Como liberar IA generativa de terceiros para o time sem perder controle de identidade, log e custo

Quanto a sua empresa gastou com IA generativa no último trimestre, e quem assinou embaixo de cada consulta?

Na maioria das empresas brasileiras de porte médio que já experimentaram Claude, ChatGPT Enterprise ou clientes similares, a resposta é desconfortável. O time começou a usar antes do TI estruturar, alguém gerou uma chave de API, colou no notebook, mandou para os colegas por WhatsApp, e a partir daí ninguém mais sabe quem consultou o quê. Quando a fatura chega, não há como rastrear consumo por área. Quando alguém sai, o acesso continua ativo. Quando um documento sensível vaza para um modelo, não há log que aponte responsabilidade.

O que mudou

A Microsoft acaba de publicar um desenho de referência que resolve esse impasse usando peças que a maior parte das empresas com Microsoft 365 já tem: Entra ID para identidade, Azure API Management para gateway de governança e Microsoft Foundry para hospedar o modelo. O cliente de IA, no caso o Claude Desktop, deixa de receber chave de API e passa a exigir login corporativo. Cada pessoa autentica com a conta do trabalho, e o token dela atravessa o gateway antes de chegar ao modelo. Tudo isso sem precisar desenvolver e manter um backend customizado.

Impacto prático na operação

O efeito imediato é que IA generativa entra no mesmo regime dos outros sistemas corporativos. MFA passa a ser obrigatório, conforme a política já configurada no Entra ID. Acesso condicional aplica como em qualquer aplicação interna: se a pessoa está fora do horário, fora da rede confiável ou em um dispositivo não gerenciado, o acesso é negado ou desafiado. Quando um colaborador é desligado, basta desativar a conta no Entra ID e o acesso à IA cai junto com o e-mail. Não sobra chave ativa no notebook de ex-funcionário.

Mais importante para quem responde pelo dinheiro: cada chamada à IA carrega o identificador único do usuário. Isso permite construir dashboard de consumo por pessoa, por área e por centro de custo, cobrar internamente quem está usando, definir cota por departamento e cortar quem extrapolar antes da fatura explodir.

Cenários reais de aplicação

• No financeiro, fim do tipo de surpresa onde a fatura de uso de IA aparece em um valor e ninguém consegue justificar dois terços do consumo. O relatório mensal passa a ter coluna de centro de custo, igual a qualquer outro serviço da empresa.
• No RH, desligamento volta a ser um processo de uma etapa só. A área não precisa lembrar de avisar três times diferentes para revogar três chaves diferentes; basta o procedimento padrão do Entra ID e o acesso à IA cai junto.
• Na TI, o gestor consegue dizer sim para o pedido de adoção de IA sem assumir risco pessoal. O modelo de governança é o mesmo que ele já usa para os outros aplicativos, então a curva de manutenção é baixa.
• No jurídico e na auditoria, finalmente existe trilha. Quando uma área pergunta quem consultou tal informação na IA em tal data, a resposta sai do log do gateway.

Pontos de atenção

O desenho exige que a empresa já tenha Entra ID em uso, o que é o caso de praticamente todo cliente Microsoft 365 de porte médio para cima. A licença do APIM tem custo próprio que precisa entrar na conta da iniciativa, e o licenciamento do modelo no Foundry segue regra separada. Para times menores, a abordagem keyless via managed identity tira até a chave que ficaria guardada no APIM, mas exige atribuição correta de papel no Foundry, o que precisa de mão de obra que conheça o modelo de permissões.

Vale lembrar que o desenho cobre o caminho do cliente até o modelo. Políticas de classificação de dados, treinamento do time sobre o que pode e o que não pode ser colado em uma IA, e revisão de contratos com o fabricante do modelo continuam sendo responsabilidade da empresa.

Como a Memory pode apoiar

A Memory implementa esse desenho ponta a ponta nos clientes que já possuem Microsoft 365 e Azure no ambiente. O escopo cobre o registro do aplicativo no Entra ID, a configuração do APIM com a política de validação de token, a integração com o Foundry e o deploy do cliente para o time via Intune, junto com o desenho do dashboard de consumo por usuário e centro de custo. O cliente fica com IA generativa liberada para o time dentro das mesmas regras de identidade e log que já valem para o resto da operação, sem desenvolvimento de backend, sem dependência nova.

Quando considerar

O momento de olhar com seriedade para esse desenho é quando o financeiro ou o TI começam a fazer a pergunta certa: quanto está sendo gasto com IA, por quem, e como isso é auditado. Se a resposta hoje é não sei, o custo de implementar a governança já é menor do que o de continuar voando às cegas.