A Microsoft começou a distribuir uma nova política de proteção de reuniões no Microsoft Teams que permite aos administradores bloquear automaticamente todos os bots externos identificados, sem que o organizador tenha de tomar qualquer decisão no momento da chamada. A funcionalidade responde a um problema que se tornou comum nas organizações: assistentes de reunião de terceiros — transcritores, “notetakers” e agentes de IA — que se juntam a chamadas sem que os participantes percebam que há um convidado não humano a gravar a conversa. A novidade acresce ao mecanismo apresentado em junho, que apenas sinalizava estes bots no lobby e exigia aprovação explícita do organizador.
Resposta rápida: O Microsoft Teams passa a permitir que os administradores bloqueiem automaticamente bots externos detetados, antes sequer de chegarem ao lobby da reunião. A opção está desativada por defeito e tem de ser ativada e atribuída a utilizadores ou grupos nas políticas de reunião do Teams. Quem gere um tenant deve inventariar os bots de transcrição em uso, testar a definição num grupo-piloto e comunicar a mudança antes de a aplicar de forma alargada, para não interromper fluxos de trabalho legítimos.
O que muda exatamente nas reuniões do Teams
Até agora, a resposta mais forte disponível era encaminhar os bots suspeitos para o lobby e obrigar o organizador a aprová-los ou rejeitá-los um a um. Esse modelo manual, exposto através da política “Manage external bots and their access to meetings” e do atributo ExternalBotAccessMode, deixava margem para erro humano, sobretudo em reuniões encadeadas em que um anfitrião distraído carrega em “admitir todos” sem reparar num participante automatizado escondido entre os nomes.
A nova política elimina esse ponto de falha. Segundo a Microsoft, a atualização permite às organizações reforçar a segurança das reuniões configurando políticas do Teams para bloquear automaticamente os bots externos detetados, dando aos administradores controlo adicional sobre a forma como os bots identificados são tratados. A definição está desativada por defeito e nada muda até que um administrador a ative.
Em termos práticos, o controlo encontra-se na secção Meeting Join and Lobby das políticas de reunião do Teams e pode também ser gerido pelo cmdlet Set-CsTeamsMeetingPolicy, que expõe o atributo ExternalBotAccessMode. A política de bloqueio pode ser aplicada ao tenant inteiro ou delimitada a utilizadores e grupos específicos através do quadro habitual de políticas de reunião.
Os três modos disponíveis
Valor de ExternalBotAccessMode | Comportamento |
|---|---|
AllowAllBots | Não deteta bots; estes entram diretamente na reunião como qualquer participante |
RequireApprovalWhenDetected | Encaminha os bots detetados para o lobby e exige aprovação — é o valor por defeito |
BlockDetectedBots | Bloqueia a entrada dos bots detetados, sem passagem pelo lobby nem decisão do organizador |
Estes são os três valores documentados para o atributo: AllowAllBots (não detetar e permitir a entrada direta), RequireApprovalWhenDetected (encaminhar para o lobby e exigir aprovação, o valor predefinido) e BlockDetectedBots (bloquear os bots detetados). Há um pormenor a ter em conta antes de automatizar qualquer alteração: a documentação da Microsoft chegou a apresentar cmdlets divergentes — Set-CsTeamsMeetingPolicy no texto e Set-CsTeamsEventsPolicy num exemplo —, pelo que convém confirmar o cmdlet correto no módulo de PowerShell do Teams instalado e na documentação em vigor.
Cronologia do reforço de controlos
| Data | Marco |
|---|---|
| Março de 2026 | Notificação MC1251206 (item de roadmap 558107) anuncia deteção e bloqueio de bots de gravação de terceiros |
| Maio de 2026 | Arranque da distribuição em tenants de targeted release |
| Junho de 2026 | Disponibilidade geral da deteção com etiquetagem no lobby e aprovação pelo organizador |
| Junho de 2026 | Criação do item de roadmap 566201, com o bloqueio automático de bots externos |
| Agosto de 2026 | Distribuição da nova política em targeted release |
| Final de setembro de 2026 | Disponibilidade geral prevista a nível mundial |
O ponto de partida foi a notificação MC1251206, de 13 de março de 2026, associada ao item de roadmap 558107, que anunciou a deteção e bloqueio de bots de gravação de terceiros, com distribuição em targeted release a partir de meados de maio e disponibilidade geral a completar em meados de junho. Já a nova capacidade corresponde ao item de roadmap 566201, criado em junho de 2026 e agendado para disponibilidade geral a nível mundial, sendo que a política está a ser distribuída em targeted release até ao final de agosto, devendo atingir disponibilidade geral mundial no final de setembro. Nos bastidores há ainda outra mudança: a Microsoft vai começar a retirar a política de reunião de verificação por CAPTCHA, um dos improvisos a que muitos administradores recorriam para travar assistentes automáticos.
O que a política não cobre
É importante calibrar expectativas. O controlo aplica-se apenas a bots externos de terceiros: o Microsoft 365 Copilot e os bots registados como aplicações do Entra ID dentro do próprio tenant estão sujeitos a licenciamento e permissões distintos, pelo que bloquear bots externos não afeta a IA já sancionada pela organização. Isso significa que a definição é uma alavanca de governação sobre ferramentas de terceiros, não um travão à IA interna.
A segunda limitação é técnica. A deteção assenta em sinais e é, por natureza, imperfeita: deve ser tratada como uma barreira que reduz risco, não como uma fronteira de segurança, porque alguns bots passam e algumas pessoas podem ser sinalizadas indevidamente. A própria Microsoft lista esta limitação e pede aos administradores que reportem bots de reunião não detetados através da opção de feedback no Teams, sendo também possível que um participante humano seja classificado erradamente como bot. Por isso, o bloqueio automático deve ser combinado com políticas de permissões de aplicações, etiquetas de confidencialidade, controlos de gravação e orientações claras sobre que ferramentas de IA são aprovadas.
Porque é que os assistentes de IA se tornaram um problema de segurança
A documentação da Microsoft é explícita quanto ao risco: ferramentas externas de assistência a reuniões, como bots de transcrição ou de notas, são cada vez mais usadas e, embora possam aumentar a produtividade individual, introduzem riscos de segurança e conformidade quando acedem a reuniões sem o conhecimento ou consentimento do organizador — podendo gravar ou transcrever sem que os participantes se apercebam e armazenar dados de reuniões em sistemas de terceiros fora das fronteiras de conformidade da organização.
O mecanismo de entrada é normalmente banal: muitos assistentes de IA entram nas reuniões através de acesso ao calendário — basta um utilizador aprovar a aplicação uma vez para que o respetivo bot passe a aparecer em múltiplas chamadas, gravando áudio e criando transcrições sem que o anfitrião tenha noção clara disso. É a definição prática de shadow AI: ferramentas instaladas sem conhecimento das equipas de TI que acabam a encaminhar conversas sensíveis para servidores externos.
A este cenário junta-se a componente maliciosa. A Microsoft alertou em abril que os ataques que abusam do Teams para acesso e movimentação lateral em redes empresariais estão a aumentar, com agentes de ameaça a fazerem-se passar por equipas de TI ou de helpdesk para contactar colaboradores através de conversas entre tenants e convencê-los a conceder acesso remoto para roubo de dados. Desde dezembro, os administradores podem também bloquear utilizadores externos do Teams a partir do portal Defender, para travar grupos de cibercrime — incluindo operadores de ransomware — que tentam abusar da plataforma em ataques de engenharia social.
Passos recomendados antes de ativar o bloqueio
A própria Microsoft sublinha que não é necessária qualquer ação a menos que a organização pretenda usar a funcionalidade, e recomenda um conjunto de verificações prévias a quem tencione ativá-la:
- Rever a utilização de bots de reunião e de aplicações automatizadas na organização
- Avaliar a funcionalidade com um grupo-piloto antes de uma implementação alargada
- Rever as políticas de reunião existentes e decidir que utilizadores ou grupos devem receber a nova política
- Atualizar a documentação interna e as instruções do helpdesk, comunicando a mudança aos organizadores e utilizadores que dependem de bots automatizados nos seus fluxos de trabalho
A granularidade é aqui um trunfo: as políticas podem ser delimitadas por grupo, permitindo que áreas como jurídico, financeiro, recursos humanos e direção fiquem protegidas por um bloqueio rígido enquanto as restantes se mantêm no modelo de aprovação. Vale ainda antecipar o efeito inverso: equipas com exposição a reuniões noutros tenants, sobretudo comerciais e de apoio ao cliente, devem ser avisadas de que as suas próprias ferramentas podem passar a ser bloqueadas em reuniões alojadas por terceiros.
Porque é que isto importa em Portugal
Para organizações portuguesas, a gravação e transcrição silenciosa de reuniões por ferramentas externas levanta questões diretas de proteção de dados. O RGPD exige base legal, transparência e informação aos titulares sobre o tratamento dos seus dados pessoais — e uma reunião de trabalho onde se discutem clientes, candidatos, colaboradores ou processos disciplinares contém, quase sempre, dados pessoais. Se um bot de terceiros capta esse áudio e o processa fora do perímetro contratual da organização, o responsável pelo tratamento pode ficar sem visibilidade sobre onde os dados residem e sob que condições são conservados. Acresce a necessidade de avaliar transferências internacionais e a existência de contratos de subcontratação adequados.
Há também um enquadramento nacional relevante. O Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que transpõe a Diretiva (UE) 2022/2555 (NIS2), entrou em vigor a 3 de abril de 2026 e reforça exigências de governação, gestão de risco e adoção de medidas técnicas e organizacionais, incluindo segurança da cadeia de abastecimento e políticas para avaliar a eficácia das medidas. Aplicações de terceiros que entram em reuniões corporativas são, na prática, fornecedores digitais com acesso a informação sensível — matéria que cai no âmbito da gestão de risco de terceiros. O CNCS, enquanto autoridade nacional de cibersegurança, e o CERT.PT continuam a ser os pontos de contacto para reporte de incidentes por parte das entidades abrangidas.
Para as PME, a leitura é mais simples: mesmo sem obrigações NIS2, a definição predefinida do Teams já exige aprovação do organizador quando é detetado um bot externo. Rever quem tem permissão para instalar aplicações ligadas ao calendário e explicar às equipas que um “assistente” na lista de participantes não é um detalhe inócuo pode evitar fugas de informação que nenhuma tecnologia recupera depois.
Perguntas frequentes
A nova política é ativada automaticamente no meu tenant?
Não. A Microsoft indica que a definição está desativada por defeito e que não ocorre qualquer alteração de comportamento a menos que um administrador a ative e a atribua a utilizadores ou grupos através das políticas de reunião do Teams.
O bloqueio também afeta o Microsoft 365 Copilot?
Não. O controlo destina-se a bots externos de terceiros. O Microsoft 365 Copilot e os bots registados como aplicações do Entra ID dentro do próprio tenant regem-se por licenciamento e permissões distintos e não são abrangidos por esta definição.
A deteção de bots é infalível?
Não. A deteção assenta em sinais e é imperfeita nos dois sentidos: alguns bots podem não ser detetados e participantes humanos podem ser sinalizados por engano. Deve ser encarada como uma medida de redução de risco, complementada com políticas de permissões de aplicações e formação dos utilizadores.
Que riscos de conformidade existem se não fizer nada?
Bots de transcrição externos podem gravar reuniões sem conhecimento dos participantes e guardar esses dados em sistemas de terceiros fora das fronteiras de conformidade da organização, criando riscos de fuga de informação e questões de transparência ao abrigo do RGPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Microsoft (documentação do Microsoft Teams, centro de mensagens e roadmap do Microsoft 365), pelo CNCS e em análises de especialistas do ecossistema Microsoft 365.