A adoção corporativa de assistentes de escrita baseados em inteligência artificial apresenta um desafio clássico para equipes de segurança da informação e governança de TI: enquanto os colaboradores obtêm ganhos substanciais de clareza e agilidade na comunicação em inglês, extensões de navegador e aplicativos desktop não gerenciados abrem brechas para a transmissão não autorizada de código-fonte proprietário, dados financeiros confidenciais, prontuários de saúde e informações de identificação pessoal (PII) para servidores externos na nuvem.
O Grammarly Business (especialmente no plano Enterprise) responde a essas preocupações por meio de um mecanismo de governança centralizado alinhado a arquiteturas Zero Trust. Em vez de delegar a proteção de dados à conduta individual de cada usuário, os administradores de TI podem higienizar dados em trânsito com prevenção contra perda de dados (DLP), bloquear domínios e softwares internos, integrar rótulos de confidencialidade do ecossistema corporativo e restringir recursos de IA generativa de forma granular por departamento.
Este guia orienta detalhadamente como administradores de TI corporativa devem configurar as políticas de DLP, listas de bloqueio, modo confidencial e controles de acesso a recursos de IA no Grammarly Admin Console.
1. A arquitetura de segurança corporativa em quatro pilares
Em ambientes corporativos, a proteção de dados do Grammarly opera em quatro camadas complementares:
| Camada de segurança | Mecanismo técnico | Localização no console | Proteção fornecida |
|---|---|---|---|
| Higienização em trânsito (DLP) | Mascaramento automático de PII e tokens | Organization → Enterprise Security → Data | Remove dados sensíveis antes que o texto saia do dispositivo |
| Confidencialidade documental | Integração com rótulos de sensibilidade | Organization → Enterprise Security → Data | Desativa o assistente no Gmail Confidencial e em arquivos protegidos do Word |
| Isolamento de perímetro | Listas de bloqueio de domínios e processos | Organization → Enterprise Security → Domains and apps | Impede a captura de texto em terminais, IDEs e sistemas internos |
| Governança de IA (RBAC) | Controle de recursos por grupos de usuários | Organization → Feature access e Agent access | Habilita ou desativa assistente de IA, agentes e reescrita por setor |
2. Configuração de Prevenção contra Perda de Dados (DLP) e higienização
O recurso nativo de DLP do Grammarly higieniza o conteúdo diretamente no ponto de origem (endpoint), abrangendo extensões para navegadores (Chrome, Firefox, Edge), aplicativos para desktop (Windows, macOS) e o editor web. Ao contrário de soluções tradicionais de DLP em rede que apenas geram alertas após o envio do pacote, o DLP do Grammarly substitui informações sensíveis por marcadores anônimos antes de qualquer envio aos servidores de processamento.
Passo 2.1: Acessar as configurações de DLP
- Acesse o Grammarly Admin Console com credenciais de administrador.
- No menu de navegação, clique em Organization.
- Na seção Enterprise Security, selecione Data.
- Localize a área Data Loss Prevention (DLP) para verificar se o mecanismo está ativo.
Passo 2.2: Padrões de dados sensíveis suportados
Quando o DLP está habilitado, o sistema reconhece e higieniza automaticamente:
- Identificadores pessoais e de contato: Endereços de e-mail (Email addresses), números de telefone (Phone numbers) e URLs.
- Documentos e registros governamentais: US Social Security Numbers (SSN), UK National Insurance Numbers (NINO) e Canadian Social Insurance Numbers (SIN).
- Dados financeiros e bancários: Números de cartão de crédito (Credit card numbers) e códigos internacionais de conta bancária (IBAN).
Quando um usuário digita textos contendo esses padrões, o Grammarly mascara esses valores localmente antes de consultar os modelos de correção, impedindo que dados regulados cheguem aos servidores em nuvem.
Passo 2.3: Validação com a ferramenta "Test out DLP"
Antes de aplicar as diretivas em produção, os administradores podem simular o mascaramento:
- Na página Data, clique no botão Test out DLP.
- Cole um texto de exemplo contendo números de cartão de teste, formatos de documentos de identidade ou links corporativos.
- Observe como a ferramenta identifica os padrões e aplica os marcadores anonimizados em tempo real.
- Ajustes personalizados: Caso a organização precise mascarar formatos internos específicos (como matrículas funcionais ou padrões customizados de regex), deve-se acionar o Customer Success Manager (CSM) dedicado para efetuar os ajustes no perfil do tenant.
3. Ativação do Modo Confidencial de terceiros (Third-Party Confidential Mode)
Equipes jurídicas, de recursos humanos e de finanças lidam rotineiramente com contratos sob acordos de confidencialidade (NDA) ou informações de saúde protegidas por regulamentações como HIPAA e LGPD. O Grammarly oferece o Third-Party Confidential Mode para suspender automaticamente suas atividades quando tais documentos forem abertos.
Passo 3.1: Habilitar o modo confidencial
- No painel de administração, acerte a rota: Organization → Enterprise Security → Data.
- Localize a opção Third-Party Confidential Mode e alterne para On.
Passo 3.2: Vincular rótulos de confidencialidade do Microsoft Word (Purview / MIP)
Nos computadores com Grammarly for Windows instalado, o aplicativo analisa os metadados de classificação do Microsoft Word:
- Na seção do Modo Confidencial, localize a tabela Labels.
- Clique em Add.
- Insira o nome do rótulo corporativo (por exemplo, Altamente Confidencial ou Restrito Interno).
- Informe o identificador único global gerado no portal de conformidade do Microsoft Purview / Microsoft 365: Label ID (GUID).
- Clique em Save.
Sempre que um colaborador abrir um arquivo do Word com esse identificador de sensibilidade, o Grammarly suspenderá toda a leitura e sugestão de texto para o arquivo.
Passo 3.3: Comportamento no modo confidencial do Gmail
Em ambientes corporativos baseados no Google Workspace, quando um colaborador redige uma mensagem e ativa o "Modo confidencial" nativo do Gmail no Chrome, Edge ou Firefox, a extensão do Grammarly desativa automaticamente a leitura na janela de redação daquele e-mail.
4. Gerenciamento de listas de bloqueio para domínios e aplicativos desktop
Para evitar que extensões de navegador analisem repositórios internos de código, consoles de provedores de nuvem, ferramentas de folha de pagamento ou sistemas de prontuário eletrônico (EHR), os administradores devem cadastrar exclusões centralizadas.
Passo 4.1: Bloquear domínios da web
- Acesse Organization → Enterprise Security → Domains and apps.
- Clique em Add to block list e selecione Domain.
- Digite o domínio sem protocolos ou barras adicionais (ex.:
portal-interno.empresa.comouworkday.com; não incluahttps://ouwww). - Marque Include subdomains para abranger recursivamente todos os subdomínios vinculados (como
*.empresa.com). - Defina a abrangência:
- Entire organization: Bloqueio geral para toda a empresa.
- Specific groups: Aplicação exclusiva a grupos definidos (como Desenvolvimento ou Jurídico).
- Confirme clicando em Add.
Passo 4.2: Bloquear softwares executáveis no desktop
O Grammarly para Windows e macOS utiliza APIs de acessibilidade do sistema para atuar em programas desktop. Para isolar terminais de comando, ferramentas de banco de dados, IDEs ou sistemas contábeis legados, bloqueie os executáveis:
- Na página Domains and apps, clique em Add to block list e selecione Application.
- Informe o nome do processo:
- Windows: Nome exato com extensão
.exe(ex.:powershell.exe,cmd.exe,dbeaver.exe,devenv.exe). - macOS: Nome binário da aplicação (ex.:
Terminal,Xcode,iTerm2). - Parque misto: Cadastre separadamente os executáveis de Windows e Mac.
- Windows: Nome exato com extensão
- Escolha a abrangência da regra (organização completa ou grupos específicos) e clique em Add.
Nota essencial sobre a arquitetura: Modelo Blocklist
O console administrativo do Grammarly opera exclusivamente sob o modelo de lista de bloqueio (Blocklist). Não existe um modo nativo de "lista de permissões" (Allowlist) que desative o assistente por padrão em todo o sistema operacional, deixando-o funcional apenas em softwares explicitamente liberados. Portanto, a equipe de segurança deve mapear proativamente todos os endpoints críticos.
Para maior robustez, recomenda-se combinar as regras da console com soluções de MDM (Microsoft Intune ou Jamf) e Group Policy (GPO) para gerenciar extensões e binários. Além disso, em Organization → Enterprise Security → Client apps, os administradores podem configurar o status dos produtos do Grammarly como Managed (gerenciado) ou Blocked (bloqueado).
5. Controle de acesso departmental a recursos de IA generativa
Embora ferramentas de IA generativa tragam ganhos expressivos para marketing e atendimento, setores como P&D, contabilidade e assessoria jurídica podem apresentar restrições regulatórias e riscos de propriedade intelectual. O Grammarly permite controlar essas permissões por unidade funcional.
Passo 5.1: Acessar o controle de funcionalidades
- No console administrativo, clique em Organization.
- Selecione a aba Feature access.
Passo 5.2: Configurar o interruptor do AI Assistant
- Desativação completa na empresa: Mude o interruptor do AI assistant para Off. Todos os colaboradores continuarão utilizando correções gramaticais, ortográficas e de clareza, mas sem acesso à geração de texto a partir de prompts.
- Habilitação por grupos: Mantenha em On e selecione exclusivamente grupos funcionais autorizados (como Comunicação ou Vendas). Equipes de engenharia e compliance podem ficar de fora, evitando a submissão de dados sigilosos aos modelos de linguagem.
Passo 5.3: Gerenciamento de Docs with agents e reescritas complexas
- Docs with agents: Controle o acesso à superfície de escrita com agentes em Feature access. Se ativado, é possível gerenciar agentes específicos em Organization → Agent access.
- Reescrita de parágrafos e tradução: Defina separadamente se os usuários podem realizar reescrita integral de parágrafos (Paragraph-level rewrites) ou traduções multilíngues automáticas.
6. Garantias de privacidade de dados, criptografia e retenção zero
Ao responder a auditorias internas de governança e certificações de conformidade, a equipe de TI pode se apoiar nos padrões de infraestrutura do Grammarly.
6.1: Dados corporativos não utilizados em treinamento de modelos
O Grammarly assume o compromisso formal de que os textos de clientes corporativos nunca são usados para treinar seus modelos de aprendizado de máquina nem modelos fundacionais de terceiros. Em contas do plano Enterprise, o compartilhamento de dados para aprimoramento de produtos vem desativado por padrão no nível do tenant.
6.2: Microsoft Azure OpenAI e retenção zero de dados (Zero-Day Retention)
O Grammarly emprega o Microsoft Azure OpenAI Service como infraestrutura principal de IA generativa sob contrato empresarial:
- Zero-Day Retention: As instruções e os textos gerados não são registrados em log, mantidos em cache ou retidos nos servidores da Microsoft.
- Isolamento de tenant: O tráfego corporativo é processado em ambientes virtuais isolados na nuvem.
- Pré-higienização de PII: Antes de enviar os prompts para os modelos de linguagem, o Grammarly aplica rotinas de desidentificação e mascaramento.
6.3: Criptografia com chave própria (BYOK)
Para empresas sujeitas a exigências rigorosas de custódia sobre dados em repouso, o plano Enterprise disponibiliza o Bring Your Own Key (BYOK) via AWS Key Management Service (KMS):
- A empresa cria sua chave mestre em sua própria conta AWS e compartilha o Amazon Resource Name (ARN) com o Grammarly.
- Os dados armazenados (como textos salvos no editor web) são criptografados em repouso com AES-256 usando essa chave.
- Caso a empresa revogue o acesso à chave no AWS KMS, os dados tornam-se inacessíveis de forma instantânea (Crypto-shredding).
- Toda operação de acesso à chave fica registrada no AWS CloudTrail da própria empresa para auditoria contínua.
6.4: Gestão de identidade e certificações de conformidade
- SAML 2.0 e SCIM: Autenticação integrada via Okta, Microsoft Entra ID (Azure AD), PingIdentity ou Google Workspace, com desprovisionamento automatizado no desligamento de colaboradores.
- Gerenciamento de sessão: Configuração de tempo limite de inatividade nas sessões do painel administrativo.
- Conformidade regulatória: Auditorias independentes comprovam conformidade com SOC 2 (Tipo II), ISO/IEC 27001, 27017, 27018, 27701 e elegibilidade para assinatura de BAA sob os requisitos da HIPAA.
7. Checklist de implantação para administradores de TI
Recomenda-se executar a implementação em fases estruturadas:
[ ] Fase 1: Identidade e provisionamento
- Configurar SAML 2.0 SSO e integração SCIM.
- Sincronizar grupos do diretório corporativo (Jurídico, Finanças, Engenharia, Vendas).
[ ] Fase 2: Bloqueio perimetral de domínios e softwares
- Cadastrar repositórios internos, sistemas de RH e portais corporativos na lista de domínios.
- Adicionar executáveis de linhas de comando e IDEs à lista de aplicativos bloqueados.
[ ] Fase 3: Higienização por DLP e modo confidencial
- Verificar a ativação do DLP em Enterprise Security → Data.
- Validar o mascaramento de dados por meio da ferramenta "Test out DLP".
- Ativar o Third-Party Confidential Mode e cadastrar os GUIDs do Microsoft Purview.
[ ] Fase 4: Governança de IA generativa
- Em Feature access, restringir o AI Assistant apenas aos setores que necessitam da ferramenta.
- Desativar Docs with agents e reescritas de parágrafos para equipes que manipulam dados sigilosos.
[ ] Fase 5: Validação criptográfica e contratual
- Ativar a criptografia BYOK via AWS KMS caso haja exigência de soberania de chaves.
- Formalizar a assinatura do BAA com a equipe do Grammarly se houver tratamento de dados de saúde (PHI).
Ao adotar o mascaramento preventivo por DLP, a integração com rótulos de sensibilidade do Purview, o bloqueio sistemático de sistemas internos e o controle segmentado de IA generativa, os administradores de TI garantem uma experiência de escrita produtiva para os colaboradores, mantendo a conformidade e a segurança das comunicações empresariais.