Atualizado em 25/10/2026
Só 43% fizeram revisão completa de permissões antes de ligar a IA
Um levantamento da Syskit, divulgado pela Infosecurity Magazine, indica que apenas 43% dos 327 decisores de TI e segurança ouvidos, em organizações com 500 ou mais funcionários nos EUA e no Reino Unido, concluíram uma revisão completa de permissões e do risco de compartilhamento excessivo antes de implantar ferramentas de IA, como o Copilot, sobre dados do Microsoft 365. Lido pelo outro lado, 57% admitiram ter feito apenas uma revisão parcial, ou nenhuma, antes de ligar a ferramenta sobre a base de arquivos, pastas e caixas de e-mail que a empresa acumulou ao longo de anos.
A mecânica por trás disso é simples, e é justamente por ser simples que incomoda. Um agente de IA responde com base no que ele tem autorização para ler, de modo que, se a autorização estiver larga, a resposta vem larga também. O estudo aponta como pontos recorrentes nesses ambientes as heranças antigas de permissão, as pastas compartilhadas "com a empresa toda" e os arquivos de ex-colaboradores que continuam acessíveis a usuários ativos (35% dos entrevistados), sendo que nada disso exige um invasor externo para virar um problema de negócio.
Vale levar uma pergunta para a próxima reunião de diretoria: se um colaborador pedir ao assistente corporativo um resumo das margens do último trimestre, o que exatamente ele teria permissão de encontrar pelo caminho?
O que essa notícia significa para quem decide
Para sócios, proprietários e C-levels, o impacto aparece primeiro em margem, contrato e reputação, bem antes de aparecer em qualquer painel técnico. Documentos como tabelas de preço, propostas em negociação, folha de pagamento e dados de clientes circulam em ambientes colaborativos desde sempre, e a diferença é que o agente de IA remove o atrito da busca, entregando em segundos aquilo que antes ninguém encontraria sem saber o caminho exato da pasta.
Na prática, o pedido por "uma IA da empresa" costuma nascer de uma área de negócio com pressa legítima de ganhar produtividade, e tende a ser aprovado em uma reunião curta, com foco em licença, custo e prazo. A pergunta sobre quais dados o assistente vai poder responder raramente entra nessa pauta, não por descuido, mas porque ela parece um detalhe de implantação quando na verdade é uma decisão de governança e compliance.
Como preparar o terreno antes da primeira pergunta ao agente
O primeiro movimento é um inventário de identidades, ou seja, a lista clara de quem existe no ambiente, quem já saiu da empresa, quais contas de serviço estão ativas e o que cada grupo de acesso realmente enxerga. Esse inventário costuma revelar muito em pouco tempo, porque contas órfãs e grupos herdados aparecem com facilidade quando alguém finalmente olha a lista inteira de uma vez.
Sobre essa base entram as capacidades de cibersegurança gerenciada que sustentam o dia a dia: MFA (Multi-Factor Authentication, autenticação multifator) para barrar o uso de contas herdadas ou reativadas, monitoramento proativo contínuo para sinalizar acessos e volumes de leitura fora do padrão, EDR (Endpoint Detection and Response, detecção e resposta em endpoints) nos equipamentos onde esses documentos acabam sendo baixados, e gestão de patches para manter o ambiente elegível às proteções mais recentes oferecidas pela plataforma.
Sua empresa conseguiria explicar, em uma auditoria, o que o agente de IA pode ler?
Essa é a pergunta que separa a adoção de IA que gera produtividade daquela que gera retrabalho. Responder bem não exige parar o projeto, exige apenas invertê-lo na ordem certa: inventário de identidades e revisão de permissões primeiro, piloto com um grupo pequeno depois, e liberação ampla quando o mapa de acessos estiver documentado.
Na prática, um modelo de TI gerenciada apoia exatamente esse ciclo, combinando inventário de identidades, revisão periódica de permissões, MFA aplicado de forma consistente, monitoramento proativo contínuo, gestão de patches, EDR nos endpoints, rotina de backup testada e treinamento das equipes sobre o que vale e o que não vale perguntar a um assistente corporativo. A boa notícia é que nenhuma dessas capacidades é exótica ou demorada de estruturar, e o time de TI interno segue no comando da estratégia, ganhando retaguarda para executar a parte operacional com método.
Referências
Perguntas frequentes
Por que revisar permissões de acesso antes de ativar um agente de IA?
Um agente de IA responde com base nos arquivos que ele tem autorização para ler, então permissões largas produzem respostas largas. Revisar acessos antes da ativação evita que contratos, folha de pagamento e propostas comerciais apareçam para quem nunca deveria vê-los. Segundo levantamento da Syskit divulgado pela Infosecurity Magazine, apenas 43% dos entrevistados, em organizações com 500 ou mais funcionários nos EUA e no Reino Unido, concluíram uma revisão completa de permissões antes de implantar ferramentas de IA como o Copilot sobre dados do Microsoft 365.
O que entra em um inventário de identidades?
Um inventário de identidades lista todas as contas ativas no ambiente, incluindo colaboradores atuais, ex-colaboradores, prestadores e contas de serviço, junto com os grupos de acesso de cada uma e o que esses grupos conseguem enxergar. O objetivo é descobrir contas órfãs, heranças de permissão antigas e pastas compartilhadas de forma ampla sem necessidade. É o ponto de partida natural de qualquer projeto de governança de acesso.
Quais capacidades de TI gerenciada sustentam uma adoção de IA mais segura?
As principais são revisão periódica de permissões, inventário de identidades, autenticação multifator, monitoramento proativo contínuo de acessos fora do padrão, EDR nos endpoints, gestão de patches e backup com restauração testada. Somadas, elas reduzem a exposição interna de dados e geram a trilha de evidências que auditoria e compliance solicitam. Treinamento das equipes completa o conjunto, porque define o que faz sentido perguntar a um assistente corporativo.
Se quiser começar pelo mapa de acessos antes do próximo passo de IA, a Zamak oferece um Diagnóstico Estratégico de TI, Sem Compromisso.