesso restrito): limita o acesso a um site aos membros de um grupo definido, mesmo que existam links ou permissões herdadas que diriam o contrário.
• Políticas para sites inativos: avisam os proprietários de sites sem atividade e ajudam a arquivar ou remover o que não é mais usado.
• Revisões de acesso de site: passam ao dono do conteúdo a decisão sobre quem continua com acesso, sem sobrecarregar a TI.

No Microsoft Purview, o Data Security Posture Management for AI (DSPM para IA) faz avaliações de oversharing. Ele mostra quais sites concentram conteúdo sensível com acesso amplo e ajuda a acompanhar como os usuários usam o Copilot depois da liberação. Existe ainda a pesquisa restrita do SharePoint (Restricted SharePoint Search), que limita a pesquisa e o Copilot a uma lista de sites aprovados. Ela é uma medida provisória, útil para começar com segurança, mas não substitui a correção das permissões.

O Copilot não abre portas novas. Ele mostra, em segundos, tudo o que as permissões já permitiam. Corrigir o acesso é o pré-requisito da implantação, não um detalhe para depois.

Rótulos de confidencialidade e DLP: proteção que acompanha o arquivo

As permissões controlam quem entra no site. Os rótulos de confidencialidade (sensitivity labels) do Microsoft Purview controlam o que acontece com o arquivo, onde quer que ele esteja. Um documento com o rótulo "Confidencial" e criptografia só abre para quem o rótulo autoriza, e o Copilot respeita essa regra: para resumir ou citar o conteúdo, o usuário precisa ter os direitos de uso correspondentes, como visualizar e extrair. Além disso, quando o Copilot cria um conteúdo novo a partir de um arquivo rotulado, o novo documento herda o rótulo, e a classificação não se perde no caminho.

As políticas de DLP (prevenção contra perda de dados) completam essa proteção. No Purview, é possível criar políticas para o local "Microsoft 365 Copilot" que impedem a ferramenta de usar nas respostas os arquivos e e-mails com determinados rótulos. Assim, mesmo que um usuário tenha acesso a um documento "Altamente confidencial", o Copilot não usa esse conteúdo para gerar resumos ou respostas. Para diretoria, jurídico e RH, isso traz bastante tranquilidade.

O ponto de atenção é que rotular documentos exige planejamento. O ideal é ter poucas categorias, claras e fáceis de entender, treinar os usuários para aplicá-las e, quando o licenciamento permitir, usar a rotulagem automática com base em tipos de informação sensível, como CPF, dados bancários e informações de saúde. Um esquema com dez rótulos que ninguém entende protege menos do que um esquema com quatro rótulos usados de verdade.

Implantação em fases, com um parceiro de TI ao lado

O caminho mais seguro é tratar o Copilot como um projeto, e não como a simples liberação de licenças. Comece com um piloto: um grupo pequeno de usuários de áreas diferentes, com perguntas reais do dia a dia. Cada vez que a IA encontrar algo que não deveria, isso vira uma correção antes da expansão. Ao mesmo tempo, explique aos colaboradores como a ferramenta funciona, o que ela consegue ver e por que alguns conteúdos passaram a ter acesso restrito. Isso evita frustração e aumenta a adoção.

Antes de ampliar o uso para toda a empresa, vale confirmar alguns pontos:

• Sites críticos revisados e sem permissões amplas para toda a organização.
• Tipo de link padrão definido como "Pessoas específicas" e links antigos expirados.
• Rótulos de confidencialidade publicados e aplicados aos conteúdos mais sensíveis.
• Políticas de DLP para o Copilot ativas e testadas.
• Rotina de revisão de acessos definida, com responsáveis em cada área.

A Duk Informática & Cloud acompanha empresas nesse caminho há mais de 18 anos. Com mais de 550 clientes atendidos e atuação como Microsoft Gold Partner, nossa equipe faz o diagnóstico de permissões do SharePoint, do OneDrive e do Teams, configura rótulos de confidencialidade e políticas de DLP, ajusta os padrões de compartilhamento do tenant e conduz o piloto do Copilot com critérios claros de sucesso. O resultado é uma IA que acelera o trabalho do time sem transformar dados sensíveis em resposta para qualquer pergunta.

Se a sua empresa está avaliando o Microsoft 365 Copilot, ou já liberou licenças e quer saber o que a ferramenta pode estar encontrando, fale com a Duk. Revisar as permissões antes da ativação custa muito menos do que lidar com uma exposição de dados depois.