O que o Microsoft Copilot faz com os seus dados

O nome Copilot cobre hoje duas coisas com regras opostas: a aplicação que se abre com uma conta Microsoft pessoal e o assistente da empresa, ligado a uma conta Microsoft Entra. Quem pergunta «o que faz o Copilot com os meus dados» recebe duas respostas, e a conta decide qual.

O que segue vem das páginas de suporte e do Microsoft Learn tal como estavam nessa data, 10 de novembro de 2026, postas ao lado do RGPD e do Código do Trabalho. Um contabilista certificado com processos de clientes tem ainda de pesar o dever de sigilo perante a OCC.

Conta Microsoft ou conta Entra: qual Copilot tem aberto

Com uma conta Microsoft pessoal, aplica-se o contrato de serviços e a declaração de privacidade da Microsoft. Com uma conta Entra da organização, aplica-se a adenda de proteção de dados, e a Microsoft trata os pedidos por conta do cliente. É a isto que chama proteção de dados empresarial.

Há ainda uma data: os artigos da app pessoal valem para a versão de 18 de agosto de 2026, e quem não atualizou fica fora deles. Do lado das empresas, o Microsoft Learn já escreve só «Microsoft Copilot» onde antes se lia Microsoft 365 Copilot.

Confundir as duas contas é, a meu ver, o erro que sai mais caro, porque o ecrã é quase igual. A Google e a Anthropic traçam a mesma linha noutros sítios do menu, e cada uma tem página na secção de guias.

Histórico e treino com uma conta Microsoft pessoal

Na app atualizada, a Microsoft chama histórico de atividade ao registo dos comandos e das respostas. O artigo diz que nem esses comandos, nem as respostas, nem o conteúdo dos ficheiros carregados servem para treinar modelos base. O feedback, que é opcional, pode servir para melhorar o Copilot.

Não há prazo de conservação publicado nesse artigo. O histórico apaga-se no dashboard de privacidade da conta, em Copilot, Aplicações Copilot, com Eliminar todo o histórico de atividades e a confirmação Limpar; ao lado, Exportar devolve um CSV. No assistente da OpenAI, o botão está noutro menu: apagar o histórico do ChatGPT.

Há uma frase que me incomoda. A promessa fala de «modelos base», e a declaração de privacidade geral, atualizada em novembro de 2026, continua a dizer que a Microsoft pode usar dados para desenvolver e treinar os seus modelos de IA. Gostava de ver as duas frases alinhadas.

Memória e anúncios personalizados: o que desligar na app

Quem usa o Copilot sem subscrição Microsoft 365 pode ver publicidade. Os anúncios genéricos escolhem-se pelo conteúdo mais recente da conversa em curso; os personalizados podem usar o histórico de conversas, as memórias guardadas e outros dados que tenha partilhado com a Microsoft.

A personalização desliga-se em Definições, Personalização. No mesmo sítio, em Gerir junto às memórias guardadas, apaga-se uma memória ou todas. Desligar a memória não apaga as que já existem, e a Microsoft escreve-o assim mesmo. Abaixo dos 18 anos, não há anúncios personalizados.

No Gemini, a Google escreve que as conversas não servem para anúncios, como se lê no guia do Gemini. Aqui, um interruptor que desliga sem apagar é, na minha leitura, uma armadilha para quem tem pressa.

Proteção de dados empresarial: o que a adenda cobre e o que deixa de fora

Numa conta Entra, comandos, respostas e dados lidos pelo Graph não treinam modelos base. O histórico fica cifrado, junto do resto do conteúdo Microsoft 365 da organização. A monitorização de abuso com revisão humana, que existe no Azure OpenAI, foi desligada para o Copilot.

Fora da adenda ficam peças invisíveis. Quando a resposta precisa da Internet, o Copilot tira do pedido umas poucas palavras e envia-as ao Bing, sem nome de utilizador, domínio ou ID do inquilino, mas com o endereço IP. Aí a Microsoft passa a responsável autónomo. Os agentes de terceiros seguem a política deles.

Os exemplos da Microsoft mostram que o nome de uma empresa citada no pedido pode ir parar à consulta. Num gabinete com clientes, desligaria a pesquisa na Web aos grupos que não precisam dela, com a política «Allow web search in Copilot». Um questionário de segurança vai perguntar por isto.

Microsoft Graph e permissões do SharePoint

O Microsoft Copilot com licença só mostra dados que o utilizador já pode, pelo menos, ver. Parece tranquilizador e não é. Uma pasta do SharePoint partilhada com toda a organização em 2019, e esquecida, passa a responder a qualquer pergunta bem feita.

A Microsoft remete para as permissões do SharePoint e do Teams, convidados de canais partilhados incluídos. Com etiquetas de confidencialidade cifradas pelo Purview, o Copilot respeita os direitos de utilização que a etiqueta dá a cada pessoa.

Ligar o Copilot a um SharePoint desarrumado é pôr um motor de busca muito bom em cima de partilhas que ninguém revê. Os Word guardados nessas pastas levam ainda comentários e revisões, e limpá-los antes da IA tem passos próprios.

Fronteira de Dados da UE: o que fica na Europa

Para clientes empresariais da União, o Copilot é um serviço da Fronteira de Dados da UE: o tráfego europeu fica dentro dela. Desde 1 de março de 2024, conta também nos compromissos de residência de dados dos Termos de Produto.

Há duas exceções escritas. As consultas de pesquisa na Web não estão na fronteira. E os modelos da Anthropic, que a Microsoft usa como subcontratante quando o administrador os autoriza, estão de momento fora dela; o armazenamento da própria Anthropic está descrito no guia do Claude.

Para mim, a nota sobre a Anthropic devia estar no topo da página e não num rodapé. A mesma licença pode ficar dentro ou fora da fronteira consoante um interruptor no centro de administração.

Responsável ou subcontratante: quem responde perante a CNPD

Na conta pessoal, respondem no Espaço Económico Europeu a Microsoft Corporation e a Microsoft Ireland Operations Limited, em Dublin. As transferências para os Estados Unidos apoiam-se no Quadro de Privacidade de Dados UE-EUA, reconhecido pela Comissão a 10 de julho de 2023.

Na conta Entra, a responsável é a sua organização e a Microsoft é subcontratante, como o CEPD descreve nas orientações 07/2020. Perante a CNPD, confirmada pela Lei n.º 58/2019 como autoridade de controlo portuguesa, responde quem escolheu pôr ali o processo. Uma câmara municipal com Copilot não passa essa decisão para Redmond.

Não aceito a frase «a Microsoft é que trata disso». Trata da infraestrutura; a base legal, a informação aos titulares e o que entra no prompt continuam do seu lado.

Microsoft Purview, retenção e teletrabalho

O histórico do Copilot de trabalho não é só seu: os administradores podem consultá-lo com a pesquisa de conteúdo ou o Microsoft Purview, fixar políticas de retenção e auditar interações. O utilizador pode apagar o seu histórico no portal A Minha Conta.

No teletrabalho, o art. 170.º, n.º 5, do Código do Trabalho (Lei n.º 83/2021) veda ao empregador captar e usar imagem, som, escrita ou histórico que afetem a privacidade do trabalhador. Violá-lo é contraordenação muito grave. A CNPD já rejeitava, em 2020, o controlo do desempenho à distância.

Reter conversas para cumprir regras ou responder a um litígio é uma coisa; abrir o Purview para ler o que alguém escreveu em casa é outra, e essa porta eu deixava fechada. Quem escreve as regras de IA de um gabinete deve pôr as duas por escrito, separadas.

Um prompt sem clientes dentro, qualquer que seja a conta

O minuto antes do envio não tem contrato. Basta a sessão errada no Edge para o processo da Vidreira Alcobia cair na conta pessoal, sem adenda nem fronteira, com o NIF do gerente lá dentro, o número que o gov.pt diz servir para comprar, assinar contratos ou abrir conta.

O Nonimo trata desse minuto. Antes de o texto sair do seu computador, troca o nome do cliente e o NIF de cada fatura por marcadores; quando copia a resposta do Copilot, recebe-a já com os valores reais.

Configurar a conta Entra vale a pena, mas não salva quem se engana de conta; por isso ponho a troca antes de qualquer definição. Se nada pode sair do escritório, compare um modelo local com um proxy de privacidade. Quanto a um processo concreto, decidem as regras da sua ordem, não as da Microsoft.

Fontes

• Microsoft Learn, Data, Privacy, and Security for Microsoft Copilot: Graph e permissões, sem treino de modelos base, Purview, A Minha Conta, Fronteira de Dados da UE, 1 de março de 2024 e a exclusão da Anthropic.
• Microsoft Support, Copilot for individuals: your activity history: app de 18 de agosto de 2026; comandos, respostas e ficheiros fora do treino de modelos base.
• RGPD, texto oficial em português (EUR-Lex): definições de responsável e subcontratante (art. 4.º) e o contrato do art. 28.º.
• Decisão de Execução (UE) 2023/1795, no EUR-Lex: adequação do Quadro de Privacidade de Dados UE-EUA, de 10 de julho de 2023.
• CEPD, orientações 07/2020 sobre responsável e subcontratante: versão final de 7 de julho de 2021.
• CNPD, orientações sobre o controlo à distância em teletrabalho: 17 de abril de 2020.
• Lei n.º 83/2021, que mudou o regime do teletrabalho: nova redação do art. 170.º do Código do Trabalho; o n.º 7 torna muito grave a violação do n.º 5.
• gov.pt, pedir o NIF de pessoa singular: serviço da AT; o NIF pede-se para comprar, assinar contratos ou abrir conta.
• Lei n.º 58/2019 (execução do RGPD): o art. 3.º mantém a CNPD como autoridade de controlo.

Consultadas em 10/11/2026.