Microsoft Copilot: Lei de Privacidade da Austrália e Violações de Dados Notificáveis

Empresas australianas que usam o Microsoft Copilot precisam entender como a Lei de Privacidade de 1988 e o esquema de Violações de Dados Notificáveis se aplicam às suas implantações do Copilot. O Copilot processa grandes volumes de dados do Microsoft 365, incluindo e-mails, documentos e entradas de calendário, para gerar respostas. Isso cria novos riscos de exposição de informações pessoais que estão sob a jurisdição do Office of the Australian Information Commissioner OAIC. Este artigo explica as obrigações legais, os recursos específicos do Copilot que acionam os requisitos de notificação de violação de dados e as medidas que sua organização deve tomar para estar em conformidade.

Como o Copilot Interage com Informações Pessoais sob a Lei de Privacidade

A Lei de Privacidade de 1988 define informações pessoais como qualquer dado que possa identificar um indivíduo. O Copilot pode acessar essas informações de fontes do Microsoft 365: e-mails, sites do SharePoint, arquivos do OneDrive, conversas do Teams e itens de calendário. Quando um usuário faz uma pergunta ao Copilot, o modelo de IA recupera dados relevantes dessas fontes para gerar uma resposta. Esse processo é chamado de ancoragem. A principal questão de conformidade é que o Copilot não distingue entre dados comerciais gerais e informações pessoais. Ele trata todo o conteúdo acessível de forma igual. Se um funcionário tem permissão para visualizar um arquivo contendo o número de arquivo fiscal de alguém, o Copilot pode incluir esse número em uma resposta para outro usuário que tenha acesso ao mesmo arquivo. Isso não é uma violação por si só. Mas se o Copilot expor essas informações pessoais a uma parte não autorizada, isso se torna uma violação de dados notificável sob o esquema de Violações de Dados Notificáveis.

O que Constitui uma Violação de Dados Notificável com o Copilot

Uma violação de dados notificável ocorre quando três condições são atendidas. Primeiro, há acesso não autorizado ou divulgação de informações pessoais. Segundo, a violação provavelmente resultará em danos graves para os indivíduos afetados. Terceiro, sua organização não pode tomar medidas corretivas para evitar o dano. Com o Copilot, uma violação de dados pode ocorrer de duas maneiras. A primeira é a exposição direta: um usuário pergunta algo ao Copilot e a resposta contém informações pessoais sobre um terceiro que o usuário não deveria ter visto. A segunda é a exposição indireta: um usuário compartilha uma resposta do Copilot contendo informações pessoais com alguém fora da organização. Em ambos os casos, sua organização deve avaliar se a violação provavelmente causará danos graves. Danos graves incluem roubo de identidade, perda financeira ou danos à reputação.

Etapas para Prevenir e Responder a Violações de Dados Relacionadas ao Copilot

Sua organização deve implementar controles técnicos e um processo de resposta a incidentes específico para o Copilot. As etapas a seguir abordam as obrigações de prevenção e notificação sob a Lei de Privacidade.

1. Configurar políticas de Prevenção contra Perda de Dados DLP do Microsoft Purview para o Copilot
   Acesse o portal de conformidade do Microsoft Purview em compliance.microsoft.com. Em Soluções, selecione Prevenção contra Perda de Dados. Crie uma nova política de DLP. Em Locais, selecione Copilot para Microsoft 365. Escolha os tipos de informações confidenciais que se aplicam à sua organização, como Número de Arquivo Fiscal Australiano, Número do Cartão Medicare ou Número de Cartão de Crédito. Defina a ação como Bloquear. Isso impede que o Copilot gere respostas que contenham esses tipos de dados.
2. Configurar rótulos de confidencialidade para restringir o acesso do Copilot
   No portal do Microsoft Purview, vá para Proteção de Informações > Rótulos de confidencialidade. Crie ou edite um rótulo com a configuração Marcar o conteúdo como confidencial. Em Rotulagem automática, configure regras que detectem padrões de informações pessoais. Em seguida, vá para a Central de administração do Microsoft 365 > Configurações > Configurações da organização > Copilot para Microsoft 365. Em Fontes de dados, exclua sites do SharePoint e pastas do OneDrive que contenham informações pessoais de alto risco. Isso impede que o Copilot ancore suas respostas nesse conteúdo.
3. Habilitar o registro em log de auditoria para interações do Copilot
   Na Central de administração do Microsoft 365, vá para Segurança e Conformidade > Auditoria. Ative a gravação do log de auditoria. Em Pesquisa, filtre por Atividade: Interação do Copilot. Defina o intervalo de datas para os últimos 30 dias. Revise os logs semanalmente para identificar respostas do Copilot que contenham informações pessoais. Exporte os logs para um arquivo CSV para seus registros.
4. Criar um plano de resposta a violações de dados para incidentes com o Copilot
   Documente um procedimento passo a passo para quando uma violação de dados do Copilot for detectada. Inclua estas ações: 1. Isole a conta de usuário afetada redefinindo a senha e revogando o acesso ao Copilot. 2. Identifique a resposta exata do Copilot que causou a violação revisando o log de auditoria. 3. Determine se a resposta foi compartilhada externamente. 4. Avalie se a violação provavelmente resultará em danos graves. 5. Se sim, prepare uma notificação ao OAIC e aos indivíduos afetados dentro de 30 dias após tomar conhecimento da violação.

Lacunas Comuns de Conformidade e Como Corrigi-las

As organizações frequentemente ignoram comportamentos específicos do Copilot que levam a violações de privacidade. Os problemas a seguir são as causas mais frequentes de violações de dados notificáveis com o Copilot.

Copilot acessa informações pessoais em caixas de correio compartilhadas

Caixas de correio compartilhadas geralmente contêm informações pessoais, como consultas de clientes ou registros de funcionários. O Copilot pode ler essas caixas de correio se o usuário tiver permissão de Acesso Total. Para corrigir isso, vá para Central de administração do Exchange > Destinatários > Caixas de correio compartilhadas. Selecione a caixa de correio compartilhada. Em Delegação de caixa de correio, remova a permissão de Acesso Total para usuários que não precisam dela. Em seguida, na Central de administração do Microsoft 365 > Configurações > Configurações da organização > Copilot para Microsoft 365, em Fontes de dados, desmarque Caixas de correio do Exchange Online se a caixa de correio compartilhada contiver dados de alto risco.

Copilot retorna informações pessoais do histórico de conversas do Teams

O histórico de conversas do Teams inclui conversas que podem conter informações pessoais, como endereços residenciais ou detalhes médicos. O Copilot pode recuperar esses dados quando um usuário faz uma pergunta sobre conversas passadas. Para evitar isso, vá para Central de administração do Microsoft Teams > Políticas de mensagens. Selecione a política aplicada aos seus usuários. Em Conversa, defina Excluir histórico de conversas para um período de retenção curto, como 30 dias. Em seguida, no Microsoft Purview > Gerenciamento do ciclo de vida dos dados > Políticas de retenção, crie uma política para mensagens de conversa do Teams com um período de retenção de 30 dias e depois exclua. Isso remove dados de conversas antigas do alcance do Copilot.

Copilot gera respostas com informações pessoais de usuários externos

Usuários externos, como convidados ou fornecedores, podem compartilhar arquivos que contenham informações pessoais. Se um usuário interno tiver acesso a esses arquivos, o Copilot pode incluir esses dados nas respostas. Para mitigar isso, vá para Central de administração do Microsoft 365 > Configurações > Configurações da organização > Copilot para Microsoft 365. Em Fontes de dados, desmarque OneDrive for Business e SharePoint. Isso restringe o Copilot apenas aos dados do Exchange Online. Como alternativa, crie uma política de DLP que bloqueie o Copilot de gerar respostas contendo informações pessoais de fontes externas.

Níveis de Risco do Copilot sob o Esquema de Violações de Dados Notificáveis

Cenário de Risco	Probabilidade de Danos Graves	Notificação Necessária
Copilot expõe um número de arquivo fiscal a um usuário interno não autorizado	Alta	Sim, notificar o OAIC em até 30 dias
Copilot expõe um endereço de e-mail de cliente em uma resposta compartilhada externamente	Média	Avaliar caso a caso; notificar se houver probabilidade de dano
Copilot expõe um documento comercial geral sem informações pessoais	Baixa	Nenhuma notificação necessária
Copilot expõe informações de saúde de uma conversa do Teams a um usuário não autorizado	Alta	Sim, notificar o OAIC e os indivíduos afetados

Sua organização agora pode configurar o Copilot para estar em conformidade com a Lei de Privacidade e o esquema de Violações de Dados Notificáveis. Comece implementando as políticas de DLP e os rótulos de confidencialidade descritos acima. Em seguida, realize uma revisão semanal do log de auditoria para detectar precocemente qualquer exposição de informações pessoais gerada pelo Copilot. Para proteção avançada, habilite o Microsoft Purview Communication Compliance para monitorar automaticamente as respostas do Copilot em busca de padrões de dados confidenciais.