SF3TECHNOLOGIES
GuiasGuias · Preparação para a IA

Como implementar o ChatGPT, o Claude e o Copilot em segurança numa pequena empresa

Como passar a sua equipa de contas pessoais de IA para contas da empresa, corrigir as autorizações de ficheiros que as ferramentas de IA herdam e escrever uma política de uma página que as pessoas sigam de facto.

8 minutos de leituraAtualizado

A resposta curta

Coloque todas as ferramentas de IA que a sua equipa utiliza em contas da empresa com início de sessão único, arrume a partilha de ficheiros antes de o Copilot ou o Gemini os poderem ler e publique uma política de uma página com uma lista curta de ferramentas aprovadas. Depois, comece com um grupo-piloto. Feito por esta ordem, a IA passa a ser algo que a sua empresa controla, em vez de algo que acontece em contas pessoais que ninguém consegue ver.

O risco real é banal

O risco de IA mais comum numa pequena empresa não é uma violação de segurança espetacular. É alguém colar uma lista de clientes, um contrato ou código-fonte numa conta pessoal do ChatGPT, onde a empresa não tem visibilidade, não controla a retenção e não tem forma de o remover quando essa pessoa sai.

O segundo risco é mais silencioso. Os assistentes integrados no Microsoft 365 e no Google Workspace conseguem ler tudo o que a pessoa que os utiliza já pode abrir. Se uma pasta dos RH foi partilhada com "todos" há anos, o assistente vai encontrá-la. A IA não cria esse problema, mas torna muito mais fácil tropeçar nele.

Passo 1: Descubra o que já está a ser utilizado

A maioria das empresas surpreende-se com a resposta. Antes de escolher seja o que for:

  • Pergunte à sua equipa, sem procurar culpados, que ferramentas de IA utiliza e para quê
  • Verifique que aplicações de IA as pessoas ligaram às contas de trabalho (no Microsoft Entra, em Aplicações empresariais, ou na Consola do administrador do Google, no controlo de acesso a apps)
  • Reveja os relatórios de despesas e os cartões da empresa à procura de subscrições de IA
  • Registe que tipo de dados lá entra: dados de clientes, financeiros ou pessoais, código ou contratos

Passo 2: Escolha as ferramentas e passe para contas da empresa

Não tem de escolher apenas uma. Muitas empresas usam duas, por exemplo o Copilot dentro do Microsoft 365 e ainda o ChatGPT ou o Claude para redação e análise. O que importa é que cada ferramenta seja um espaço de trabalho da empresa, com um responsável.

FerramentaPlanos empresariaisIndicada paraO que verificar antes de implementar
ChatGPTBusiness (antigo Team), EnterpriseRedação geral, análise e pesquisaSSO, definições de retenção do espaço de trabalho, que conectores e GPTs personalizados são permitidos
ClaudeTeam, EnterpriseDocumentos longos, análise cuidadosa, programaçãoSSO, retenção, que conectores e integrações são permitidos
Microsoft 365 CopilotSuplemento para os planos empresariais do Microsoft 365Trabalho dentro do Outlook, Word, Excel, Teams e SharePointPartilha de ficheiros e autorizações no SharePoint e no OneDrive
Gemini para Google WorkspaceIncluído nos planos do Workspace ou disponível como suplementoTrabalho dentro do Gmail, Documentos, Folhas de cálculo e DrivePartilha no Drive, drives partilhados e partilha externa

A OpenAI, a Anthropic, a Microsoft e a Google afirmam que, por predefinição, os dados empresariais destes planos não são usados para treinar os seus modelos. É esse o principal motivo para abandonar as contas pessoais. Leia os termos atuais de cada fornecedor antes de assinar, porque os planos e os nomes mudam com frequência.

Para cada ferramenta:

  • Crie um espaço de trabalho da empresa, com um responsável dentro da sua organização
  • Ligue o início de sessão ao Microsoft Entra ID ou ao Google Workspace, para que o acesso termine no próprio dia em que alguém sai
  • Defina uma regra de retenção para as conversas e os ficheiros carregados
  • Decida que conectores, plug-ins e agentes podem chegar aos dados da empresa e desative os restantes
  • Encerre as contas pessoais de forma ordenada: transfira o que as pessoas precisam e elimine o resto

Passo 3: Corrija o que as ferramentas herdam

O Copilot e o Gemini respeitam as autorizações que já existem. É essa a boa e a má notícia. Antes de os ativar:

  • Encontre ficheiros e sites partilhados com toda a empresa ou com "qualquer pessoa com a ligação"
  • Comece pelos RH, pelo financeiro e pelo jurídico e depois avance para o resto
  • Retire o acesso a quem já não precisa dele
  • No Microsoft 365, adicione etiquetas de confidencialidade e regras de prevenção de perda de dados para os ficheiros mais sensíveis e utilize os relatórios de partilha excessiva do SharePoint
  • No Google Workspace, reveja os drives partilhados e as definições de partilha externa

Vale a pena fazer esta limpeza mesmo sem IA. É o mesmo trabalho que reduz os danos se alguma vez uma conta for comprometida.

Passo 4: Uma política de uma página e um projeto-piloto

Uma política que ninguém lê não protege ninguém. Mantenha-a numa página:

  • Ferramentas aprovadas. A lista curta e como pedir uma nova.
  • O que nunca colar. Palavras-passe, dados pessoais de clientes fora das ferramentas aprovadas, dados de saúde ou salariais e tudo o que esteja abrangido por um acordo de confidencialidade, a menos que a ferramenta esteja aprovada para isso.
  • Verifique o resultado. A IA engana-se com toda a confiança. Quem envia é responsável pelo que envia.
  • Avise quando fizer diferença. Diga aos clientes ou colegas quando a IA produziu algo em que se vão basear.
  • A quem perguntar. Um nome ou uma caixa de correio para as dúvidas.

Depois, dê formação a um grupo-piloto de cinco a dez pessoas de equipas diferentes. Recolha o que funcionou e o que gerou confusão, ajuste as definições e a política e só então alargue a toda a empresa.

Mantenha tudo em ordem

  • Retire o acesso à IA no mesmo passo da saída de um colaborador em que retira o e-mail e os ficheiros
  • Reveja as novas ferramentas e conectores de IA todos os trimestres, porque o mercado muda depressa
  • Verifique as definições de retenção e partilha após cada grande atualização dos fornecedores
  • Mantenha um registo curto de quem aprovou cada ferramenta e porquê

Trabalho regulado ou sensível

Para trabalho jurídico, financeiro, de saúde e de engenharia que nunca deve sair do seu controlo, considere opções privadas: planos empresariais com controlos de dados mais rigorosos ou modelos de IA alojados no seu próprio ambiente. Dão mais trabalho a operar, por isso reserve-os para o trabalho que precisa mesmo deles.

Se tem colaboradores na União Europeia, o Regulamento da IA da UE já exige que as empresas que utilizam IA garantam que as suas pessoas têm um nível suficiente de literacia em IA. Uma sessão de formação curta e a política de uma página ajudam muito a demonstrá-lo.

Perguntas frequentes

O que nos perguntam

Respostas curtas ao que os fundadores e os responsáveis financeiros mais nos perguntam.

Faça-nos outra pergunta

É muito mais seguro num plano empresarial do que em contas pessoais. O ChatGPT Business e o Enterprise dão à empresa controlos de administração, início de sessão único e definições de retenção, e a OpenAI afirma que, por predefinição, os dados empresariais desses planos não são usados para treinar os seus modelos.

Como a SF3 Technologies ajuda

Configuramos o ChatGPT, o Claude, o Copilot e o Gemini em contas da empresa com controlos de administração, limpamos as autorizações que essas ferramentas herdam e damos à sua equipa uma política curta que vai mesmo seguir. A SF3 Technologies é membro do Microsoft AI Cloud Partner Program e aconselha sobre todas as plataformas sem favorecer nenhuma delas. Cada espaço de trabalho é criado em nome da sua empresa e gerido a partir do seu próprio Microsoft 365 ou Google Workspace através de contas de administrador dedicadas.

Solicite uma avaliação da preparação para a IAPreparação para a IA

Este guia contém informação geral e não constitui aconselhamento jurídico. Os planos e os termos dos fornecedores mudam com frequência, por isso verifique os termos atuais de cada fornecedor antes de comprar.