Como verificar as permissões de uma ferramenta de IA antes de a ligar aos seus ficheiros

A autorização para utilizar uma ferramenta de IA com ficheiros não descreve, por si só, todo o percurso dos dados. Podem estar envolvidos vários elementos: o serviço de IA, a aplicação através da qual o utiliza, uma conta de trabalho e um conector que permite pesquisar documentos ou agir sobre eles. Antes de aceitar, identifique o nome do serviço, quem o publica e que conta ou repositório pretende associar. Se não conseguir determinar qual destes elementos está a pedir acesso, pare e consulte a documentação oficial antes de continuar.

A questão prática não é apenas «tem acesso aos meus ficheiros?», mas a quais, para que operações e a partir de que contexto. Distinga uma funcionalidade integrada numa suite de trabalho de uma aplicação externa que pede autorização na sua conta. Não presuma que as definições de uma se aplicam também à outra. A presença de um ecrã de consentimento também não prova que o acesso esteja limitado a um ficheiro específico: verifique o âmbito apresentado no ecrã e a explicação do fornecedor. Mantenha separados o serviço, a conta e o conector durante a análise. A ligação entre estes elementos não esclarece automaticamente o que cada um consegue ver ou fazer. Se as informações disponíveis não permitirem compreender essa relação, considere o âmbito incerto em vez de preencher as lacunas com suposições.

Verifique se a permissão permite visualizar, pesquisar, editar, criar, partilhar ou eliminar conteúdo. Estas capacidades têm consequências diferentes. Uma ferramenta que apenas precisa de localizar documentos não deve receber, sem uma explicação clara, poderes para os modificar ou partilhar. Esta é uma regra de prudência para a análise, não uma garantia de que todas as plataformas disponibilizem permissões separadas ou de que o texto da autorização descreva todas as operações internas. O nome da funcionalidade pode não esclarecer as ações permitidas; compare a redação da permissão com a tarefa que pretende executar. Se o ecrã ou a documentação forem genéricos ou pouco claros, não interprete essa incerteza como uma autorização limitada.

Em ambientes Microsoft 365, a documentação do Copilot descreve a relação entre a proteção de dados, as permissões da organização e o acesso ao conteúdo; a Microsoft também documenta etiquetas de confidencialidade e controlos de governação para dados do SharePoint. Estas páginas ajudam a formular perguntas sobre o ambiente e os seus controlos, mas não provam, por si só, que permissões uma integração específica solicita nem como está configurado um determinado tenant. Confirme sempre o produto e a conta concretos. Documentação sobre proteção de dados do Copilot e etiquetas de confidencialidade. A documentação geral do produto proporciona contexto, mas, para analisar uma ligação específica, consulte também o respetivo ecrã de consentimento e as definições aplicáveis. Não transfira conclusões de um produto, organização ou tipo de conta para outro sem confirmação.

Leia a política ou o centro de privacidade aplicável ao serviço que pretende utilizar. Procure saber que dados são recolhidos, para que fins, durante quanto tempo são conservados e se são utilizados para melhorar modelos ou serviços. Verifique também se as condições diferem entre contas pessoais e empresariais: não aplique automaticamente a uma modalidade uma declaração relativa a outra. Se a documentação não responder a uma pergunta, considere-a por esclarecer; não complete a resposta por dedução. Durante a análise, separe o que o fornecedor declara do que continua desconhecido e tenha em conta o serviço específico e o tipo de conta.

Os centros de ajuda da Google descrevem opções e informações de privacidade para as aplicações Gemini, e a Google fornece instruções para gerir ligações entre uma Conta Google e outros programadores. São fontes primárias para saber o que a Google documenta sobre os seus próprios serviços e mecanismos, não uma avaliação externa que certifique o comportamento de todas as aplicações associadas. Do mesmo modo, a documentação da Microsoft sobre o Copilot explica as condições declaradas para os seus produtos, mas não verifica a configuração de cada empresa. Centro de privacidade das aplicações Gemini e gestão de ligações à Conta Google. Utilize estas páginas para encontrar as informações publicadas e os controlos de conta relevantes. Não demonstram o comportamento de uma aplicação independente nem respondem a uma pergunta que a documentação deixe em aberto.

Antes de autorizar, localize a página onde são geridas as ligações da conta e confirme que poderá voltar a consultá-la. A Google documenta como gerir ligações a programadores externos; no Android, o Google Play disponibiliza instruções para alterar as permissões das aplicações. São controlos diferentes: remover uma ligação à conta não altera necessariamente as permissões do sistema operativo, e alterá-las não prova que as informações já recebidas pelo serviço tenham sido apagadas. Identifique o controlo aplicável à ligação que está a analisar, sem tratar as definições da conta e do dispositivo como equivalentes.

Antes de estabelecer a ligação, pode registar o nome da aplicação e o âmbito apresentado no ecrã de autorização. Depois, confirme nas definições da conta que a ligação aparece entre as autorizadas e que existe uma opção para a remover. Ao revogar o acesso, consulte também as instruções do fornecedor sobre eliminação ou conservação de dados: retirar o acesso futuro não prova que serão eliminadas cópias, registos ou conteúdos já processados. As opções e os respetivos efeitos podem depender do serviço e da conta. Permissões das aplicações Android e ligações à Conta Google. Tenha presente que a concessão e a revogação posterior respondem a questões diferentes: a primeira diz respeito ao acesso solicitado; a segunda, à possibilidade de a ligação continuar. Nenhum dos passos, por si só, esclarece todas as questões relativas às informações que o serviço possa já ter tratado.

Antes de conceder acesso, responda às seguintes perguntas com base na documentação ou no ecrã de autorização: quem publica a integração? Que conta será ligada? Que tipos de conteúdo poderá alcançar? Que operações permite? O que diz o fornecedor sobre utilização e conservação? Onde pode revogar o acesso? Se uma pergunta sem resposta disser respeito a documentos sensíveis e não conseguir verificá-la, adie a ligação ou consulte o administrador da sua organização. As políticas aplicáveis a contas de trabalho podem impor limites adicionais. Registar as respostas e assinalar as que continuam desconhecidas ajuda a evitar que uma suposição seja confundida com um facto documentado. A lista apoia a decisão, mas não certifica a integração.

Os guias sobre segurança de MCP e acesso da IA a ficheiros podem ajudar a identificar riscos e perguntas para uma análise, mas um guia secundário não substitui a documentação do fornecedor nem uma avaliação da integração que pretende utilizar. As informações disponíveis aqui também não permitem confirmar uma alteração recente de permissões numa ferramenta específica nem descrever o comportamento de todos os conectores existentes no mercado. A conclusão útil é mais restrita: autorize apenas depois de compreender o âmbito documentado e trate como desconhecido aquilo que o fornecedor não explica. Guia da SentinelOne sobre segurança de MCP. As explicações publicadas devem orientar a análise, não sustentar certezas para além do que demonstram. Se faltarem detalhes importantes, essa ausência deve fazer parte da decisão, em vez de levar à presunção do cenário mais tranquilizador.