João Miguel Mesquita
Segundo a imprensa britânica, a Microsoft confirmou que um erro de software no serviço Microsoft 365 Copilot levou o assistente de inteligência artificial a processar incorretamente mensagens de correio eletrónico marcadas com rótulos de sensibilidade, como “Confidencial”. O problema permitiu que o Copilot resumisse e-mails armazenados nas pastas “Rascunhos” e “Itens Enviados”, mesmo quando estavam protegidos por políticas de prevenção contra perda de dados (DLP).
O incidente foi inicialmente detetado a 21 de janeiro e registado internamente sob a referência CW1226324. A falha afetou a chamada “guia de trabalho” do Microsoft 365 Copilot Chat, o espaço onde os utilizadores podem interagir com o assistente para obter respostas baseadas em conteúdos organizacionais.
De acordo com a informação divulgada pela própria empresa, o erro não resultou de configurações incorretas por parte dos clientes, mas sim de um problema no código dos servidores da Microsoft, que aplicaram exclusões inadequadas às pastas “Rascunhos” e “Itens Enviados”. Na prática, os mecanismos que deveriam impedir o processamento de conteúdos classificados como sensíveis não funcionaram como previsto nesse contexto específico.
O Microsoft 365 Copilot foi concebido como um assistente contextual capaz de indexar documentos, mensagens de correio eletrónico, ficheiros armazenados no SharePoint e conversas no Teams, com o objetivo de responder a perguntas, gerar texto ou produzir resumos automáticos. Para mitigar riscos associados à privacidade empresarial, a Microsoft integrou controlos administrativos e exceções baseadas em rótulos de sensibilidade, permitindo às organizações excluir determinados conteúdos do processamento por IA.
Estes controlos são particularmente relevantes em setores regulados, como finanças, saúde ou administração pública, onde a proteção de informação confidencial é uma exigência legal e contratual. O facto de a falha ter contornado esses mecanismos levanta questões adicionais para responsáveis de TI e equipas de conformidade.
A Microsoft indicou que começou a implementar uma correção no início de fevereiro e que continua a acompanhar a sua aplicação. A empresa está também a contactar um grupo de utilizadores afetados para confirmar se a atualização está a funcionar como previsto. Até ao momento, não foram divulgados o número de organizações impactadas nem um calendário detalhado para a resolução completa do incidente.
O caso foi classificado como um aviso, designação normalmente utilizada pela empresa para problemas com impacto ou alcance considerados limitados.
Crescente escrutínio sobre IA e dados sensíveis
O episódio surge num contexto de maior atenção às práticas de tratamento de dados pelas ferramentas de inteligência artificial. Esta semana, o departamento de TI do Parlamento Europeu desativou temporariamente funcionalidades de IA nos dispositivos oficiais dos eurodeputados, invocando preocupações relacionadas com a eventual transferência de informação confidencial para fora dos sistemas seguros.
Numa comunicação interna, os serviços de suporte técnico alertaram que determinadas funções de IA dependem de processamento na cloud para tarefas como o resumo de e-mails ou a redação de documentos, o que pode implicar o envio de dados para servidores externos. As autoridades manifestaram ainda receios de que a informação submetida a assistentes de IA possa ser utilizada para melhorar os modelos subjacentes, criando o risco de exposição de conteúdos sensíveis fora do seu contexto original.
Para decisores de compras tecnológicas, o incidente reforça a necessidade de avaliar não apenas as funcionalidades oferecidas pelas plataformas de IA integradas nas suites de produtividade, mas também os mecanismos efetivos de controlo e as garantias contratuais associadas ao tratamento de dados confidenciais.
