IA em contas da empresa, não em contas pessoais.

Contas empresariais em vez de contas pessoais

O risco de IA mais comum numa pequena empresa não é uma violação de segurança. É um colaborador a colar uma lista de clientes, um contrato ou código-fonte numa conta pessoal do ChatGPT, onde a empresa não tem visibilidade, não controla a retenção e não tem forma de o remover quando essa pessoa sai.

O ChatGPT Business (o plano anteriormente vendido como ChatGPT Team) e o ChatGPT Enterprise resolvem a maior parte disso. A OpenAI afirma que, por predefinição, os dados empresariais nestes planos não são utilizados para treinar os seus modelos. Os administradores dispõem de uma consola com análises do espaço de trabalho, definições de identidade e acesso, autorizações e funções, controlos de retenção e início de sessão único SAML, e o Enterprise acrescenta verificação de domínio, aprovisionamento SCIM e uma Compliance API para registos de auditoria. Configuramos o espaço de trabalho, ligamo-lo à sua identidade no Microsoft Entra ou na Google, decidimos quem recebe uma licença e depois encerramos as contas pessoais de forma ordenada: os dados de que as pessoas precisam são transferidos, o resto é eliminado.

Os planos Claude Team e Enterprise, da Anthropic, funcionam da mesma forma. Por predefinição, o conteúdo não é utilizado para treinar modelos, ambos os planos suportam início de sessão único, e o Enterprise acrescenta SCIM, captura de domínio, registos de auditoria, acesso baseado em funções e uma API de conformidade. Se os seus engenheiros, advogados ou analistas preferem o Claude, configuramo-lo com a mesma disciplina, em vez de o tolerarmos na sombra.

IA dentro dos dados que já tem

O Gemini para Google Workspace e o Microsoft 365 Copilot são diferentes de uma janela de chat. Leem os e-mails, ficheiros e conversas que uma pessoa já tem autorização para abrir, o que significa que também trazem à superfície tudo o que foi partilhado de forma demasiado ampla ao longo dos anos.

Do lado da Google, revemos as autorizações do Drive, as unidades partilhadas que cresceram sem controlo, as predefinições de partilha por ligação e a partilha externa antes de alguém ativar o Gemini, e fazemos primeiro um piloto com um grupo pequeno.

Do lado da Microsoft, fazemos uma avaliação de preparação para o Copilot: onde estão os seus dados, quem os consegue abrir e o que apareceria no primeiro dia. Depois, limpamos a partilha excessiva no SharePoint e no OneDrive, começando pelos RH, pelo financeiro e pelo jurídico, aplicamos etiquetas de confidencialidade do Microsoft Purview para que o conteúdo confidencial continue confidencial mesmo quando o Copilot o consegue ver, e configuramos a prevenção de perda de dados para que as pessoas não consigam colar nem enviar o que a política proíbe. Um inquilino com as autorizações corretas é mais seguro, quer venha a comprar uma licença do Copilot, quer não.

Perplexity, Meta AI, Mistral Le Chat e Grok

A sua equipa não vai ficar por quatro ferramentas, por isso nós também não. Para cada ferramenta, respondemos às mesmas três perguntas: existe uma conta empresarial com controlos de administrador, precisa de uma e o que é que os colaboradores que continuam a utilizar a versão gratuita precisam de saber.

• Perplexity: popular entre equipas comerciais e de investigação. O Perplexity Enterprise Pro e o Enterprise Max acrescentam SSO e SCIM, gestão de utilizadores, registos de auditoria e retenção de ficheiros configurável, e a Perplexity afirma que não treina os seus modelos com dados de clientes empresariais. Passamos os utilizadores intensivos para o espaço de trabalho empresarial e deixamos os utilizadores ocasionais sob a política.
• Meta AI: integrada no WhatsApp, no Instagram e no Facebook. As conversas pessoais no WhatsApp mantêm-se encriptadas de ponta a ponta e não são vistas pela Meta AI, mas tudo o que uma pessoa envia à Meta AI é recebido pela Meta. Nas empresas em que o WhatsApp é o principal canal com os clientes, definimos uma regra clara: a Meta AI não é para dados de clientes, contratos nem informação financeira, e as conversas de trabalho decorrem nas ferramentas do WhatsApp Business que a sua empresa controla.
• Mistral Le Chat: a Mistral é uma empresa francesa, o que conta para compradores na Alemanha e no resto da UE. O Le Chat existe nas versões Free, Pro, Team e Enterprise; o Team acrescenta acesso baseado em funções e faturação centralizada, e o Enterprise acrescenta início de sessão único SAML, registos de auditoria, gestão centralizada de utilizadores e a opção de o executar auto-alojado ou numa nuvem privada. Para empresas que querem um fornecedor europeu sob a legislação europeia, é uma opção séria, e configuramo-lo em conformidade.
• Grok: o assistente da xAI, integrado no X. A versão para consumidores está associada a uma conta pessoal do X, pelo que entra na lista «não é para dados da empresa», a menos que a sua empresa tenha configurado um dos espaços de trabalho business ou enterprise da xAI, com licenças e controlos organizacionais.

Uma política de utilização de IA que as pessoas vão seguir, e IA privada quando importa

A maioria das políticas de IA tem três páginas e ninguém as lê. A nossa cabe numa página: as ferramentas e contas aprovadas, os dados que nunca entram em nenhuma ferramenta de IA, como os resultados da IA são verificados antes de chegarem a um cliente e a quem perguntar. Escrevemo-la consigo, adaptamo-la ao RGPD na Europa e a leis locais de proteção de dados, como a Lei 1581 da Colômbia, e mantemo-la atualizada à medida que as ferramentas mudam.

Algum trabalho não deve ir para nenhum serviço público de IA: assuntos jurídicos sujeitos a sigilo, resultados financeiros não divulgados, dados de doentes, código-fonte sob contrato. Para esses casos, configuramos IA privada ou auto-alojada, seja um modelo aberto a correr em hardware ou nuvem que controla, seja uma implementação empresarial sem retenção de dados, e documentamos onde os dados são processados para que o possa mostrar a um encarregado de proteção de dados ou a um cliente.