O convidado invisível: o bot de IA que está ouvindo as reuniões da sua empresa

Quinta-feira, 9h30. Reunião de comitê executivo no Microsoft Teams. Estão presentes o CEO, o CFO, o diretor jurídico e dois sócios. A pauta é sensível: revisão de margens, renegociação com um fornecedor estratégico e uma decisão sobre desligamento de liderança. A reunião começa pontualmente. Câmeras ligadas, clima sério, todos focados.

No canto da tela, ao lado dos nomes dos participantes, aparece um ícone discreto. Um nome com a palavra Notetaker. Ou Assistant. Ou AI. Ninguém clica nele. Ninguém pergunta o que é. A reunião segue por 47 minutos. Decisões são tomadas. Números são ditos em voz alta. Nomes de pessoas são mencionados.

Às 10h17, a reunião termina. Os executivos fecham seus notebooks. O ícone também sai.

E leva tudo com ele.

O convidado que ninguém apresentou

O cenário acima não é hipotético. É a rotina silenciosa da maioria das empresas brasileiras que adotaram o Microsoft Teams nos últimos anos. Junto com a colaboração legítima, entrou um tipo novo de participante nas reuniões corporativas: o bot de IA externo.

Esses assistentes prometem produtividade. Transcrevem a reunião em tempo real, geram resumos automáticos, listam decisões e tarefas, mandam o material por e-mail. Muitos colaboradores começaram a usá-los por conta própria, contratando planos individuais ou aproveitando integrações de teste. A promessa é boa. O problema é o que acontece com o conteúdo da reunião depois.

A transcrição não fica no Teams. Não fica no tenant da empresa. Sai pelo cabo do bot e vai parar em um servidor de terceiro, fora do perímetro de conformidade da organização. Esse servidor pode estar em qualquer lugar do mundo, sob qualquer jurisdição, sob qualquer política de retenção. E ninguém na empresa autorizou explicitamente nada disso.

É sombra de TI. Só que dentro da reunião.

O risco que mora no detalhe

Para o decisor de negócio, o risco prático se desdobra em três camadas.

• A primeira é de privacidade. Reuniões corporativas tratam de assuntos que, por definição, são confidenciais. Estratégia comercial, renegociação contratual, avaliação de pessoas, planos de aquisição, dados financeiros. Tudo isso é dito em voz alta porque o ambiente é entendido como fechado. Quando um bot externo transcreve e armazena fora, o ambiente deixa de ser fechado. E ninguém comunicou os participantes.
• A segunda é de conformidade com a LGPD. A lei trata dados pessoais com cuidado redobrado, e uma reunião raramente acontece sem mencionar pessoas: clientes, funcionários, candidatos, contrapartes. No instante em que esse conteúdo é capturado por um terceiro sem base legal clara, sem informação aos titulares e sem contrato de tratamento, a empresa entra em uma zona de exposição que o jurídico não autorizou e o DPO não mapeou.
• A terceira é de vazamento puro. O conteúdo de uma reunião confidencial deixou de estar sob controle da empresa no momento em que foi transcrito por um bot que ninguém analisou. Não há garantia de criptografia adequada, não há controle de quem acessa a base do fornecedor, não há trilha de auditoria para a diretoria consultar quando algo aparecer onde não deveria.

O que torna o problema invisível

A reunião do exemplo tinha cinco executivos competentes. Por que ninguém reagiu ao ícone do bot? Porque o padrão de comportamento corporativo é confiar no ambiente. Se a ferramenta é o Teams da empresa e o convite veio do organizador, presume-se que tudo o que aparece ali está autorizado. É uma premissa razoável. E é exatamente isso que torna o problema tão silencioso.

A decisão de admitir ou não um bot externo numa reunião costuma ficar nas mãos do organizador, no calor do momento, sem critério escrito, sem treinamento e sem consequência. O organizador é um gerente de área pressionado pela agenda, não um especialista em governança de dados. Ele não tem como avaliar, no segundo em que o lobby abre, se aquele assistente respeita ou não a LGPD.

O resultado é previsível. Reunião após reunião, conteúdo sensível sai do perímetro da empresa. Em algumas organizações, todos os dias. Sem registro, sem aprovação formal, sem que a alta gestão saiba.

A pergunta desconfortável

Vale parar e responder honestamente, antes que o assunto chegue por outro caminho: a sua empresa sabe quais bots de IA externos estiveram presentes nas reuniões do Teams nos últimos 30 dias? Sabe o que cada um deles transcreveu? Sabe onde esse conteúdo está armazenado agora?

Se a resposta for não, há uma conversa de governança que ainda não aconteceu na sua organização. E ela precisa acontecer antes que um vazamento, uma auditoria ou uma fiscalização force a empresa a ter essa conversa em condições muito piores.

O bot que entrou na reunião das 9h30 não vai embora sozinho. Alguém precisa decidir, com critério, quem está autorizado a ouvir.

Leia mais em blog.memorycomp.com.br

Acompanhe os próximos artigos da série e entenda como estruturar a governança de bots de IA externos no Teams da sua empresa.