IA na empresa: as regras a pôr antes do ChatGPT e do Copilot

8 min de leitura · DataRoad

IA na empresa sem regras não é inovação — é uma fuga de dados à espera de acontecer. A resposta curta: antes de generalizar o ChatGPT ou de ligar o Copilot, defina que ferramentas são aprovadas, que dados nunca lá entram e quem pode ver o quê no Microsoft 365. São decisões de gestão, não de informática, e tomam-se numa reunião.

A IA já está a ser usada. A questão é como.

O relatório de violações de dados da Verizon de 2026 mediu o que acontece nos computadores das empresas: 45% dos trabalhadores já são utilizadores regulares de IA em equipamentos da empresa (eram 15% no ano anterior) e 67% acedem a estes serviços com contas que não são da empresa. A chamada “IA sombra” — ferramentas usadas sem aprovação — já é a terceira ação interna não maliciosa mais comum nos registos de fuga de dados.

Traduzido: proibir não resulta. Sem ferramenta aprovada e regras claras, as pessoas usam a conta pessoal e a empresa perde o controlo do que sai.

Risco 1: dados de clientes em ferramentas gratuitas

Nada disto é malicioso: a contabilidade cola um extrato para “resumir”, um comercial cola o email de um cliente, os recursos humanos pedem ajuda para reescrever uma avaliação de desempenho.

O problema está nos termos de utilização. A OpenAI, por exemplo, indica que nos serviços para particulares pode usar o conteúdo das conversas para treinar os modelos, salvo se o utilizador desativar essa opção. Nos planos empresariais e na API, a regra é a inversa: o conteúdo não é usado para treino por defeito. A diferença entre as duas situações é uma conta da empresa, gerida pela empresa.

Risco 2: o Copilot vê o que as suas permissões deixam ver

O Microsoft 365 Copilot não “invade” nada. A própria Microsoft explica que o Copilot só mostra dados da organização a que cada utilizador já tem, pelo menos, permissão de leitura. É aí que está o risco.

Nas auditorias que fazemos, é frequente encontrar partilhas antigas que ninguém reviu: a pasta da direção partilhada com “Todos”, um link “qualquer pessoa na organização” criado há três anos para um ficheiro de salários, um site de SharePoint de um projeto antigo aberto a toda a gente. Até hoje, ninguém dava por isso. Com o Copilot, basta perguntar “quais são os salários da equipa comercial?” — e a resposta vem, se as permissões o permitirem.

A ordem certa: primeiro rever permissões no SharePoint, OneDrive e Teams; depois ligar o Copilot a um grupo-piloto. É trabalho de configuração do Microsoft 365 para empresas, não uma compra nova.

As 5 regras numa página

Uma folha A4 para toda a equipa, assinada pela administração — não pela informática.

Estas regras encaixam naturalmente nas políticas internas de cibersegurança que qualquer empresa com mais de 10 pessoas devia ter por escrito.

Checklist antes de ligar o Copilot

• Autenticação multifator ativa em todas as contas.
• Contas de ex-colaboradores removidas e licenças recuperadas.
• Links de partilha “qualquer pessoa” revistos e, quando possível, desativados.
• Pastas de direção, recursos humanos e finanças com acesso restrito a quem precisa.
• Grupo-piloto definido (5 a 10 pessoas) e prazo para avaliar resultados.

AI Act em linguagem simples: o que já se aplica

O Regulamento Europeu da Inteligência Artificial (Regulamento (UE) 2024/1689) está em vigor desde 1 de agosto de 2024 e aplica-se por fases. Para uma PME que usa ChatGPT ou Copilot, o essencial é isto:

• Desde 2 de fevereiro de 2025 aplicam-se as práticas proibidas e o artigo 4.º, sobre literacia em IA: as empresas que usam sistemas de IA devem tomar medidas para que o seu pessoal tenha conhecimentos suficientes para os usar com critério.
• Em julho de 2026, o Regulamento (UE) 2026/1744 — o chamado “Omnibus Digital” sobre IA — adiou as regras para sistemas de risco elevado: 2 de dezembro de 2027 para sistemas autónomos e 2 de agosto de 2028 para os integrados em produtos. O dever de literacia manteve-se.
• “Risco elevado” abrange usos como recrutamento, biometria ou infraestruturas críticas — se usa IA para triar candidatos, fale com o seu advogado.

A DataRoad não presta aconselhamento jurídico: implementamos as medidas técnicas — contas, permissões, registos — e ajudamos a preparar a formação.

Um caso real: 200 postos em três escritórios, as mesmas regras

A Velv by OnRising, empresa de desenvolvimento de software com escritórios no Porto, em Lisboa e no Rio de Janeiro, tem cerca de 200 postos de trabalho em contrato IT Unlimited com a DataRoad. Os clientes internacionais representam 45% da carteira, e o contrato inclui a gestão da firewall, a segurança de rede e as políticas de proteção.

Numa empresa assim, a pergunta “que dados de clientes podem ir para uma ferramenta de IA?” não é teórica — e a resposta tem de ser igual nos três escritórios. As regras de IA não são um projeto à parte: entram nas políticas que já protegem a empresa e são aplicadas pela mesma equipa que gere contas, permissões e equipamentos.

O que fazer esta semana

Pergunte à equipa que ferramentas de IA usa, escolha uma ferramenta oficial com conta empresarial e peça uma revisão de permissões antes de qualquer piloto do Copilot. Se a autenticação multifator ainda não está resolvida, comece por aí: é o primeiro passo de Zero Trust para PME e protege-o com ou sem IA. A IA também está do lado de quem ataca: vale a pena treinar as equipas para phishing e deepfakes.

Perguntas frequentes

Devo proibir o ChatGPT na empresa?

Proibir sem alternativa empurra as pessoas para contas pessoais, onde a empresa não tem controlo. É mais seguro aprovar uma ferramenta com conta empresarial e definir que dados nunca lá entram.

O Copilot pode mostrar a um colaborador ficheiros que ele não devia ver?

O Copilot só mostra o que essa pessoa já tem permissão para ver. Se as permissões estiverem mal configuradas — pastas partilhadas com todos, links abertos antigos — o Copilot torna esse erro visível. Por isso, as permissões reveem-se antes de o ativar.

A obrigação de literacia em IA aplica-se a uma PME?

Sim. O artigo 4.º do AI Act aplica-se desde 2 de fevereiro de 2025 a quem usa sistemas de IA na atividade profissional, independentemente da dimensão. Uma formação curta, regras escritas e registo de presenças são um bom ponto de partida; para a leitura jurídica, consulte o seu advogado.

Preciso de licenças novas para usar IA com segurança?

Não necessariamente. Grande parte do trabalho é configuração do que a empresa já tem: autenticação multifator, revisão de permissões e contas empresariais nas ferramentas aprovadas. As licenças do Copilot só fazem sentido depois dessa base.

Regras de IA e permissões revistas em 10 dias úteis

Revemos as partilhas do seu Microsoft 365, mostramos o que o Copilot tornaria visível e entregamos a página de regras pronta a assinar. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico. A segurança está incluída nos planos IT Unlimited Premium, com cibersegurança gerida de ponta a ponta.

Fontes

• Verizon — 2026 Data Breach Investigations Report, Executive Summary
• Microsoft Learn — Dados, privacidade e segurança do Microsoft 365 Copilot
• OpenAI — How your data is used to improve model performance
• EUR-Lex — Regulamento (UE) 2024/1689 (Regulamento da Inteligência Artificial)
• EUR-Lex — Regulamento (UE) 2026/1744 (Omnibus Digital sobre IA)
• Comissão Europeia — Acordo para simplificar as regras de IA (novas datas para risco elevado)