Imagine que uma empresa ativa o Copilot numa segunda-feira. Na sexta, um colaborador descobre, com uma pergunta em linguagem natural, que consegue ver os salários dos colegas. Não porque o Copilot tenha uma falha de segurança. Mas porque aquele arquivo ficou acessível a qualquer pessoa da empresa por quatro anos, e ninguém se lembrou de que ele existia.
O Copilot não cria vulnerabilidades novas. Ele elimina a fricção que tornava as vulnerabilidades existentes invisíveis. E isso muda absolutamente tudo.
O ano em que os 3% decidiram ir primeiro
A Microsoft reportou 15 milhões de usuários com licenças pagas do Copilot em janeiro de 2026, contra 450 milhões de assinantes comerciais do Microsoft 365. Isso representa uma taxa de adoção de 3,33%. Mesmo entre as maiores empresas do mundo, a maioria está rodando pilotos pequenos. Não implantações reais.
O freio não é o preço. O freio é a preparação. E a preparação, neste contexto, tem um nome pouco glamoroso: governança de dados. Ou seja, saber quais informações existem dentro da organização, onde estão, e quem pode vê-las.
A pasta que ninguém lembrava
Todas as organizações que usam o Microsoft 365 acumulam o mesmo tipo de problema com o tempo. Decisões que pareciam inofensivas:
- Um documento compartilhado com "qualquer pessoa com o link"
- Um grupo de trabalho de três anos atrás que ainda tem acesso a pastas ativas
- Um relatório financeiro distribuído amplamente em 2021 para uma reunião, e que nunca foi revogado
- Sites de projetos encerrados que continuam abertos sem um responsável ativo
Uma análise de 2025 revelou que as organizações têm, em média, 802.000 arquivos em risco por excesso de acesso, com 16% dos dados críticos de negócio expostos a pessoas que não deveriam tê-los.
Esse número não é alarmante por ser novo. É alarmante porque já existia e ninguém havia quantificado.
| Situação | Antes do Copilot | Com o Copilot ativo |
|---|---|---|
| Arquivo de salários mal compartilhado | Ninguém encontra facilmente | Qualquer pessoa pode solicitá-lo em linguagem natural |
| Projeto encerrado com pastas abertas | Acesso ignorado, sem uso | Conteúdo disponível para todos com acesso |
| Link "qualquer pessoa com o link" ativo | Risco teórico | Risco imediato e explorável |
| Informação sem classificação | Passa despercebida | Copilot a inclui nas respostas sem restrição |
O Copilot não cria o problema. Ele torna o problema impossível de ignorar.
Ver antes de fazer
A primeira ação antes de ativar o Copilot não é configurar a ferramenta. É entender quem pode ver o quê dentro do ambiente.
A Microsoft inclui em qualquer licença do Copilot uma ferramenta de gestão que permite identificar qual conteúdo está superexposto, verificar que cada espaço de trabalho tem um responsável ativo, e revisar o acesso de forma contínua.
Os relatórios de visibilidade mostram, arquivo por arquivo, quem tem permissão de ver o quê dentro do ambiente completo, e permitem que os responsáveis identifiquem e corrijam os acessos excessivos de forma sistemática.
Não é necessário limpar tudo antes de ativar o Copilot. A estratégia correta é priorizar por sensibilidade e alcance: o mais crítico e o mais exposto vai primeiro.
Dar nome ao que deve ser secreto
Identificar o problema não basta. É preciso classificar as informações para que as regras possam ser aplicadas de forma automática.
Pense nas categorias de um arquivo físico. A recomendação é manter essa classificação simples: três a cinco categorias, com nomes tão claros que qualquer pessoa da equipe consiga aplicá-los corretamente na primeira vez.
| Categoria | O que inclui | Quem pode ver |
|---|---|---|
| Público | Comunicados, conteúdo de marketing | Qualquer pessoa, incluindo externos |
| Interno | Procedimentos, políticas gerais | Toda a organização |
| Confidencial | Dados financeiros, contratos, RH | Apenas as equipes correspondentes |
| Restrito | Estratégia, M&A, informação regulada | Acesso explícito por pessoa |
Quando um documento tem uma categoria atribuída, o Copilot a respeita. Se o documento está marcado como confidencial, ele não vai aparecer na resposta a alguém que não deveria vê-lo. Mas se nunca foi classificado, não há regra para aplicar.
A classificação automática resolve o histórico acumulado em uma escala que a revisão manual nunca conseguiria alcançar, e os documentos que o Copilot gera herdam automaticamente a categoria mais alta do conteúdo que os originou.
A ordem que muda o resultado
A sequência correta não é "ativar o Copilot e ver o que acontece". É:
- Diagnosticar o acesso. Saber qual conteúdo está superexposto e para quem. As ferramentas incluídas na licença do Copilot cobrem essa etapa.
- Classificar as informações sensíveis. Começar pelo mais crítico, não por tudo. Um sistema de quatro categorias é suficiente para começar.
- Configurar regras automáticas vinculadas a essas classificações, para que o sistema atue sem intervenção manual quando detecta conteúdo sensível.
- Fazer um piloto restrito com um grupo pequeno de usuários, monitorar como interagem com o Copilot e que tipo de respostas ele gera.
- Expandir gradualmente a partir desse piloto para o restante da organização, com visibilidade sobre o que o Copilot está fazendo em cada etapa.
Comprimir esse processo cria lacunas que são muito mais caras de corrigir depois que a implantação está feita.
O ponto
A pergunta que vale fazer não é "estamos prontos para o Copilot?" mas sim "temos clareza sobre o que o Copilot vai poder ver?". Se a resposta é não, o problema não é a ferramenta. É a ordem das ações.
O custo médio de um incidente de dados chegou a 4,44 milhões de dólares na pesquisa da IBM de 2025. O custo de um diagnóstico prévio à implantação é notavelmente menor. E a diferença entre os dois cenários é exatamente o trabalho que se evitou fazer a tempo.
O Copilot é uma ferramenta extraordinária quando o ambiente está preparado para ele. E amplifica os riscos ignorados quando não está.
Se esse tipo de análise é útil para você, há mais a cada semana na newsletter da macareno.net. Sem spam, sem genérico, só tecnologia Microsoft que importa.
Fontes
- Microsoft 365 Copilot Readiness and Resiliency with SharePoint — Microsoft Tech Community
- Security and governance innovations for Microsoft 365 Copilot from Ignite 2025 — Microsoft Tech Community
- Microsoft 365 Copilot Security: Get the Tenant Ready First — BDEmerson
- Is Your Microsoft 365 Tenant Ready for Copilot? — ABT
- Microsoft Purview: Proven Copilot Data Security Guide — Progressive Robot