Crie um agente de IA para GRC com Microsoft Purview, Power Automate e Copilot Studio: relatórios de conformidade automáticos

Relatórios de governança, risco e conformidade (GRC) consomem tempo, paciência e muita cafeína. Em muitas organizações, analistas ainda copiam logs de auditoria célula por célula e terminam com dezenas de abas de tabelas dinâmicas que se contradizem. Quando o relatório fica pronto, os dados já mudaram.

Existe uma alternativa dentro do próprio ecossistema da Microsoft: um agente de IA para GRC, baseado em regras e construído com Microsoft Purview, Power Automate e Copilot Studio. Este artigo mostra o que ele é, como montar o pipeline de dados, como construir a lógica de decisão e como gerar relatórios de conformidade automáticos, legíveis e auditáveis.

Por que o relatório manual de GRC não funciona

O relatório manual nasce de uma confusão comum: tratar documentação como percepção. Os dados são extraídos do Microsoft Purview, exportados, espalhados em planilhas e chamados de governança. Na semana seguinte surgem novas atividades, os números mudam e os gráficos impecáveis deixam de refletir a realidade.

Muitas empresas usam o Purview como um cofre, aberto apenas antes de uma auditoria. Os logs registram quem fez o quê, onde e quando, mas cada entrada é um bloco de JSON denso e difícil de ler. O problema de fundo é ter abundância de dados e legibilidade quase zero.

Há ainda o risco do processo frágil: se a ausência de um único analista quebra a trilha de auditoria, o problema é o processo, não a automação.

O que é um agente de GRC com Purview, Power Automate e Copilot Studio

Não se trata de um copiloto mágico que adivinha respostas. É uma automação estruturada e determinística, na qual lógica, frequência, escopo e até o tom do texto são definidos por você. A maioria das tarefas de conformidade não exige julgamento, e sim reconhecimento de padrões, justamente o que a automação faz bem.

O agente funciona como um organismo com três partes:

Microsoft Purview: a memória

O Purview fornece a matéria-prima: logs de auditoria, dados de classificação e eventos de conformidade. Cada ação no Microsoft 365, como compartilhar um documento, criar uma política ou modificar um rótulo de retenção, fica registrada.

Power Automate: o sistema nervoso

O Power Automate dispara no horário certo, coleta sinais, filtra ruído e executa cada etapa sem esquecer nenhuma. Quando algo falha, registra a falha com detalhes, e a conformidade valoriza esse tipo de registro.

Copilot Studio: a voz

O Copilot Studio transforma dados estruturados em narrativa. Ele recebe, por exemplo, uma tabela com ações de risco por usuário e devolve um resumo em linguagem natural, seguindo as regras do prompt que você escreveu. O resultado parece um memorando de analista, mas é um algoritmo com boa gramática.

Um painel mostra indicadores, mas não explica. O agente escreve, e com isso reduz a lacuna de interpretação que causa falhas em revisões de conformidade.

Construindo o pipeline de dados do Purview

Antes de pensar, o agente precisa enxergar. Isso significa dar acesso às partes certas dos logs de auditoria, nem mais nem menos.

Extração e escopo

Há dois caminhos: o conector nativo do Purview ou uma ação HTTP que chama diretamente a API de log de auditoria. Ambos entregam um fluxo de eventos do tenant, como compartilhamentos de arquivos, mudanças de permissão, violações de acesso e logins de administrador.

O ideal é restringir o escopo cedo. Extrair todo o feed é como fazer backup da internet inteira porque você perdeu um PDF. Defina quais eventos realmente afetam a conformidade.

Permissões e credenciais

O Power Automate só age dentro das permissões que recebe. Se a conta de serviço não puder ler o log de auditoria, o agente reportará que nenhum problema foi encontrado. Isso não é tranquilidade, é cegueira disfarçada de sucesso.

• Atribua à conta de serviço a função de leitor de logs de auditoria no Purview.
• Garanta que ela autentique sem interrupções de MFA, pois a automação não responde a prompts de madrugada.
• Armazene as credenciais com cuidado no Azure ou use uma referência de conexão.

Filtragem por indicadores de risco

Filtre por sinais que contam uma história: acesso a partir de um novo local, atribuição de função alterada, compartilhamento externo, política de rótulo modificada. O filtro pode entrar na consulta, pelos parâmetros da API, ou depois, com lógica condicional no Power Automate. A ideia é selecionar, não acumular.

Transformação do JSON em dados estruturados

Use a ação de analisar JSON com um esquema extraído de um evento de exemplo do Purview. Propriedades como usuário, operação, carga de trabalho, status do resultado e IP do cliente viram variáveis próprias. Alguns campos aparecem como matrizes mesmo com um único valor, e outros ficam escondidos em várias camadas. Nesses casos, use expressões e teste com pequenas execuções, porque um erro de digitação aqui gera resultados absurdos mais adiante.

Armazenamento e agendamento

Persistir os dados limpos dá ao agente uma memória de curto prazo para comparações históricas. As opções são SharePoint, Dataverse ou um banco SQL. O Dataverse funciona melhor quando você precisa de colunas e relacionamentos entre conjuntos de dados. O SharePoint é mais simples, mas fica desajeitado acima de alguns milhares de linhas.

Defina a cadência com o gatilho de recorrência: resumos diários para ambientes dinâmicos e semanais para ambientes mais calmos. Configure o seu fuso horário, e não o UTC, para evitar relatórios chegando às 3 da manhã.

A camada lógica: o cérebro no Power Automate

O Power Automate não é IA. Ele não especula nem alucina riscos, apenas obedece, e essa rigidez previsível é o que a autonomia exige. A sequência típica é a seguinte:

1. Gatilho de recorrência: inicia o fluxo no horário definido.
2. Bloco de inicialização: variáveis como total de eventos, contagem de alto risco e data do relatório funcionam como memória de trabalho.
3. Consulta ao Purview: pelo conector de logs de auditoria ou pela API HTTP.
4. Filtro de matriz: remove ruído, como registros cujo tipo de usuário seja uma entidade de serviço, e mantém apenas operações ligadas à governança de dados ou à mudança de política.
5. Remoção de duplicatas: muitos fluxos repetem eventos idênticos, e o que sobra é o sinal.
6. Agrupamento e contagem: os registros são agrupados por nome principal de usuário e operação, e um laço “aplicar a cada” totaliza cada categoria.

Limites de risco definidos por você

A autonomia depende de deixar o sistema inferir o nível de risco a partir de limites que você define. Por exemplo: três escalonamentos de privilégio resultam em risco alto, um compartilhamento externo resulta em risco médio, e o restante é normal. Essa lógica não inventa significado, ela o impõe e troca palpites humanos por clareza numérica.

Com ações de condição, usuários de alto risco entram em uma matriz própria e os de risco médio podem ir para uma fila de revisão. Quando nada incomum aparece, registre explicitamente uma mensagem de “zero resultados” em vez de silêncio, porque na conformidade a diferença entre dados ausentes e zero ocorrências é fundamental.

Evidência de execução

Toda execução deve deixar rastros: total de eventos processados, usuário de maior risco e duração da execução, salvos em um canal do Teams ou em uma biblioteca de governança no SharePoint. Registre também a versão do fluxo. Se os limites mudarem depois, os auditores ainda saberão qual lógica produziu qual resultado.

Copilot Studio: ensinando o agente a escrever

Até aqui o agente classifica, conta e decide, mas não explica. O Copilot Studio converte o resumo estruturado em parágrafos claros para executivos e precisos para auditores.

Três tipos de comunicação

Defina o que você quer produzir. Normalmente são três formatos, cada um para um público:

• Resumo executivo: um parágrafo para a gerência.
• Apêndice técnico: detalhado, para auditores e para a equipe de TI.
• Recomendações: ações sugeridas para cada achado.

Você cria uma única experiência de Copilot e estrutura vários prompts dentro dela, cada um definindo tom, formato e nível de detalhe. Um exemplo é pedir os principais riscos em linguagem simples, limitados a cinco tópicos, com uma remediação para cada um. Outro é pedir um apêndice técnico com cada evento de alto risco em formato de tabela.

Integração com o fluxo

No fluxo, uma ação HTTP envia o payload JSON estruturado para a URL do endpoint do Copilot, que o interpreta com o prompt de sistema definido. A chamada é autenticada pelo Azure AD, de modo que só o seu fluxo pode acessá-la. O retorno é texto, e esse texto é o relatório.

Engenharia de prompt com disciplina

Quanto mais rigorosas as instruções, mais reproduzível o resultado. Especifique os títulos exatos, como Visão geral, Principais descobertas e Recomendações, e inclua diretrizes como:

• usar tom profissional e neutro;
• evitar linguagem especulativa;
• incluir métricas quantificáveis.

Sem essas regras, o modelo pode tentar impressionar com talento narrativo ou emojis, o que não combina com um relatório de auditoria. A conformidade prospera com reprodutibilidade, não com personalidade.

O Copilot Studio também aceita variáveis de contexto, como a data do relatório e a quantidade de registros, que são resolvidas automaticamente na saída, por exemplo: “563 eventos de auditoria analisados”. Esse metacontexto agiliza a validação pelos auditores.

Distribuição

Usando novamente os conectores do Power Automate, o fluxo se divide em dois ramos: um publica o resumo do Copilot em um canal do Teams, e o outro grava uma versão HTML completa no SharePoint. A gerência lê o Teams, os auditores abrem o arquivo, e ambos chegam automaticamente com data, hora e identificador de execução.

Erros comuns e armadilhas

• Conta de serviço sem permissão: o agente relata “nenhum problema” porque não consegue ler o log. Em um dos primeiros testes, o resultado foi conformidade “perfeita”, até se perceber que faltava a função de leitor de logs de auditoria.
• Escopo amplo demais: extrair todos os eventos sobrecarrega o fluxo e dilui o que importa.
• Erros no mapeamento do JSON: campos que são matrizes ou estão aninhados exigem expressões corretas, e um pequeno erro de digitação gera resultados incoerentes.
• Fuso horário errado: o UTC no gatilho faz os relatórios chegarem em horários inesperados.
• Limites da API: o Purview pode retornar erros de excesso de solicitações. Envolva as chamadas HTTP em um escopo com política de repetição, por exemplo três tentativas com espera exponencial, e registre as falhas em uma lista SharePoint ou tabela Dataverse chamada Integridade da Automação. Os auditores não penalizam erros, e sim a falta de documentação sobre eles.
• Resposta vazia do Copilot: valide no Power Automate se o texto retornado não está vazio. Se estiver, registre a falha e execute a chamada novamente uma vez.
• Prompt sem versionamento: sem registro de versão, fica impossível explicar como o modelo narrativo foi instruído quando o relatório foi gerado.

Takeaways práticos

• Use o Purview como fonte da verdade, o Power Automate para orquestração e o Copilot Studio para a narrativa.
• Restrinja o escopo desde o início e filtre por indicadores de risco reais.
• Dê à conta de serviço a função de leitor de logs de auditoria e garanta autenticação sem interrupção de MFA.
• Converta o JSON em variáveis estruturadas com a ação de analisar JSON e teste com execuções pequenas.
• Escolha o armazenamento conforme o volume: Dataverse para relacionamentos, SharePoint para casos mais simples.
• Defina limites numéricos de risco, como três escalonamentos de privilégio para risco alto.
• Configure repetição de chamadas, registro de falhas e notificação no Teams.
• Grave a evidência de cada execução e a versão do fluxo.
• Escreva prompts com títulos, tom e métricas definidos e versione-os (V1, V1.1 e assim por diante).
• Distribua o resultado automaticamente: resumo no Teams e versão completa no SharePoint.

Conclusão

Um agente de GRC com Microsoft Purview, Power Automate e Copilot Studio troca a corrida manual antes das auditorias por um fluxo contínuo: o Purview coleta, o Power Automate interpreta e o Copilot Studio resume. O ganho mais importante não é a velocidade, é a padronização. Cada relatório usa o mesmo tom, os mesmos limites e metadados idênticos, e os auditores passam a avaliar o conteúdo em vez de validar o formato. Com lógica explícita, registros de execução e versionamento, a conformidade deixa de ser um trabalho de documentação e passa a ser uma orquestração confiável.