Como Administradores de TI Corporativos Configuram o Microsoft Copilot com Proteção de Dados Corporativos

Os administradores de TI corporativos podem blindar as interações no Microsoft Copilot contra vazamentos externos, retenção indevida e uso para treinamento de inteligência artificial por meio da Proteção de Dados Corporativos (Enterprise Data Protection ou EDP), combinando a autenticação do Microsoft Entra ID com políticas de governança do Microsoft 365.

A Proteção de Dados Corporativos (anteriormente conhecida como Proteção de Dados Comerciais ou CDP) é um conjunto de salvaguardas nativas incluído sem custo adicional para organizações com assinaturas comerciais qualificadas. Quando os colaboradores fazem login com suas contas corporativas ou de estudante do Microsoft Entra ID (antigo Azure AD), a EDP é ativada automaticamente. Sob essa proteção, os comandos enviados (prompts) e as respostas geradas permanecem estritamente dentro do limite de serviço do locatário (tenant) do Microsoft 365, são criptografados em trânsito e em repouso, e ficam contratualmente proibidos de serem usados para treinar modelos de linguagem de grande porte (LLMs) da Microsoft ou da OpenAI.

No entanto, essa proteção depende intrinsecamente da identidade do usuário. Caso os colaboradores acessem o Copilot sem autenticação ou com contas pessoais da Microsoft (MSA), a sessão passa a ser regida pelos termos de consumo pessoal, onde as mensagens podem ser retidas ou utilizadas para aprimoramento de produtos. Dessa forma, a equipe de TI precisa impor a autenticação corporativa via Entra ID, configurar políticas de navegador, restringir pesquisas externas e estabelecer políticas de conformidade no Microsoft Purview.

1. Como Funciona a Proteção de Dados Corporativos (EDP)

Dependendo da identidade utilizada no login, o Microsoft Copilot opera sob arquiteturas técnicas e termos legais completamente distintos:

Salvaguardas Técnicas da EDP

• Isolamento de Locatário e Criptografia: Todas as consultas e respostas são processadas dentro da fronteira segura do Microsoft 365. O tráfego usa TLS 1.2+ e os dados em repouso são protegidos com BitLocker e criptografia de serviço.
• Compromisso de Não Treinamento: A Microsoft não tem acesso aos prompts, às respostas geradas ou aos arquivos lidos pelo Microsoft Graph para treinar modelos fundamentais de IA.
• Armazenamento de Conformidade no Exchange: As conversas corporativas são preservadas na infraestrutura de caixas postais do Exchange Online do usuário, permitindo aplicar retenção legal e exclusão programada via Purview.
• Responsabilidade como Operador (DPA): A atuação da Microsoft sob o DPA garante total conformidade com a LGPD, o GDPR europeu, a norma ISO/IEC 27018 e o Limite de Dados da UE (EU Data Boundary).

2. Licenciamento e Pré-requisitos

A Proteção de Dados Corporativos está inclusa sem custos extras nas principais licenças corporativas e educacionais:

• Linha Enterprise: Microsoft 365 E3, E5, F1, F3; Office 365 E1, E3, E5, F3
• Linha Business: Microsoft 365 Business Basic, Business Standard, Business Premium
• Educação: Microsoft 365 A3, A5; Office 365 A1, A3, A5 (para corpo docente e estudantes elegíveis)
• Teams Avulso e Governo: Teams Enterprise, Teams Essentials e ambientes governamentais GCC

Organizações que adquirem a licença de Microsoft Copilot (antigo complemento Microsoft 365 Copilot) contam com os mesmos compromissos de EDP, com o benefício adicional de orquestração semântica via Microsoft Graph sobre dados internos (arquivos do SharePoint, e-mails e reuniões).

3. Roteiro de Configuração para Administradores de TI

Para proteger o uso do Copilot em toda a empresa, os administradores devem configurar quatro camadas essenciais de governança:

+-----------------------------------------------------------------------------------+
|                            1. Camada de Identidade e Rede                         |
|  - Atribuir licenças M365 -> Liberar copilot.cloud.microsoft -> Tenant Restrictions|
+-----------------------------------------------------------------------------------+
                                         |
                                         v
+-----------------------------------------------------------------------------------+
|                       2. Políticas de Dispositivos e Microsoft Edge               |
|  - Forçar login corporativo (BrowserSignin = 2) -> RestrictSigninToPattern        |
|  - Controle de contexto de página ativa (EdgeEntraCopilotPageContext)             |
+-----------------------------------------------------------------------------------+
                                         |
                                         v
+-----------------------------------------------------------------------------------+
|                        3. Centro de Administração e Pesquisa Web                  |
|  - Configurações do M365 Admin Center -> Política Allow web search in Copilot     |
+-----------------------------------------------------------------------------------+
                                         |
                                         v
+-----------------------------------------------------------------------------------+
|                       4. Governança e Auditoria no Microsoft Purview              |
|  - Políticas de retenção -> Logs de auditoria -> Proteção contra perda de dados   |
+-----------------------------------------------------------------------------------+

Passo 1: Impor o Login via Entra ID e Bloquear Contas Pessoais

Como a proteção EDP só é acionada na presença de um token corporativo do Entra ID, é imprescindível impedir o login com contas pessoais nos dispositivos gerenciados da empresa.

A. Configurar Políticas do Microsoft Edge (Intune ou GPO)

Aplique os modelos administrativos do Microsoft Edge via Intune ou políticas de grupo:

1. Forçar o Login no Navegador (BrowserSignin):
   • Defina BrowserSignin como 2 (Forçar os usuários a entrar para usar o navegador). Isso impede o uso anônimo do Edge.
2. Restringir Contas Autorizadas (RestrictSigninToPattern):
   • Configure RestrictSigninToPattern com uma expressão regular correspondente ao domínio corporativo (por exemplo: .*@suaempresa\.com).
   • Essa regra impede que colaboradores criem perfis paralelos com contas @outlook.com, @gmail.com ou domínios externos não aprovados.
3. Gerenciar o Contexto de Página na Barra Lateral (EdgeEntraCopilotPageContext):
   • Configure como Enabled (1) caso permita que o Copilot resuma documentos internos ou páginas abertas na aba ativa; ou Disabled (0) para bloquear a leitura do conteúdo em exibição. Documentos com rótulos de confidencialidade protegidos por políticas DLP do Purview são automaticamente bloqueados para leitura do Copilot.

B. Habilitar Restrições de Locatário v2 (Tenant Restrictions v2)

Para impedir que dispositivos corporativos se conectem a instâncias pessoais ou a locatários externos não autorizados:

1. Acesse o Centro de administração do Microsoft Entra > Identidades Externas > Configurações de acesso entre locatários.
2. Configure Restrições de locatário v2 para permitir apenas a autenticação no locatário oficial da organização.

Passo 2: Liberar Endpoints de Rede Oficiais

Os serviços do ecossistema Copilot foram consolidados sob o domínio .cloud.microsoft.

1. Liberar Endpoints Principais: Certifique-se de que firewalls e proxies corporativos permitam o tráfego de saída para:
   • *.cloud.microsoft
   • Ponto de entrada web: https://copilot.cloud.microsoft
2. Evitar Bloqueios Seletivos na Camada de Rede: A Microsoft desaconselha bloquear subdomínios ou IPs específicos do Copilot. Por estar profundamente integrado a aplicativos como Teams e Outlook, o bloqueio de rede fragmentado costuma causar travamentos e falhas de comunicação nos aplicativos do Microsoft 365. Use os controles de política internos para desativar recursos.

Passo 3: Controlar a Pesquisa Web no Bing e a Anonimização de Consultas

Por padrão, o Microsoft Copilot Chat utiliza a pesquisa do Bing para embasar respostas sobre acontecimentos recentes e dados públicos.

Como Funciona a Anonimização de Consultas no Bing

Quando uma pesquisa externa é necessária:

• O Copilot extrai poucas palavras-chave da solicitação do usuário.
• O identificador do usuário (UPN), o nome da empresa e o ID do locatário são totalmente removidos.
• Documentos corporativos, e-mails e anexos nunca são enviados ao Bing.
• A transmissão ocorre via HTTPS, e a Microsoft se compromete contratualmente a não repassar consultas a anunciantes, não criar perfis comportamentais e não treinar modelos de IA com essas buscas.

Desativação Total da Pesquisa Web (Opcional)

Para ambientes altamente regulados que não permitem consultas externas:

1. Acesse o Centro de administração de aplicativos do Microsoft 365 (config.office.com) e entre em Política de Nuvem (Cloud Policy).
2. Crie ou edite uma política direcionada aos grupos de usuários desejados.
3. Localize a configuração Permitir pesquisa na Web no Copilot (Allow web search in Copilot):
   • Habilitada no Microsoft Copilot e no Copilot Chat: Mantém as consultas externas anônimas.
   • Desabilitada no modo Trabalho; Habilitada no modo Web: Isola prompts internos e mantém pesquisa na web geral.
   • Desabilitada em ambos: Interrompe qualquer envio de consultas ao Bing. O Copilot responderá baseado apenas em seu conhecimento prévio.

Essa configuração também pode ser gerenciada diretamente no Centro de administração do Microsoft 365 em Copilot > Configurações.

Passo 4: Implementar Retenção de Dados e Auditoria no Microsoft Purview

Com a proteção EDP ativada, as interações de chat são armazenadas na arquitetura de conformidade do Exchange Online, permitindo gestão completa no Purview:

1. Políticas de Retenção para o Copilot:
   • No Portal de conformidade do Microsoft Purview, vá até Gerenciamento do ciclo de vida de dados > Políticas de retenção.
   • Crie uma política dedicada às Interações do usuário com o Microsoft Copilot.
   • Estabeleça a exclusão automática de chats após determinado período (por exemplo, 30, 60 ou 90 dias) para reduzir a exposição de dados antigos, ou configure retenção legal se exigido por órgãos reguladores.
2. Trilhas de Auditoria e Investigação:
   • Em Microsoft Purview > Auditoria, consulte eventos registrados sob o esquema CopilotInteraction.
   • Os logs registram o carimbo de data/hora, a identidade do usuário, o aplicativo de origem e se houve pesquisa web.
3. Prevenção contra Perda de Dados (DLP):
   • Configure políticas de Endpoint DLP e Edge DLP no Purview. Ao abrir um arquivo marcado como "Confidencial", o sistema impede que o usuário copie trechos para o Copilot ou solicite resumos do arquivo.

4. Roteiro de Verificação: Como Confirmar se a EDP está Ativa

Após concluir a configuração, realize estes três testes de validação:

1. Verificação Visual da Interface:
   • Abra https://copilot.cloud.microsoft ou a barra lateral do Copilot no Microsoft Edge.
   • Confirme a exibição do ícone de escudo verde com a legenda Protegido (Protected) localizado próximo ao botão "Novo chat".
   • Verifique se o avatar exibe o status de conta de Trabalho (Work).
   • Abaixo do campo de digitação, certifique-se de que a mensagem de segurança é exibida: “Seus dados pessoais e da empresa estão protegidos neste chat.”
2. Teste de Bloqueio de Contas Pessoais:
   • Tente autenticar uma conta pessoal @outlook.com no Edge ou no Copilot em uma máquina corporativa. O navegador deve exibir uma mensagem de restrição de política da empresa, bloqueando o acesso.
3. Validação no Purview:
   • Realize um comando de teste em uma sessão corporativa.
   • Aguarde entre 15 e 30 minutos e consulte a Auditoria do Microsoft Purview para certificar-se de que o log de interação foi gravado no locatário da empresa.

5. Boas Práticas Recomendadas

Garantir a segurança no uso corporativo do Microsoft Copilot é simples e não exige proxies terceiros:

• Elimine brechas de contas pessoais: Use políticas do Intune e do Edge (BrowserSignin = 2 e RestrictSigninToPattern) para assegurar que apenas perfis Entra ID sejam utilizados.
• Treine os usuários: Oriente a equipe a sempre conferir a presença do escudo verde "Protegido" antes de inserir qualquer informação técnica ou corporativa sensível.
• Ajuste a pesquisa web à sensibilidade do negócio: Em áreas com sigilo estrito (como jurídico ou P&D), desative a pesquisa web externa via Cloud Policy.
• Automatize o ciclo de vida dos chats: Configure políticas de expiração automática de conversas no Purview para minimizar passivos de dados desnecessários.

Referências

• Enterprise data protection in Microsoft Copilot and Microsoft Copilot Chat | Microsoft Learn
• Microsoft Copilot Chat Privacy and Protections | Microsoft Learn
• Data, privacy, and security for web search in Microsoft Copilot and Microsoft Copilot Chat | Microsoft Learn
• Manage Microsoft Copilot Chat | Microsoft Learn