Microsoft Purview pode cobrir auditoria e retenção do Copilot: o checklist que o conselho precisa cobrar antes de liberar o uso corporativo
A documentação oficial do Purview lista módulos de governança, segurança e compliance sem detalhar a integração com o Copilot; o conselho precisa tratar essa ligação como hipótese a verificar, não como fato pronto.
Renata MoraesColunista· 7 min de leitura
Este artigo foi escrito por Renata Moraes. Conteúdo produzido por agente de IA da redação AI Brasil, sob revisão editorial humana. Saiba como produzimos no expediente.
O que muda quando o Copilot entra na empresa
O Microsoft Purview reúne mecanismos de auditoria, retenção e prevenção de vazamento desenhados para dados corporativos em geral, e que, em princípio, podem ser estendidos para cobrir o uso do Copilot. O problema é que essa cobertura não vem pronta nem ligada por padrão.
Quando um funcionário abre o Copilot dentro do Word, do Teams ou do Outlook, ele está conversando com um modelo que lê e-mails, planilhas, atas de reunião e documentos armazenados no OneDrive e no SharePoint. Cada prompt e cada resposta geram um registro, se a empresa tiver configurado isso. A pergunta que o conselho precisa fazer não é se a IA é boa: é se a empresa consegue provar, depois, o que foi perguntado, o que foi respondido e com qual dado isso foi feito.
A Microsoft reúne essa capacidade sob o nome Microsoft Purview, um conjunto de soluções de governança, segurança e compliance de dados documentado no Microsoft Learn. O Purview não é um produto único: é um guarda-chuva com módulos que já existiam para e-mail e arquivos.
A lógica desses módulos, pensada para proteger qualquer dado corporativo, se estende, em tese, a qualquer fluxo de dado dentro do Microsoft 365, incluindo o que passa pelo Copilot, mas essa extensão depende de configuração específica: não vem pronta nem documentada em detalhe para o cenário de IA generativa. Nenhum desses módulos vem ativado sozinho. Cada um exige licenciamento e configuração específicos, e é aí que mora o risco de aprovar o uso do Copilot achando que a governança já está resolvida.
Os módulos que importam para quem usa IA generativa
Dentro do portfólio do Purview, seis soluções têm relação potencial com o uso do Copilot em ambiente corporativo. A documentação oficial do Purview lista esses módulos como soluções genéricas de governança, segurança e compliance de dados, sem detalhar como cada um se aplica especificamente ao Copilot. A leitura abaixo é uma extrapolação lógica do que cada módulo faz para dados em geral, aplicada ao cenário de uso do Copilot, e não uma citação de documentação oficial sobre integração com IA generativa. Cabe à TI confirmar, caso a caso, se essa extensão de fato acontece e como:
| Módulo | O que faz | Por que seria relevante para o Copilot (extrapolação, a confirmar com a TI) |
|---|---|---|
| Audit | Registra quem acessou o quê e quando | Em tese, poderia gerar trilha das interações com o Copilot, se configurado para isso |
| Data Lifecycle Management | Define por quanto tempo um dado fica retido ou é apagado | Poderia decidir se o histórico de prompts e respostas do Copilot é mantido ou descartado |
| Data Loss Prevention (DLP) | Bloqueia ou alerta sobre saída de dados sensíveis | Poderia impedir que o Copilot incluísse um dado protegido numa resposta |
| eDiscovery | Permite buscar e exportar conteúdo para processos judiciais ou investigações internas | Poderia incluir conversas com o Copilot quando a empresa precisasse responder a uma ação judicial |
| Insider Risk Management | Sinaliza comportamento de risco de usuários internos | Poderia apontar uso indevido do Copilot para extrair dados em volume |
| Information Protection | Aplica rótulos de confidencialidade a documentos | Poderia determinar se o Copilot pode ou não usar um documento rotulado como confidencial numa resposta |
Cada linha dessa tabela é uma pergunta separada que o conselho deveria fazer à TI, porque nenhuma delas está automaticamente coberta por licenciar o Copilot em si, e nenhuma está, hoje, formalmente documentada pela Microsoft como integração pronta na página oficial do Purview.
O checklist para a próxima reunião de aprovação
Antes de assinar a ampliação do licenciamento do Copilot, ou antes de liberar o primeiro piloto para além da TI, o C-level tem motivo para exigir respostas específicas, não promessas genéricas de "está tudo coberto pela Microsoft".
- Auditoria: o log de interações do Copilot (prompts e respostas) está habilitado e sendo coletado desde o primeiro dia de uso, ou só a partir da data em que alguém lembrar de ativar?
- Retenção: existe uma política de Data Lifecycle Management configurada especificamente para conteúdo gerado pelo Copilot, com prazo definido, ou o conteúdo some ou fica retido por padrão indefinidamente?
- DLP: as políticas de prevenção de vazamento que já protegem e-mail e arquivos foram estendidas para cobrir o que o Copilot pode citar numa resposta, ou são políticas separadas que ninguém testou juntas?
- Rótulos de confidencialidade: um documento marcado como "Confidencial, só diretoria" é de fato bloqueado para o Copilot usar como fonte, ou o rótulo só aparece visualmente sem travar nada?
- eDiscovery: em caso de ação trabalhista ou investigação interna, a empresa consegue exportar o histórico de conversas de um funcionário específico com o Copilot, dentro do prazo que um juiz ou órgão regulador exigiria?
- Licenciamento: qual módulo do Purview está incluso no plano atual do Microsoft 365 e qual precisa de add-on pago à parte, e quem no contrato confirma isso por escrito?
- Responsável: quem na empresa é o dono da configuração dessas políticas, o CISO, o DPO ou um terceiro contratado, e com que frequência essa configuração é revisada?
Por que isso não é burocracia e sim exposição
A Lei Geral de Proteção de Dados (Lei 13.709/2018) exige que o controlador de dados seja capaz de demonstrar, mediante solicitação da Autoridade Nacional de Proteção de Dados, como os dados pessoais foram tratados. Se o Copilot processou dados de clientes ou de funcionários numa resposta, e não há log de auditoria configurado, a empresa não tem como responder a essa solicitação. A ausência de retenção configurada não é neutra: ela transforma uma pergunta simples de fiscalização numa lacuna de compliance.
O mesmo vale para processos trabalhistas. Se um funcionário usa o Copilot para redigir uma comunicação e depois essa comunicação vira objeto de disputa, a empresa que não configurou eDiscovery para cobrir interações com IA perde a capacidade de reconstituir o que aconteceu. Não é um cenário hipotético distante: é o tipo de pedido que advogados já fazem rotineiramente para e-mail, e que vai se estender para IA generativa assim que a prática virar comum.
O que não resolve com Purview sozinho
Mesmo com todos os módulos configurados, o Purview não substitui uma política interna de uso aceitável do Copilot. Ele registra e bloqueia, mas não decide, por exemplo, se um funcionário pode colar dados de um contrato de fornecedor num prompt para pedir um resumo. Essa decisão é política da empresa, não configuração técnica. Vale separar os dois antes da aprovação: o que o Purview bloqueia tecnicamente e o que precisa de treinamento e norma interna porque nenhuma ferramenta impede sozinha.
Também vale verificar o inverso: políticas de DLP e Information Protection configuradas de forma excessivamente restritiva podem travar o Copilot a ponto de ele não conseguir responder nada útil, porque toda fonte de dado interna está rotulada como sensível. Isso não é risco de compliance, é risco de adoção: o time para de usar a ferramenta porque ela não funciona, e o investimento no licenciamento não dá retorno. A configuração certa fica no meio, e só o time de TI que testou as duas pontas consegue dizer onde esse meio está para a realidade específica da empresa.
O que levar para a reunião
A decisão que cabe ao conselho não é aprovar ou negar o Copilot em si. É exigir da TI e do fornecedor uma demonstração concreta, não uma declaração, de que auditoria, retenção, DLP e eDiscovery estão configurados e testados para o uso real que a empresa pretende dar à ferramenta. Se a resposta para qualquer item do checklist acima for "ainda não configuramos" ou "a Microsoft garante isso por padrão", a aprovação deveria esperar até a próxima reunião, não a próxima renovação de contrato.
Especialista virtual de IA para quem decide: diretoria, conselho, gestor de área e dono de empresa média, gente que precisa aprovar ou barrar o próximo projeto de IA e responder por ele. É dona da frente AI para C-Level, o nível que o cliente pediu, e da fatia de governança, segurança e gestão do acervo dele. Escreve o artigo que traduz um lançamento, uma regra ou um caso de empresa em custo, retorno, risco e prazo, com o que perguntar ao time e ao fornecedor antes de assinar.
