Riscos de segurança do Microsoft 365 Copilot: o que você precisa saber

By Mirko Peters · 2026-03-21 · Updated 2026-03-24

Conheça a segurança do Microsoft Copilot: identifique e mitigue riscos para dados sensíveis no Microsoft 365. Veja as melhores práticas de IA para os riscos de segurança do Copilot.

Automatically translated with AI from the original post. Read the English original

Titelbild: Microsoft 365 Copilot Security Risks: What You Need to Know

O Microsoft 365 Copilot chegou às organizações prometendo grandes ganhos de produtividade, mas não vamos fingir que ele não levanta preocupações reais de segurança. Como o Copilot combina IA com os seus dados na nuvem, surgem novos riscos que as equipes de TI e os líderes de negócio não podem ignorar. Seja um dado sensível vazando nas respostas da IA, reguladores de olho em você ou o shadow IT fora de controle, entender esses perigos é a prioridade número um. Neste guia, você vai encontrar insights práticos sobre as principais ameaças que o Copilot introduz, a importância de uma governança sólida e de controles de dados, e violações reais que nos obrigam a repensar os velhos playbooks de segurança. Vamos detalhar estratégias para conformidade, treinamento dos usuários e salvaguardas específicas de cada setor, para que você possa aproveitar o poder do Copilot com confiança, sem as armadilhas. Vamos ao que realmente importa para manter os seus ambientes do Copilot seguros e em conformidade.

8 fatos surpreendentes sobre riscos de segurança do Microsoft 365 Copilot

A residência dos dados pode ficar nebulosa: embora o Microsoft 365 Copilot respeite os limites de dados do locatário, o processamento pode envolver endpoints globais de serviços de IA, criando riscos inesperados de processamento transfronteiriço para dados regulamentados.
Prompts podem vazar contexto sensível: os prompts em linguagem natural dos usuários podem incluir frases confidenciais ou dados que acabam incorporados ao contexto do modelo, aumentando a chance de divulgação acidental caso os prompts sejam armazenados ou registrados em log.
Conectores de terceiros ampliam a superfície de ataque: o Copilot se integra a diversos aplicativos e conectores; um conector comprometido pode expor dados agregados do Microsoft 365 além dos limites padrão.
Alucinações do modelo podem gerar saídas falsas com aparência de autoridade: o Copilot pode gerar conteúdo plausível, porém incorreto (alucinações), que aparenta vir de documentos internos, induzindo usuários ao erro e causando deslizes de conformidade ou de segurança.
Controles de acesso granulares continuam complexos: ACLs tradicionais e rótulos não se traduzem automaticamente para os contextos de uso de IA; assim, dados classificados como confidenciais ainda podem influenciar as saídas do Copilot, a menos que políticas e mecanismos de aplicação sejam configurados especificamente.
Telemetria e logs podem revelar mais do que o pretendido: os dados de diagnóstico, de uso e de telemetria coletados para a solução de problemas do Copilot podem conter metadados que ajudam invasores a mapear o comportamento dos usuários, contas privilegiadas ou alvos de alto valor.
Riscos da cadeia de suprimentos e de atualizações de modelos: atualizações frequentes dos modelos subjacentes ou de componentes de terceiros podem introduzir novas vulnerabilidades ou mudar a forma como os dados são usados; corrigir comportamentos de IA não é o mesmo que aplicar patches em software.
O risco interno é amplificado pela automação: o Copilot pode acelerar a agregação e a sumarização de dados, o que significa que um insider com acesso legítimo pode usar o Copilot para compilar rapidamente conjuntos de dados sensíveis que seriam mais difíceis de criar manualmente.

Entendendo os riscos de segurança do Microsoft 365 Copilot

Ao olhar para o Microsoft 365 Copilot, você vê uma ferramenta que consegue acessar os dados da sua organização — o conteúdo de e-mails, documentos, chats e muito mais — e usar IA para entregar respostas, automatizar processos e até gerar conteúdo novo. Isso é poderoso, mas esse poder tem um preço. Os próprios recursos que tornam o Copilot atraente também introduzem riscos de segurança exclusivos, que você simplesmente não encontra em ferramentas tradicionais de colaboração.

O desafio não está apenas nas vulnerabilidades técnicas, embora elas certamente existam. Está também em como o Copilot consome, transforma e, às vezes, compartilha informações que nunca deveriam sair dos seus limites digitais. Há o risco de dados sensíveis escaparem pelas frestas, ataques de engenharia de prompts comprometendo o contexto, ou reguladores apontando um ambiente que, de repente, está fora de conformidade. Até comportamentos rotineiros dos usuários e configurações de permissões podem abrir enormes pontos cegos se não forem gerenciados com um olhar renovado.

Nas próximas seções, vamos analisar com atenção o que torna o Copilot arriscado: desde ameaças técnicas centrais, como vazamento de dados e injeção de prompt, até problemas de conformidade e os riscos cibernéticos específicos que surgem quando assistentes com IA são liberados no ambiente corporativo. O objetivo? Ajudar você a enxergar o panorama completo e entender a urgência de organizar a segurança e a governança do Copilot. Vamos detalhar cada uma dessas áreas para que você saiba o que está em jogo e por onde começar a fortalecer suas defesas.

Principais ameaças à segurança: vazamento de dados, injeção de prompt e inversão de modelo

Vazamento de dados: o Copilot pode expor informações confidenciais sem querer, pois busca dados em e-mails, chats e arquivos para gerar respostas. Diferentemente de aplicativos convencionais, as saídas do Copilot, que levam em conta o contexto, frequentemente misturam informações de fontes diferentes, o que aumenta as chances de vazamentos acidentais. Especialmente em cenários nos quais os derivados (como os resultados de notebooks) não têm rótulos de confidencialidade adequados, você pode acabar com um data lake paralelo de conteúdo sem governança. Os controles padrão raramente rastreiam para onde esses dados gerados por IA vão em seguida, o que torna a contenção complicada.
Ataques de injeção de prompt: invasores (ou até usuários descuidados) podem criar prompts projetados para alterar o raciocínio do Copilot ou induzi-lo a revelar informações que não deveria. Essas vulnerabilidades, conhecidas como "injeção de prompt", são especialmente difíceis de identificar de antemão e, diferentemente do phishing comum, operam dentro da interface confiável do Copilot. Quando o Copilot funciona com permissões amplas, muitas vezes com níveis de acesso que imitam ou excedem os direitos reais do usuário, esses ataques podem contornar os DLP tradicionais e os limites de acesso.
Inversão de modelo: com consultas engenhosas o suficiente, invasores podem reconstruir dados sensíveis usados para treinar os modelos subjacentes do Copilot. Isso significa que informações que você considerava disponíveis apenas internamente, como dados de clientes, segredos comerciais e dados regulamentados, podem ser reconstituídas. Controles de TI padrão ou regras de DLP raramente antecipam esse risco, e é fácil desenvolver uma falsa sensação de segurança com políticas legadas.

Ameaças específicas do Copilot como essas exigem uma nova forma de pensar e controles mais rigorosos, desde o monitoramento em tempo de execução até a rotulagem padrão das saídas de IA e uma governança realmente sensível ao contexto. Ignorar esses riscos deixa a porta escancarada para novas formas de shadow IT e perda de dados que nem sequer aparecerão nos registros de auditoria tradicionais.

Desafios de conformidade e riscos regulatórios com o Copilot

Processamento de dados regulamentados por IA: o Copilot pode processar ou gerar conteúdo com base em dados regulamentados (como PHI, PII e registros financeiros) sem distinguir informações confidenciais de públicas. Se os rótulos de confidencialidade não forem herdados ou se as saídas de IA não forem governadas, você pode rapidamente infringir HIPAA, GDPR ou FISMA. Uma governança de IA adequada implica implementar controles para estender a rotulagem e as políticas de DLP a todo conteúdo derivado de IA, como ilustrado neste guia de governança.
Residência e transferência de dados: os modelos de IA por trás do Copilot podem operar além de fronteiras regionais, o que levanta questões de residência ou soberania de dados. Você precisará de estratégias para verificar se o Copilot interage apenas com dados armazenados em jurisdições compatíveis e se o conteúdo gerado por IA não é transferido, de forma não intencional, para fora dessas fronteiras.
Auditabilidade e monitoramento: a combinação de fontes de dados feita pelo Copilot pode dificultar a manutenção de registros prontos para auditoria. Recursos como salvamento automático, coautoria e edição colaborativa podem compactar o histórico de versões, ocultando o rastro completo dos dados e limitando a eficácia da política de retenção. A governança precisa ir além dos painéis estáticos e avançar para o monitoramento ativo do comportamento dos usuários e da permanência do conteúdo gerado por IA.
Escrutínio regulatório e riscos no setor financeiro: Em setores com supervisão regulatória mais rigorosa, a capacidade do Copilot de acessar, processar e até sugerir ações envolvendo dados financeiros ou de saúde sensíveis pode aumentar o risco de violações de conformidade. Os órgãos reguladores esperam registros claros de acesso, uso e transformação dos dados, algo que o Copilot pode complicar se o registro em log e os relatórios adequados não estiverem implementados.

A mensagem? O Copilot transforma não apenas os riscos de segurança, mas também a forma como as equipes de conformidade precisam abordar a rotulagem, o monitoramento e a resposta a possíveis violações.

Explorando riscos cibernéticos exclusivos dos assistentes baseados em IA

Diferentemente dos aplicativos tradicionais do Microsoft 365, assistentes baseados em IA como o Copilot introduzem novos riscos cibernéticos simplesmente pela forma como operam. Como o Copilot ingere e sintetiza grandes volumes de dados organizacionais, ele se torna suscetível a manipulação, seja por prompts adversariais elaborados para extrair informações confidenciais, seja por tentativas de "envenenar" as respostas para engenharia social. A capacidade do assistente de trabalhar em diferentes conjuntos de dados cria novas superfícies de ataque, expondo o contexto de toda a organização com uma única consulta.

O Copilot também pode atuar como um novo tipo de risco de Shadow IT, em que agentes de IA autônomos podem acessar e agir sobre dados sensíveis sem uma governança efetiva ou visibilidade clara. Isso exige salvaguardas que vão além dos controles básicos de aplicativos, com monitoramento de contexto em tempo real e políticas do Purview aplicadas de forma obrigatória para manter a propriedade e a conformidade das cargas de trabalho baseadas em IA.

Estratégias de proteção de dados e governança para a segurança do Copilot

Ao implantar o Copilot, você está colocando uma porta de entrada de IA sobre os mesmos dados que sustentam toda a sua empresa. Por isso, estratégias robustas de proteção de dados e governança não são opcionais: são a sua primeira linha de defesa. A forma única como o Copilot busca, sintetiza e reutiliza dados significa que você precisará de playbooks atualizados para rotulagem, controle de acesso e automação de políticas.

Esta seção é o seu roteiro para manter as informações sensíveis protegidas à medida que o Copilot entra em cena. Veremos métodos práticos para classificar dados com rótulos de confidencialidade, projetar estruturas de governança que levem especificamente em conta os fluxos de trabalho do Copilot e adotar modelos de permissões rigorosos para evitar a exposição excessiva. Ao longo do caminho, você verá por que automatizar esses controles, e revisá-los regularmente, é crucial para lidar com a velocidade e a complexidade do Copilot.

Ao repensar como você seleciona, configura e automatiza os controles do Microsoft 365, você reduz não apenas as superfícies de ataque, mas também a sua dívida de conformidade. Essas estratégias preparam o terreno para o uso seguro e auditável do Copilot em escala, antes que dados arriscados saiam da sua organização de maneiras que você nunca pretendeu.

Usando rótulos de confidencialidade para evitar vazamentos de dados no Copilot

Defina rótulos de confidencialidade alinhados aos seus dados de negócio: Comece mapeando quais categorias de dados — confidencial, somente interno, público — existem no seu ambiente do Microsoft 365. Crie rótulos de confidencialidade que correspondam a cada nível para que o Copilot consiga diferenciar informações privilegiadas do restante.
Aplique rotulagem obrigatória em conteúdo compartilhado e gerado por IA: Exija a rotulagem obrigatória de confidencialidade sempre que documentos ou e-mails forem criados, editados ou compartilhados por meio do Copilot. Os resultados de IA, especialmente os que geram trabalhos derivados (como os Blocos de Anotações), precisam de regras de rotulagem padrão e revisões periódicas de conformidade (detalhes aqui).
Integre os rótulos de confidencialidade à Prevenção contra Perda de Dados (DLP): Sincronize o seu sistema de rotulagem de confidencialidade com as regras de DLP para impedir que dados rotulados como "confidencial" saiam dos limites gerenciados. Aqui está um guia prático sobre como alinhar DLP e rotulagem para um melhor controle do Copilot.
Monitore e audite continuamente a aplicação de rótulos: Configure o monitoramento, usando o Purview ou ferramentas semelhantes, para auditar quem está aplicando, editando ou contornando os rótulos. Automatize os relatórios para identificar rotulagens incorretas ou políticas ignoradas antes que se transformem em violações de dados.
Treine o Teams sobre a política de rótulos e os riscos: Aplicar rótulos não basta. Usuários finais e administradores precisam de treinamento direcionado para reconhecer dados confidenciais e nunca remover, substituir ou ignorar rótulos, por mais “inofensiva” que uma solicitação do Copilot pareça. Rótulos não aplicados abrem brechas para vazamentos acidentais, shadow IT e dores de cabeça com conformidade.

Para saber mais sobre como ajustar seu DLP e os controles do ambiente para equilibrar inovação e segurança, vale ouvir este episódio sobre estratégia de DLP.

Melhores práticas de governança de dados para implantações do Copilot

Estabeleça funções de responsabilidade pelos dados: Atribua responsáveis nomeados pelos dados gerenciados pelo Copilot. Eles supervisionam o ciclo de vida dos dados, a conformidade com as políticas e as avaliações de risco (saiba mais aqui).
Automatize o gerenciamento do ciclo de vida: Desenvolva processos para arquivamento, retenção e descarte seguro tanto dos dados dos usuários quanto do conteúdo gerado por IA.
Implemente políticas de governança específicas do Copilot: Estenda as políticas de permissão, rotulagem e monitoramento para cobrir os fluxos de trabalho e os resultados do Copilot (veja os passos práticos).
Mantenha trilhas de auditoria completas: Garanta que todos os acessos ao Copilot e todas as ações sobre os dados sejam registrados para fins de conformidade e investigação forense.

Como evitar permissões excessivas em ambientes com Copilot

Audite todas as permissões de usuários e convidados: Revise quem tem acesso ao Copilot e às fontes de dados subjacentes, incluindo contas de convidados inativas (estratégias comprovadas).
Aplique o princípio do privilégio mínimo: Atribua apenas o acesso necessário em cada função, nem mais, nem menos. Isso vale ainda mais para o Copilot, que pode amplificar configurações arriscadas.
Limite no tempo as permissões especiais: Defina prazo de expiração para acessos temporários ou baseados em projetos e remova os direitos desnecessários conforme o trabalho for sendo concluído.
Use o Acesso Condicional para aplicar as regras: Implemente políticas de Acesso Condicional abrangentes, monitoradas e com exceções mínimas, conforme detalhado neste guia.
Revise continuamente e remova acessos órfãos: Faça revisões regulares e automatizadas para identificar e limpar permissões excessivas ou inadequadas antes que se tornem problemas de conformidade ou de violação de segurança.

Modelos de controle de acesso que reduzem os riscos de TI do Copilot

Controle de acesso baseado em funções (RBAC): Atribua permissões por função, e não por usuário individual, para garantir consistência e auditabilidade. O RBAC ajuda a evitar o acúmulo indevido de privilégios conforme equipes e responsabilidades mudam (métodos de treinamento).
Controle de acesso baseado em atributos (ABAC): Use acesso dinâmico e baseado em contexto, com base em atributos do usuário (como departamento ou projeto), permitindo controles mais granulares à medida que o Copilot automatiza fluxos de trabalho.
Controle de acesso baseado em políticas: Estruture as decisões de acesso com políticas explícitas vinculadas à sensibilidade dos dados, ao perfil de risco do usuário e às necessidades operacionais. Esse modelo é adaptativo e ajuda a evitar escaladas de permissão imprevisíveis (explicado aqui).

Incidentes reais e vulnerabilidades de segurança no Copilot

Por mais sólidos que os seus controles de segurança pareçam no papel, ataques e incidentes reais sempre encontram novas falhas, especialmente quando você introduz algo tão disruptivo quanto o Copilot. Analisar incidentes documentados e vulnerabilidades conhecidas é essencial se você quiser evitar repetir os erros de outras organizações.

Nesta seção, vamos percorrer exemplos baseados em evidências que mostram como ambientes habilitados para o Copilot foram vítimas de violações, uso indevido e exposições inesperadas de dados. Você verá não apenas onde as coisas deram errado, mas também quais padrões os atacantes utilizam e onde lacunas operacionais permitiram que as ameaças passassem. Seja um prompt com excesso de compartilhamento ou uma permissão mal configurada, essas histórias evidenciam as realidades práticas que o Copilot traz para o seu ambiente.

Ao aprender diretamente com o que já deu errado em outros lugares, você se coloca em melhor posição para fechar essas lacunas e proteger seu ambiente de forma proativa, antes de se tornar o próximo caso de alerta.

Análise de incidentes reais que afetaram a segurança do Copilot

Phishing de consentimento e abuso de OAuth: Uma violação real no Microsoft 365 envolveu invasores enviando solicitações de consentimento de aplicativos maliciosos aos usuários. Depois de aceitos, esses aplicativos podiam acessar, e, no contexto do Copilot, repassar dados sensíveis mesmo após alterações de senha ou aplicação de MFA. Esta análise explica como o roubo de tokens e o abuso de OAuth contornam as defesas tradicionais.
Fragmentação da governança levando à exposição de dados: Um ambiente gerenciado por várias equipes, com políticas do Copilot inconsistentes, tornou-se um ponto crítico de atividade de IA não autorizada (shadow AI). Sem uma governança unificada, a deriva de identidades e a proliferação descontrolada de recursos de colaboração ampliaram o risco de vazamento de dados e falhas em automações (mais detalhes).
Conteúdo gerado por IA sem rótulos criando lacunas de auditoria: Algumas organizações aprenderam da pior forma que os resultados do Copilot eram armazenados ou compartilhados sem rótulos de classificação, tornando discussões sensíveis visíveis para usuários sem a autorização adequada e quebrando as trilhas de auditoria. A remediação consumiu muito tempo e causou muita disrupção.
Privilégios elevados em fluxos de automação: Fluxos do Power Automate vinculados ao Copilot concederam, sem querer, privilégios excessivos a determinados usuários, permitindo que orquestrassem movimentações de dados que violavam a política da empresa. Agentes de ameaça exploraram esses fluxos encadeando ações de baixo privilégio, resultando em exfiltração de dados.

Essas cadeias de ataque reais demonstram que o Copilot pode amplificar pontos fracos entre identidade, automação e silos de política, deixando as equipes de segurança com dificuldade para reconstruir o que aconteceu depois.

Vulnerabilidades de segurança comuns identificadas no Copilot

Falhas de injeção de prompt: Invasores usam prompts manipulados para forçar o Copilot a revelar dados restritos ou a executar ações não pretendidas.
Exposição excessiva de dados: As permissões padrão do Copilot podem conceder acesso a conteúdo sensível que usuários ou agentes de IA nunca deveriam ver.
Registros e trilhas de auditoria insuficientes: Muitas organizações não registram as ações do Copilot em nível granular, deixando lacunas para a investigação de incidentes.
Governança fraca sobre agentes de IA: O Copilot e ferramentas semelhantes podem agir de forma autônoma, facilitando que os dados fluam sem controle se você não tiver controles em múltiplas camadas.

Principais lições aprendidas com falhas de segurança do Copilot

Priorize a aplicação de políticas em tempo real: Falhas de segurança costumam acontecer porque os controles existem apenas no papel, e não nas camadas ativas e monitoradas de aplicação. Você precisa de políticas que operem em tempo real em cada ponto de acesso e automação (veja as estratégias detalhadas).
Incorpore responsabilidade pelo ciclo de vida e pela propriedade: Não confie em controles estáticos do tipo "configure e esqueça"; atribua a propriedade de dados e automações com pontos de revisão integrados para identificar desvios e permissões órfãs.
Fortaleça a gestão de identidades e automações: IA e automação amplificam inconsistências humanas, transformando permissões mal configuradas em vetores de risco críticos. Trate os fluxos de IA como qualquer outro processo privilegiado, com verificações regulares (soluções práticas).
Eduque todos os usuários, não apenas a TI: Violações de segurança frequentemente decorrem de prompts mal compreendidos, compartilhamento não intencional de dados e feedback confuso do Copilot. Bons resultados dependem de treinamento e compreensão amplos entre os usuários.

Melhores práticas para proteger o Microsoft 365 Copilot

Proteger o Copilot não é um trabalho do tipo "configure e esqueça". O Copilot traz recursos dinâmicos de IA que, por design, exigem atenção contínua, por meio de monitoramento, governança e automação de processos. Ter sucesso significa combinar ferramentas, políticas e fluxos de trabalho centrados em pessoas, para que o risco não passe despercebido à medida que a plataforma evolui.

Esta seção apresenta as práticas recomendadas mais eficazes e testadas em campo para a segurança do Copilot. Da implantação de detecção de ameaças e monitoramento de conformidade de ponta à automação da governança e ao estabelecimento do gerenciamento do ciclo de vida, você verá como manter uma vigilância constante sobre o seu ambiente. O Copilot funciona bem quando segurança e responsabilização fazem parte da rotina diária, e não de uma lista de verificação trimestral.

Com detecção consistente, supervisão clara e governança adaptável, as organizações podem aproveitar o poder do Copilot com confiança e continuar um passo à frente das ameaças novas e emergentes.

Implantando soluções de monitoramento para detecção de ameaças no Copilot

Ative o registro de auditoria do Microsoft Purview: ligue os logs de auditoria avançados do Purview para monitoramento em todo o locatário. Isso permite rastrear cada acesso e ação do Copilot com nível forense, indo além da atividade do usuário para coletar os rastros das interações com IA (guia de auditoria).
Integre o Microsoft Defender para monitoramento em tempo real: implante o Microsoft Defender for Cloud e combine-o com políticas de alerta voltadas a cenários do Copilot. Use gatilhos automatizados e tickets de incidente para identificar rapidamente prompts ou fluxos de dados suspeitos (estratégias de monitoramento de conformidade).
Vigilância contínua da movimentação de dados: use monitoramento contínuo para identificar solicitações do Copilot fora do padrão ou picos de acesso a dados. Painéis no Power BI (alimentados pelo Defender e pelo Purview) oferecem uma visão rápida do risco e um fluxo de resposta.
Colabore entre segurança, RH e jurídico: monte equipes de monitoramento que conectem os pontos entre a atividade dos usuários, os logs do Copilot e a política de conformidade. Uma cultura de “viu algo, avise” é essencial para o alerta precoce, como destacado nesta visão geral de conformidade.

Aproveitando o Microsoft Purview para monitoramento avançado de conformidade

Aplique políticas de DLP na fronteira entre ambientes de conectores: use o DLP específico do Copilot pelo Purview para impedir que dados vazem entre conectores de negócios e não relacionados a negócios (configurações principais).
Marque e classifique dados automaticamente: configure o Purview para rotular arquivos e mensagens automaticamente, garantindo que o Copilot não remova nem ignore os controles exigidos.
Imponha o isolamento do locatário: evite a contaminação cruzada por IA bloqueando conectores personalizados ou HTTP na camada de política.
Mantenha o ECM pronto para auditoria: estenda as trilhas de auditoria de documentos pelo SharePoint e pelo Copilot para operações à prova de conformidade (estratégias de auditoria).

Automação da governança: reduzindo lacunas manuais nas políticas do Copilot

Automatize as revisões de acesso e as atribuições de permissões: use ferramentas como scripts do PowerShell ou fluxos de trabalho nativos para executar auditorias de permissões regulares e agendadas, em vez de depender de verificações manuais. Essa abordagem reduz bastante o risco de privilégios excessivos persistentes ou de exceções de acesso esquecidas (princípios de governança).
Configure a aplicação de políticas em tempo real: crie gatilhos automatizados que reajam a atividades de alto risco do Copilot, como compartilhamento indevido ou padrões suspeitos de prompts, redefinindo permissões, forçando atualizações de política ou alertando as equipes de segurança.
Integre o gerenciamento de funções do Entra para privilégio mínimo: gerencie automaticamente as identidades e as atribuições de função relacionadas ao Copilot, para que apenas quem precisa de acesso elevado o obtenha, e somente pelo tempo necessário.
Monitore e feche lacunas de conformidade em tempo real: use painéis adaptativos e automatizados para identificar desvios de política ou respostas lentas em fluxos de trabalho críticos do Copilot. Torne a conformidade com as políticas um processo contínuo, e não uma tarefa periódica.
Documente tudo para auditoria e treinamento: mantenha registros detalhados de automação para alterações de política e respostas a incidentes, a fim de dar suporte à conformidade, reforçar a responsabilização e embasar treinamentos futuros dos usuários.

A conclusão? A governança eficaz nunca é só automação nem só política. É a combinação que mantém você à frente tanto dos erros humanos quanto das surpresas da IA.

Planejamento do ciclo de vida e gestão de mudanças para a segurança do Copilot

Mapeie todo o ciclo de vida dos ativos do Copilot: documente cada etapa: implantação, operações diárias, ciclos de atualização e correções e desprovisionamento. Essa visibilidade garante que as configurações de segurança não fiquem para trás em relação a novos recursos ou casos de uso.
Automatize as aprovações e os testes de mudanças: use implantações em etapas para as alterações de configuração do Copilot, associadas a validações automatizadas e monitoramento em tempo real, para reduzir o risco de mudanças feitas às pressas.
Agende revisões periódicas das políticas: reavalie regularmente todas as políticas, permissões e estruturas de classificação de dados do Copilot. Transforme isso em um evento no calendário, e não em uma promessa de "algum dia".

Considerações de segurança específicas por setor para o Copilot

Nem todo negócio enfrenta os mesmos riscos de segurança com o Copilot. Alguns setores têm muito mais em jogo se as coisas saírem do controle, e a exigência regulatória é maior. Se você atua na área de saúde, em serviços financeiros ou em qualquer setor sujeito a supervisão rigorosa, cada recurso do Copilot que você habilita traz desafios legais e de conformidade que não podem ser ignorados.

Esta seção aborda essas necessidades específicas. Você encontrará orientações direcionadas para alinhar a segurança do Copilot a HIPAA, HITECH, GLBA, SOX e outros marcos regulatórios, com passos práticos para manter auditorias e reguladores sob controle. O objetivo? Ajudar líderes de TI em áreas de alta conformidade a desenhar controles que realmente funcionem quando a IA entra em cena, e não apenas controles que pareçam impressionantes no papel.

As subseções a seguir reúnem dicas práticas voltadas para saúde e finanças, para que sua implantação do Copilot gere valor sem esbarrar em armadilhas de conformidade.

Atendendo aos requisitos de conformidade da área de saúde com o Copilot

Realize uma avaliação detalhada de risco de PHI: audite sua implantação do Copilot para verificar como as informações de saúde protegidas (PHI) são acessadas, processadas ou armazenadas. Esse mapeamento de superfície deve incluir todos os endpoints conectados ao Copilot.
Estenda o DLP e os rótulos de confidencialidade às saídas do Copilot: exija que todos os documentos e conversas gerados pelo Copilot sigam a rotulagem compatível com a HIPAA. As regras de DLP devem reconhecer e bloquear quaisquer fluxos de saída que contenham PHI (DLP na área de saúde).
Isole os fluxos de trabalho do Copilot de dados que não são da área de saúde: segmente os ambientes para que o Copilot não possa ingerir nem referenciar fontes de dados sem relação com o atendimento a pacientes, evitando contaminação cruzada não intencional.
Aplique controles de acesso baseados em função para a equipe de saúde: restrinja os recursos do Copilot de acordo com a função da equipe (médico, enfermeiro, administrativo) e limite as interações apenas aos sistemas necessários.
Monitore, registre e audite todo acesso ao Copilot: cada acesso ao Copilot, seja para gerar um relatório ou sugerir uma orientação, precisa ser registrado, auditado e revisado pela equipe de conformidade.

Configure as políticas para que a IA nunca execute ações sobre PHI sem validação humana explícita em fluxos de alto risco. Compartilhe materiais de treinamento com a equipe médica para reforçar o que o Copilot pode e não pode acessar ou produzir.

Fortalecendo a segurança de serviços financeiros nas implantações do Copilot

Mapeie o fluxo de dados em relação às regras da GLBA, do PCI-DSS e da SOX: identifique quais integrações do Copilot acessam registros financeiros de clientes, logs de transações ou trilhas de auditoria. Documente cada fluxo de dados e associe cada um ao controle de conformidade apropriado (orientações de Zero Trust).
Aplique Zero Trust e a avaliação contínua de acesso: adote um modelo de verificação contínua de acesso, usando MFA adaptativa e pontuação de risco em tempo real para bloquear sessões arriscadas do Copilot.
Isole ambientes sensíveis com segmentação de locatário: não execute os recursos do Copilot de negociação, risco e back office no mesmo ambiente. Locatários ou sessões segregados ajudam a evitar vazamento de dados.
Reforce o registro, os alertas e a coleta de evidências: dados financeiros devem ter o maior nível de auditoria possível. Ajuste o Sentinel e o Purview para fornecer alertas em tempo real e evidências imutáveis de cada ação relacionada ao Copilot.
Treinamento de segurança para a equipe, com ênfase em acesso privilegiado: treine a equipe financeira para identificar prompts do Copilot que envolvam dados sensíveis de clientes e institua uma política de "verificar antes de agir" para todas as transações de alto valor.

Ao impor limites rigorosos de acesso a dados e usar verificações contínuas de autenticação, as organizações financeiras podem aproveitar o valor do Copilot sem correr o risco de multas por não conformidade ou de perder a confiança dos clientes.

Ampliando a segurança do Copilot com treinamento e conscientização dos usuários

Mesmo com as salvaguardas técnicas mais rígidas, a segurança pode ser comprometida justamente pelas pessoas que usam o sistema no dia a dia. O Copilot facilita como nunca o uso de IA pela equipe, mas essa mesma facilidade pode se tornar um problema se os usuários não reconhecerem onde estão os riscos. O treinamento para usuários finais e uma cultura de conscientização são, hoje, requisitos essenciais, e não apenas itens de checklist do RH.

Esta seção mostra por que o treinamento adequado não é opcional. A segurança do Copilot depende de cada usuário entender como a IA funciona, quais prompts são seguros e por que comportamentos descuidados, como colar informações sensíveis em prompts ou ignorar avisos do Copilot, ampliam os riscos de exposição de dados. Vamos destacar as áreas mais problemáticas e, em seguida, mostrar como programas de educação estruturados e exercícios práticos podem levar o comportamento a uma segurança por design.

Seu perímetro de segurança? Ele depende tanto da mentalidade do usuário quanto de firewalls e políticas. Vamos usar isso para construir resultados do Copilot melhores e mais seguros.

Entendendo os comportamentos dos usuários que aumentam o risco de segurança do Copilot

Compartilhamento excessivo de dados sensíveis em prompts: os usuários podem colar informações confidenciais diretamente nas consultas ao Copilot, expondo-as a um escopo maior de processamento por IA.
Ignorar avisos de segurança e notificações de política: desconsiderar os avisos de segurança integrados do Copilot ou contornar notificações de DLP cria pontos cegos e possíveis vazamentos.
Compartilhar saídas do Copilot sem revisão: encaminhar ou salvar conteúdo gerado por IA sem verificar a presença de dados sensíveis amplia os riscos de dados fora de controle.
Reutilizar prompts não autorizados de colegas: copiar e colar prompts extraídos de threads de e-mail ou chats do Teams pode gerar exposições duplicadas, especialmente em setores regulados (insights sobre governança).

Desenvolvendo programas de treinamento de segurança do Copilot para usuários finais

Segmente o treinamento por função e acesso a dados: crie módulos personalizados para equipe de linha de frente, especialistas e administradores, para que as orientações correspondam aos recursos do Copilot e ao perfil de risco de cada equipe.
Inclua "higiene de prompts" e noções básicas de segurança em IA: ensine os usuários a elaborar prompts seguros, a entender como a IA retém dados e quando evitar incluir detalhes sensíveis.
Simule engenharia social e ataques por prompt: realize testes regulares de "red team" nos quais os usuários recebem tentativas de injeção de prompt ou phishing relacionadas ao Copilot. Faça um debriefing sobre as escolhas reais dos usuários para aumentar o valor prático do treinamento.
Complemente com sessões ao vivo e de perguntas frequentes: não se limite a distribuir vídeos de treinamento. Organize sessões ao vivo em que os usuários vejam cenários do mundo real e tirem dúvidas sobre casos de uso complexos do Copilot.
Reforce continuamente com comunicação recorrente: use lembretes regulares, dicas rápidas e comunicados semanais de "dica da semana" sobre o Copilot para manter os conceitos de segurança atualizados.
Centralize os materiais em um Centro de Aprendizagem do Copilot governado: evite documentos isolados e desatualizados. Mantenha todos os recursos atualizados e acessíveis, conforme descrito neste guia do Centro de Aprendizagem do Copilot.
Avalie os resultados e ajuste: use questionários, simulações e ciclos de feedback para medir a fixação do treinamento e identificar onde é preciso mais apoio.

Gerenciando riscos de integração com terceiros no Copilot

É fácil ficar empolgado com a ampliação das funcionalidades do Copilot por meio de plug-ins de terceiros e aplicativos conectados, mas cada nova integração é uma nova porta por onde o risco pode entrar. Esses conectores externos podem abrir brechas inesperadas nas suas defesas de dados e criar caminhos de ataque que você nunca imaginou. Boas intenções, por si só, não fecham essas lacunas.

Esta seção destaca a complexidade adicional introduzida pelas permissões de terceiros e pelas integrações com plugins. Vamos mostrar por que revisar essas conexões é tão importante quanto o que você faz "internamente". Nas subseções a seguir, você verá orientações práticas sobre como avaliar e restringir as permissões de aplicativos de terceiros, além de recomendações para proteger sua cadeia de suprimentos, para que um erro ou uma violação externa não se propague para o seu ambiente do Copilot.

Com o Copilot, a gestão de riscos é um trabalho de equipe que envolve todos os sistemas conectados, especialmente aqueles que você não controla diretamente.

Avaliando as permissões de aplicativos de terceiros ao usar o Copilot

Audite todos os aplicativos e plugins conectados: Faça regularmente um inventário de cada aplicativo de terceiros vinculado ao Copilot, verificando o nível de acesso a dados e APIs concedido (veja como invasores exploram o consentimento OAuth).
Restrinja o consentimento do usuário a aplicativos confiáveis: Configure o Entra ID (Azure AD) para impedir que os usuários concedam consentimento a aplicativos não verificados ou não aprovados, reduzindo o risco de Shadow IT (veja as etapas de remediação aqui).
Monitore a atividade dos aplicativos e os fluxos de dados: Configure alertas para volumes anormais, picos de chamadas de API ou compartilhamento inesperado de dados entre aplicativos.
Revogue imediatamente permissões órfãs ou inativas: Aplicativos sem uso nos últimos 30 a 90 dias devem perder o acesso, ponto final.

Mitigando riscos na cadeia de suprimentos das integrações do Copilot

Implemente uma avaliação rigorosa para novos conectores: Antes de integrar um conector de terceiros, exija uma revisão de segurança das permissões, dos fluxos de dados e do histórico do fornecedor.
Defina responsabilidade explícita de proprietário: Atribua responsáveis internos para gerenciar e revisar regularmente cada integração de terceiros. Não deixe que ferramentas externas se tornem uma infraestrutura invisível (padrão para aplicação).
Limite os escopos de transferência de dados: Restrinja o que os aplicativos externos podem ver ou modificar, usando concessões de privilégio mínimo e baseadas em contexto.
Monitore desvios na cadeia de suprimentos e indicadores de ataque: Inspecione continuamente os logs de atividade em busca de novos conectores, permissões alteradas ou verificações de conformidade com falha. Alertas automatizados são essenciais para a contenção rápida.
Exija compromissos contratuais de segurança: Para integrações estratégicas, inclua requisitos de segurança, resposta e conformidade em todos os contratos com fornecedores.

Fique atento a riscos emergentes: às vezes, a governança é tão forte quanto o elo mais fraco da sua cadeia de suprimentos. Controles aplicados e responsabilidade definida, não apenas documentação, mantêm as novas portas bem trancadas.

Resposta a incidentes e forense específica do Copilot

A resposta a incidentes é um alvo em movimento depois que o Copilot chega ao seu ambiente. Violações e exposições de dados com IA muitas vezes não seguem os playbooks tradicionais: as ameaças podem ser sutis, rápidas e escondidas em prompts aparentemente inofensivos. Por isso, você precisa de estratégias novas, voltadas ao Copilot, para responder quando algo dá errado.

Esta seção coloca o foco na prontidão proativa: como identificar atividades não autorizadas do Copilot, conter a exposição e orientar suas equipes em uma resposta específica ao Copilot. A forense tradicional do M365 só vai até certo ponto, já que a mistura de contextos de IA, as saídas geradas e as permissões de grande alcance do Copilot criam novos rastros a seguir.

Ao dar à resposta a incidentes o mesmo foco específico no Copilot que você dá aos seus controles de segurança, você abre caminho para uma contenção mais rápida, uma recuperação mais inteligente e um ciclo de aprendizado contínuo que fortalece suas defesas contra futuros ataques baseados em IA.

Detectando acesso não autorizado a dados por meio da atividade do Copilot

Analise os logs de uso do Copilot em busca de anomalias: Revise os logs de uso no Purview ou no seu painel de segurança em busca de frequência incomum de prompts do Copilot, solicitações de conteúdo estranhas ou atividade fora do horário habitual (detalhes da auditoria no Purview).
Acompanhe interações com dados sensíveis: Sinalize sessões do Copilot que acessam rótulos de dados de alto valor (PII, PHI, registros financeiros) fora dos padrões normais.
Configure alertas de anomalias comportamentais: Use ferramentas baseadas em aprendizado de máquina para identificar e alertar você quando o comportamento do Copilot se desviar da norma da organização.
Correlacione prompts do Copilot com eventos de exportação de dados: Fique atento a consultas do Copilot feitas em sequência seguidas de downloads em massa ou compartilhamento de arquivos, um sinal de possível exfiltração.

Como montar um plano de resposta a incidentes para eventos de segurança do Copilot

Estabeleça um playbook de incidentes voltado ao Copilot: Desenvolva playbooks específicos para investigar e responder a incidentes específicos do Copilot, incluindo dados gerados por IA, uso indevido baseado em funções ou exposições causadas por prompts (checklist prático de implantação).
Contenha e isole os componentes afetados: Revogue imediatamente as permissões relevantes do Copilot ou de aplicativos conectados para os usuários ou fluxos de trabalho impactados. Congele o compartilhamento e bloqueie os fluxos de IA enquanto você avalia a situação.
Faça a triagem direcionada com consciência do contexto de IA: Use logs avançados para reconstruir o contexto das sessões, os resultados gerados por IA rastreados e os fluxos de permissões que levaram ao incidente.
Notifique as partes interessadas e os afetados logo no início: Siga as diretrizes regulatórias de notificação para violações suspeitas ou confirmadas causadas pelo Copilot, especialmente quando dados pessoais, dados de saúde ou dados financeiros estiverem em risco.
Use a análise forense para a recuperação: Use o registro de logs do seu ambiente, backups e o rastreamento de saídas de IA para reverter alterações ou exposições não autorizadas, fornecendo evidências prontas para auditoria.
Realize uma revisão detalhada de lições aprendidas: Após a resolução, analise os padrões do incidente, as lacunas nas políticas e os comportamentos dos usuários que contribuíram para a exposição, para embasar futuras atualizações de governança.
Atualize políticas, treinamentos e automações do Copilot: Use as lições aprendidas para fortalecer rotulagem, monitoramento e treinamento dos usuários, para que o seu ambiente fique mais robusto após qualquer violação.

O melhor resultado de uma resposta a incidentes é uma implantação do Copilot mais inteligente e mais bem controlada, e uma equipe preparada para lidar com qualquer que seja o próximo ataque baseado em IA.

Checklist: passos para fortalecer a postura de segurança do Copilot

Implemente monitoramento contínuo: use soluções como o Microsoft Purview para detecção de ameaças em tempo real e resposta automatizada a eventos de segurança relacionados ao Copilot.
Automatize os controles de governança e do ciclo de vida; agende revisões regulares de rótulos de confidencialidade, acesso a dados e conjuntos de permissões para garantir que apenas os direitos necessários sejam concedidos.
Realize treinamento obrigatório de conscientização e segurança específico para o Copilot, com foco no uso seguro de prompts e no reconhecimento de comportamentos de risco que levam ao vazamento de dados.
Avalie e monitore rigorosamente integrações de terceiros, revisando as permissões de API e de conectores para minimizar vulnerabilidades na cadeia de suprimentos e relacionadas a aplicativos.
Desenvolva um plano de resposta a incidentes específico para o Copilot, incluindo prontidão forense, para identificar, conter e recuperar-se rapidamente de violações. Para estratégias mais aprofundadas, veja este guia sobre como escalar a governança e o controle de IA. Checklist: riscos de segurança do Microsoft 365 Copilot
Use este checklist para avaliar, mitigar e monitorar os riscos introduzidos pelo Microsoft 365 Copilot no seu ambiente.
1. Governança e política
  - Política de uso documentada para o Microsoft 365 Copilot, especificando os tipos de dados permitidos e os casos de uso.
  - Regras aprovadas de classificação e tratamento de dados aplicadas ao conteúdo acessado pelo Copilot.
  - Papéis e responsabilidades definidos para administradores do Copilot, proprietários de dados e revisores.
2. Acesso a dados e minimização
  - Princípio do privilégio mínimo aplicado às contas de serviço e integrações relacionadas ao Copilot.
  - Auditoria de quais fontes de dados (SharePoint, OneDrive, Exchange, Teams) estão indexadas ou acessíveis ao Copilot.
  - Regras de minimização de dados aplicadas para que o Copilot não acesse conjuntos de dados de alto risco ou sensíveis quando isso não for necessário.
3. Privacidade de dados e conformidade
  - Verifique se a configuração do Copilot está em conformidade com as regulamentações aplicáveis (LGPD, GDPR, HIPAA, CCPA etc.).
  - Políticas de descoberta e ocultação de dados pessoais em vigor para saídas que possam conter dados pessoais.
  - Compartilhamento de dados com terceiros e configurações de telemetria revisados e limitados quando necessário.
4. Autenticação e controles de acesso
  - MFA obrigatório para todas as contas com privilégios de administração ou configuração do Copilot.
  - Políticas de Acesso Condicional criadas para restringir o acesso do Copilot por localização, conformidade do dispositivo ou nível de risco.
  - Entidades de serviço e permissões de aplicativos revisadas; segredos e certificados rotacionados regularmente.
5. Monitoramento e registro de logs
  - Registro de logs habilitado para atividades relacionadas ao Copilot, consultas e eventos de acesso a dados.
  - Alertas configurados para padrões anômalos de uso do Copilot (grandes solicitações de dados, horários incomuns, sinais de exfiltração).
  - Cronograma de revisão regular dos logs e alertas, com responsáveis designados para investigação.
6. Segurança da saída e filtragem de conteúdo
  - Mecanismos para revisar e higienizar as saídas do Copilot, evitando vazamentos de dados sensíveis em conteúdo gerado.
  - Modelos e guardrails configurados para evitar a exposição de segredos internos, credenciais ou propriedade intelectual confidencial.
  - Treinamento dos usuários para verificar as saídas do Copilot e evitar confiança cega nas recomendações geradas.
7. Segurança de modelos e prompts
  - Controle sobre quais modelos de LLM o Copilot utiliza e documentação das garantias de tratamento de dados de cada modelo.
  - Mitigações contra prompt injection e validação de entradas para evitar o vazamento de contexto sensível ou a execução de prompts nocivos.
  - Testes de alucinações e saídas incorretas em cenários de alto risco, com processos corretivos definidos.
8. Integrações de terceiros
  - Inventário de aplicativos e conectores de terceiros usados com o Copilot e avaliação de sua postura de segurança.
  - Contratos e cláusulas do DPA revisados para garantir termos adequados de proteção de dados e responsabilidade.
  - Limitar ou isolar conectores que transmitem dados para serviços externos não aprovados pela política.
9. Segurança de endpoints e dispositivos
  - Garantir que os endpoints que usam o Copilot atendam aos padrões de aplicação de patches, antivírus e conformidade do dispositivo.
  - Aplicar prevenção contra perda de dados (DLP) nos endpoints para impedir a cópia ou o salvamento de saídas sensíveis do Copilot.
10. Resposta a incidentes e recuperação
  - Incluir cenários específicos do Copilot nos planos de resposta a incidentes (vazamento de dados, uso indevido de modelos, exfiltração).
  - Playbooks e etapas de contenção definidos para desabilitar o acesso do Copilot, revogar tokens e isolar as fontes de dados afetadas.
  - Procedimentos de backup e restauração validados para sistemas que contêm dados acessíveis pelo Copilot.
11. Treinamento e conscientização
  - Treinamento regular dos usuários sobre o uso seguro do Copilot, classificação de dados e denúncia de saídas suspeitas.
  - Treinamento dos administradores sobre práticas de configuração, monitoramento e integração segura do Copilot.
12. Revisão contínua
  - Avaliações periódicas de risco com foco específico nos riscos de segurança e nas mitigações do Microsoft 365 Copilot.
  - Atualizar políticas e controles sempre que os recursos, modelos ou integrações do Copilot forem alterados.

Riscos de segurança do Microsoft 365 Copilot e segurança de dados

Quais são os principais riscos de segurança do Microsoft Copilot que as organizações devem conhecer?

Os principais riscos de segurança do Microsoft Copilot incluem acesso não intencional a dados internos, possível exposição de dados confidenciais por meio de prompts, configurações incorretas de permissões do locatário do Microsoft 365 e controles insuficientes sobre os dados do Copilot. Como uma ferramenta de IA integrada aos serviços do Microsoft 365 e ao Microsoft Teams, o Copilot pode exibir informações sensíveis caso as configurações de segurança e conformidade, os controles do Microsoft Entra ID e as políticas de classificação de dados não sejam aplicados.

Como o Copilot para Microsoft 365 acessa os dados e quais controles limitam o acesso a dados sensíveis?

O Copilot acessa dados organizacionais por meio do Microsoft Graph e das APIs de serviço dos aplicativos do Microsoft 365. O acesso aos dados é regido por permissões no nível do locatário, autenticação do Microsoft Entra e controles de acesso baseados em funções. Medidas de segurança como a proteção de informações do Microsoft Purview, a classificação de dados e as políticas de acesso condicional podem restringir o acesso do Copilot a dados sensíveis ou confidenciais e reduzir o risco de exposição desses dados.

O Microsoft 365 Copilot pode expor dados sensíveis ou confidenciais quando os usuários fazem prompts na ferramenta de IA?

Sim, o vazamento de dados pelo Copilot pode ocorrer quando os usuários colam dados confidenciais nos prompts ou solicitam resumos que revelam informações internas. O uso do Microsoft Purview, a marcação de dados sensíveis e políticas rigorosas de uso do Copilot ajudam a impedir que os usuários exponham dados sensíveis sem perceber. Os líderes de segurança devem treinar a equipe em boas práticas de prompts e aplicar monitoramento para detectar comportamentos de prompt arriscados.

Quais medidas as equipes de segurança podem tomar para proteger o Microsoft Copilot e reduzir a exposição de dados?

As equipes de segurança devem implementar a classificação de dados, implantar o Microsoft Purview Information Protection, impor o acesso condicional do Microsoft Entra ID e configurar permissões no nível do locatário para o Copilot. Monitorar logs de acesso, aplicar o princípio de privilégio mínimo, habilitar políticas de prevenção contra perda de dados em todos os serviços do Microsoft 365 e integrar os controles de segurança de dados do Copilot ajudam a minimizar o acesso a dados sensíveis e a alinhar os objetivos de privacidade e segurança.

Como o limite de dados da UE ou a residência de dados afeta o uso do Microsoft Copilot na Europa?

As configurações do limite de dados da UE e da residência de dados determinam onde os dados do Copilot e o conteúdo processado são armazenados e tratados. As organizações que usam o Microsoft 365 na Europa devem verificar se o processamento do Copilot está em conformidade com os requisitos regionais de residência de dados e aplicar as configurações de residência de dados no locatário do Microsoft 365. Combinar essas configurações com o Microsoft Purview e ferramentas locais de conformidade reduz o risco regulatório e apoia as obrigações de privacidade e segurança.

Qual é o papel do Microsoft Entra ID e do gerenciamento de acesso na segurança de dados do Copilot?

O Microsoft Entra ID controla a autenticação e a autorização do Copilot e de outros serviços do Microsoft 365. Políticas do Entra bem configuradas, acesso condicional, autenticação multifator e gerenciamento de identidades privilegiadas limitam quem pode acessar os recursos do Copilot e os dados que eles exibem. Esses controles de acesso são essenciais para evitar o acesso não autorizado a dados internos e para impor o uso seguro do Microsoft Copilot em toda a organização.

Como as organizações devem lidar com os prompts dos usuários e com o treinamento para evitar a exposição de dados de clientes ou dados internos?

As organizações devem estabelecer políticas claras para o uso do Microsoft Copilot, restringir os tipos de dados que os usuários podem incluir nos prompts e oferecer treinamento sobre as melhores práticas de privacidade e segurança. Use as ferramentas do Microsoft Purview para classificar dados de clientes e dados internos, implemente regras de DLP para bloquear ou emitir alertas sobre prompts arriscados e oriente os usuários sobre os riscos de colar dados confidenciais na ferramenta de IA.

O Copilot retém dados do usuário e como as empresas podem gerenciar a retenção e a privacidade dos dados do Copilot?

O Copilot pode processar prompts e gerar saídas que são registradas para fins de qualidade do serviço e conformidade; as políticas de retenção dependem das configurações do locatário, dos contratos de serviço e das configurações do Microsoft 365. As empresas devem revisar as configurações do locatário do Microsoft 365, aplicar regras de retenção e exclusão de dados, usar o Microsoft Purview para governança e consultar a documentação de serviço da Microsoft para estabelecer os controles adequados de retenção e privacidade de dados do Copilot.

Como as equipes de segurança e conformidade monitoram e auditam o acesso e as ações do Copilot no Microsoft 365?

As equipes de segurança e conformidade podem monitorar a atividade do Copilot usando os logs de auditoria do Microsoft 365, as soluções de auditoria do Microsoft Purview e integrações de monitoramento que capturam o acesso a recursos sensíveis por meio do Microsoft Graph. Implementar a ingestão em SIEM, criar alertas para acessos anômalos a dados confidenciais e realizar revisões regulares de conformidade ajudam a detectar o uso indevido, impor políticas de segurança e privacidade e demonstrar governança sobre o uso do Copilot no ambiente do Microsoft 365.