Copilot e a Lei de IA da UE

By Mirko Peters · 2025-11-21 · Updated 2026-07-22

Entenda as responsabilidades relacionadas ao Copilot e à Lei de IA da UE, incluindo as obrigações de quem implanta a solução, governança, gestão de riscos, transparência e supervisão humana.

Automatically translated with AI from the original post. Read the English original

Você pode achar que "Compliant by Design" significa que pode relaxar. Mas essa ideia pode colocar seu grupo em risco. A Lei de IA da UE traz responsabilidades reais para você. O fornecedor não é o único responsável. Muitos líderes de TI e de compliance se preocupam com assistentes de IA. Eles acham que a IA pode mostrar dados para pessoas que não deveriam vê-los. O Microsoft Copilot 365 usa controles de acesso baseados em funções. Esses recursos ajudam, mas são apenas um começo. Pense em um usuário pedindo ao Copilot para resumir arquivos secretos. Você tem certeza de que suas configurações mantêm todos os dados protegidos?

Principais conclusões

• Conheça a escala de riscos da Lei de IA da UE. O seu caso de uso de IA define o seu nível de conformidade. O fornecedor não define isso por você.

• Use os recursos de conformidade do Copilot. Certifique-se de configurá-los da forma correta. As configurações padrão podem não seguir as regras da UE.

• Registre cada etapa ao usar IA. Manter bons registros ajuda você a demonstrar que segue as regras. Isso pode ajudar a evitar multas altas.

• Treine sua equipe em segurança e conformidade de IA. Todos devem saber o que fazer. Também devem conhecer as regras para o uso de ferramentas de IA.

• Revise e atualize seu plano de conformidade com frequência. Mantenha-se atualizado sobre novas regras. Isso ajuda você a continuar cumprindo a lei.

A escala de riscos da Lei de IA da UE explicada

Categorias de risco e casos de uso

Você precisa entender a escala de riscos da Lei de IA da UE antes de implantar qualquer ferramenta de IA. A lei classifica os sistemas de IA em quatro níveis de risco. Cada nível traz regras diferentes que você precisa seguir. Veja a seguir uma tabela simples que mostra como funciona a escala de riscos:

Suas obrigações aumentam à medida que você sobe na escala. Se você usa o Copilot ou o ChatGPT para tarefas simples, como redigir e-mails, você se enquadra na categoria de risco mínimo ou limitado. Se usa essas ferramentas para contratação, análise de crédito ou orientações de saúde, você entra em território de alto risco. Você precisa seguir mais regras e manter registros mais detalhados.

Por que o caso de uso importa mais do que o fornecedor

Você pode achar que o fornecedor ou o modelo define o seu risco. Isso não é verdade. A forma como você usa a IA define o seu nível de risco. Você deve desenvolver casos de uso claros e requisitos bem definidos. Precisa documentar qual problema quer resolver e verificar se a IA é a resposta certa. Também deve avaliar os riscos dos resultados e os controles de qualidade. Pergunte a si mesmo como vai usar os resultados da IA e o que poderia dar errado.

Veja alguns exemplos:

• Se você usa o Copilot para resumir atas de reunião, o risco é limitado.

• Se você usa o ChatGPT para ajudar a decidir quem recebe um empréstimo, o risco é alto.

• Se você cria sua própria IA para pontuação social, o risco é inaceitável.

Você deve focar no caso de uso, não apenas na marca ou no modelo. Os recursos de Compliant by Design ajudam, mas você ainda precisa enquadrar o uso da IA no nível de risco correto e seguir as regras.

Compliant by Design – a estrutura de conformidade do Copilot

Recursos integrados para conformidade

Ao usar o Copilot no Microsoft 365, você tem um bom ponto de partida. A plataforma oferece muitas ferramentas para ajudar a manter seus dados protegidos. Essas ferramentas funcionam em conjunto para ajudar você a seguir as regras. Veja as principais ferramentas na tabela abaixo:

Essas ferramentas ajudam o Copilot a seguir uma abordagem de Compliant by Design. Você recebe apoio para gerenciar dados, controlar quem pode vê-los e acompanhar o que acontece. Você não precisa construir tudo sozinho. Pode usar essas ferramentas como base para o seu plano de conformidade.

Dica: O Copilot não usa seus prompts nem suas respostas para treinar os modelos dele. Isso mantém seus dados privados e reduz o risco.

O que o implantador ainda precisa configurar

Você não pode simplesmente usar as configurações padrão. Precisa fazer ajustes para que o Copilot siga as regras do EU AI Act. O Compliant by Design ajuda você a começar, mas o trabalho precisa ser concluído por você. Os reguladores querem comprovação, não apenas promessas.

Veja a seguir as etapas para fortalecer sua conformidade:

1. Verifique e corrija as permissões no SharePoint, no OneDrive e no Teams antes de ativar o Copilot. Remova o acesso que as pessoas não precisam.

2. Aplique o princípio do menor privilégio. Revise as listas de grupos e as configurações de compartilhamento. Permita que as pessoas vejam apenas o que precisam.

3. Considere adquirir licenças E5 se você quiser uma proteção de dados melhor para usuários que lidam com dados pessoais.

4. Capacite seus usuários. Informe que o Copilot segue as regras de dados da sua organização. Garanta que todos saibam o que o Copilot pode e não pode fazer.

Você precisa configurar rótulos de confidencialidade do Purview e regras de DLP para o Copilot. Também precisa definir por quanto tempo os dados são mantidos e verificar os logs de auditoria. Você deve limitar a pesquisa no SharePoint para evitar o compartilhamento excessivo. É preciso documentar suas verificações de risco e manter registros do que foi feito.

Compliant by Design não significa que o trabalho está concluído. Você precisa demonstrar como usou essas ferramentas na sua própria configuração. Os reguladores querem ver comprovação. Você precisa mostrar que configurou, monitorou e documentou suas etapas de conformidade.

ChatGPT e Azure OpenAI – Bring Your Own Governance

Lacunas de conformidade do ChatGPT público

Usar o ChatGPT público é um grande desafio. O Copilot tem controles integrados, mas o ChatGPT não. Você precisa criar suas próprias regras e verificações de segurança. Muitas organizações aprenderam isso da maneira difícil.

Veja o caso do município de Tromsø. Funcionários usaram IA para redigir a maior parte de um relatório. Ninguém verificou se os fatos eram reais antes de compartilhá-lo. O relatório continha informações falsas. Esse erro prejudicou a reputação da instituição e causou problemas no trabalho. É fácil perder o controle quando não há regras sólidas.

Estes são alguns problemas comuns que você precisa corrigir:

• Não há registro automático de prompts ou respostas.

• Não há um recurso integrado para impedir a perda de dados nem para rotular dados sensíveis.

• Não há avisos nem rótulos para conteúdo gerado por IA.

• Não há verificação humana para resultados importantes.

• Não há uma forma clara de limitar o acesso ou controlar onde os dados são armazenados.

Você precisa resolver esses problemas por conta própria. O EU AI Act exige que você demonstre como trata os riscos, documente suas decisões e mantenha registros.

Azure OpenAI como meio-termo

O Azure OpenAI oferece mais controle do que o ChatGPT público. Você pode usar contas corporativas, definir quem pode utilizá-lo e acompanhar as atividades dos usuários. Você obtém registros melhores e pode manter os dados dentro da sua empresa. Essas ferramentas ajudam você a cumprir algumas regras do EU AI Act.

Mas você ainda tem a maior parte do trabalho. Você precisa:

1. Realizar Avaliações de Impacto na Proteção de Dados para cada forma de uso.

2. Manter Registros das Atividades de Tratamento.

3. Configurar regras para impedir a perda de dados e definir por quanto tempo os dados serão mantidos.

4. Verificar os logs e revisar os resultados.

5. Capacitar os usuários para usar a IA com segurança e seguir as regras.

O Azure OpenAI ajuda você a começar, mas o trabalho precisa ser concluído por você. Você precisa comprovar com registros claros e verificações. O EU AI Act não aceita promessas. Você precisa demonstrar o que fez.

Kit de sobrevivência do implantador para o EU AI Act

Você precisa de um plano simples para seguir as regras do EU AI Act. Este kit ajuda você a se organizar. Ele oferece etapas simples, ferramentas e dicas para Copilot, ChatGPT e Azure OpenAI. Use este kit para manter seu grupo seguro e mostrar aos reguladores que você leva a conformidade a sério.

Classificação de risco e documentação

Comece listando seus sistemas de IA e como você os utiliza. Você precisa saber onde a IA é usada e o que cada sistema faz. Siga estas etapas para classificar e documentar o risco:

1. Documente cada ferramenta e modelo de IA que sua empresa usa, desenvolve, importa ou comercializa na Europa.

2. Defina se sua empresa é fornecedora, implantadora, importadora ou distribuidora de cada sistema.

3. Verifique se o EU AI Act se aplica a cada sistema ou modelo.

4. Atribua a cada caso de uso de IA um nível de risco: inaceitável, alto, limitado ou mínimo.

5. Analise os contratos e verifique os detalhes dos serviços de IA.

6. Crie ou atualize seu plano de governança de IA para atender às regras da Lei.

7. Registre em notas quaisquer alterações que você fizer em sistemas ou modelos de IA.

Você precisa documentar cada etapa que realizar. Se não mantiver bons registros, pode levar multas altas.

Implantadores que não documentam o que fazem para a Lei de IA da UE podem ter sérios problemas, como multas de €7,5 milhões por não fornecer informações completas aos reguladores, mesmo que suas escolhas de risco estejam corretas.

Configurando Purview, DLP e acesso

Você precisa implementar controles robustos para manter seus dados seguros. Use o Purview, a Prevenção contra Perda de Dados (DLP) e os controles de acesso para atender às regras da Lei de IA da UE. A tabela abaixo mostra o que você precisa:

Agrupe suas regras de DLP para cobrir necessidades comuns. Certifique-se de que suas regras usem primeiro as ações mais rigorosas. Verifique com frequência os logs de auditoria e os relatórios de DLP para confirmar que as regras estão sendo seguidas.

Registro, transparência e supervisão humana

Você precisa acompanhar o uso de IA e manter tudo claro. Os reguladores querem ver como você controla e monitora seus sistemas. Use estas práticas recomendadas:

Adicione rótulos claros a tudo o que for produzido por IA. Use rodapés ou marcas d'água para indicar quando a IA ajudou a criar um arquivo ou mensagem. Exija que as pessoas revisem escolhas importantes, especialmente em casos como contratação ou análise de crédito.

Treinamento e políticas internas

Você precisa ensinar sua equipe a usar a IA com segurança. Crie regras sólidas e treinamento para todos. Garanta que todos os colaboradores conheçam suas funções e as regras.

• Ofereça treinamento de acordo com a função de cada pessoa, como usuários de negócios, administradores e equipe de conformidade.

• Compartilhe regras sobre quais usos de IA são permitidos e quais não são.

• Use prompts e configurações que ajudem na conformidade, como pedir ao Copilot que mostre as fontes ou inclua notas de revisão.

• Atualize suas regras conforme a Lei de IA da UE evoluir.

Você pode usar as ferramentas integradas para ajudar os usuários a aprender suas funções. Disponibilize guias que expliquem a diferença entre modelos de IA de uso geral e sistemas. Ofereça kits iniciais com modelos e listas de verificação para apoiar a conformidade.

Plano de ação de 30/60/90 dias e comunicação interna

Você precisa de um cronograma para concluir seu trabalho de conformidade. Aqui está um plano de ação simples:

Primeiros 30 dias:

• Liste todos os sistemas de IA e casos de uso.

• Atribua funções e níveis de risco.

• Comece a documentar o DPIA e o RoPA.

Próximos 60 dias:

• Configure o Purview, o DLP e os controles de acesso.

• Ative a auditoria e o monitoramento.

• Inicie o treinamento das principais equipes.

Últimos 90 dias:

• Revise e atualize as regras.

• Teste as verificações humanas e os rótulos claros.

• Prepare as evidências para os reguladores.

Compartilhe esta mensagem com sua equipe:

Estamos usando ferramentas de IA com um plano de Conformidade por Design. Todos devem seguir nossas novas regras e treinamentos. Vamos acompanhar, verificar e registrar cada etapa para atender às regras da Lei de IA da UE.

Use este kit para construir um plano de conformidade sólido. Você vai manter seu grupo seguro e ajudar todos a usar a IA da forma correta.

Não basta confiar em “conformidade por design”. Você precisa comprovar que segue as regras. A Lei de IA da UE atribui responsabilidades claras. Se não cumprir as regras, pode levar multas altas. As multas podem chegar a €15 milhões ou 3% do faturamento total da sua empresa.

A governança de IA é importante. Você precisa acompanhar como usa a IA. Precisa de alguém responsável e de etapas que possam ser repetidas. Revise suas ferramentas de IA com frequência. Configure suas ferramentas de conformidade e documente tudo o que você faz. Use as regras para ajudar as pessoas a confiar na sua empresa e manter a IA segura.

Perguntas frequentes

O que significa “compliant by design” para o Copilot?

“Compliant by design” significa que o Copilot inclui ferramentas nativas para ajudar você a atender às regras. Você ainda precisa configurar, verificar e comprovar a sua conformidade. Não dá para depender apenas dos recursos do fornecedor.

Preciso realizar um DPIA para o Copilot ou o ChatGPT?

Sim. Você precisa realizar uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) para cada caso de uso de IA. Isso ajuda a identificar riscos e a mostrar aos reguladores que você leva a privacidade a sério.

Como comprovar a conformidade com o EU AI Act?

Você precisa manter registros, configurar controles e apresentar logs. Os reguladores querem ver provas, não apenas promessas. Use logs de auditoria, documentos de risco e registros de treinamento como evidências.

Posso usar o ChatGPT público para tarefas de alto risco?

Não. O ChatGPT público não tem controles nativos para tarefas de alto risco. Você precisa adicionar as suas próprias verificações de segurança. Para usos sensíveis, escolha ferramentas com recursos robustos de conformidade.

Qual é o maior erro cometido por quem implanta a IA?

Muitos acreditam que apenas as ferramentas do fornecedor já os tornam compliant. Você precisa configurar, monitorar e documentar tudo. Provas sempre superam promessas.

Você também deveria ouvir

Se você está estudando EU AI Act e Microsoft Copilot, estes episódios trazem contexto prático sobre implementação, arquitetura, segurança e governança:

• Governança do Microsoft Teams – A Ilusão de Controle — Veja como decisões de responsabilidade, política e ciclo de vida moldam operações confiáveis do Microsoft 365.
• Microsoft AI Agent Harness – Explicado de Forma Simples — Entenda orquestração, guardrails, avaliação e observabilidade para fluxos de trabalho habilitados por IA.
• Azure AI Foundry – Explicado de Forma Simples — Saiba como soluções de IA empresariais são construídas, avaliadas, implantadas e governadas.
• Microsoft Defender XDR – Explicado de Forma Simples — Conecte as decisões de implementação com visibilidade de segurança, investigação e resposta.