A Atlassian está a treinar IA com os seus dados do Jira? Eis o que muda a 17 de agosto

Se administra um site Jira, Confluence ou Jira Service Management, a Atlassian provavelmente já lhe enviou um e-mail sobre as novas definições de "contribuição de dados". Eis o que isto significa na prática e o que fazer antes de 17 de agosto de 2026.

O que está a mudar: a Atlassian está a lançar controlos ao nível da organização na Atlassian Administration (Security → Data contribution) que regulam se os seus metadados e conteúdo dentro da aplicação são usados para treinar os modelos de IA da Atlassian e melhorar as suas funcionalidades de IA em Jira, Confluence, JSM e apps de Platform ligadas. A partir de 17 de agosto de 2026, a Atlassian começa a usar os seus dados de acordo com o que estas definições determinarem — configuradas por si, ou deixadas na predefinição.

A parte que a maioria dos administradores não vê: o seu controlo sobre isto depende inteiramente do seu escalão de plano. Apenas os clientes Cloud Enterprise podem excluir-se totalmente da contribuição de metadados. Todos os outros escalões — Free, Standard, Premium — contribuem metadados automaticamente, sem forma de desativar essa opção. O que geralmente pode controlar, independentemente do escalão, é o conteúdo dentro da aplicação: pode excluir espaços específicos do Confluence, projetos do Jira ou conectores do Teamwork Graph da contribuição, mesmo que não consiga desativar a definição por completo.

O que fazer na prática: aceda a Atlassian Administration → Security → Data contribution e veja o que já está configurado. Confirme o plano ativo mais elevado da sua organização (é ele que determina as suas predefinições — até uma única licença Enterprise em qualquer ponto da sua organização altera o cálculo para tudo o que nela existe). Se a sua organização lida com dados de clientes, informação regulada ou algo abrangido por um acordo de processamento de dados, decida deliberadamente se determinados projetos ou espaços devem ser excluídos, em vez de herdar seja qual for a predefinição.

Esta é apenas uma definição, numa plataforma. Se a sua organização também utiliza Slack, Notion, GitHub, Salesforce, ou meia dúzia de outras ferramentas SaaS ligadas, cada uma delas está silenciosamente a tomar a sua própria versão desta mesma decisão em seu nome — algumas com um botão visível, outras (como o treino de ML não generativo do Slack) sem qualquer botão, apenas com exclusão por e-mail. Este padrão — definições reais, prazos reais, consequências reais, escondidos num painel de administração que ninguém tem a incumbência de verificar — é exatamente o que os conectores da 8200.dev foram concebidos para revelar automaticamente, em todas as plataformas que ligou, não apenas naquela que por acaso lhe enviou um e-mail esta semana.

A decisão que ninguém tinha a seu cargo

Afaste-se por um momento da Atlassian e observe a forma do problema, porque este repete-se por todo o lado.

Todos os fornecedores de SaaS que constroem funcionalidades de IA enfrentam a mesma questão: de que dados de clientes é que os modelos podem aprender? Cada fornecedor responde de forma diferente, publica a resposta num sítio diferente e concede aos clientes um grau de controlo diferente:

• O Slack utiliza mensagens e conteúdos de clientes para treinar modelos de aprendizagem automática não generativos ao nível da plataforma (classificação de pesquisa, recomendações) por predefinição. Não existe nenhum botão de administração nas definições do workspace — excluir-se significa que o proprietário do workspace tem de enviar um e-mail para o endereço de feedback do Slack e pedir.
• O Dropbox disponibiliza uma definição de "IA de terceiros" cuja predefinição depende de onde a sua conta reside: ativada por predefinição para contas dos EUA, desativada por predefinição na UE, Reino Unido e Canadá. Duas organizações com planos Dropbox idênticos podem ter posturas opostas e nunca o saber.
• O GitHub traça a linha por plano: os dados de clientes Business e Enterprise são contratualmente excluídos do treino de modelos, enquanto os escalões inferiores são abrangidos por termos de produto mais alargados. A mesma organização pode migrar de escalão e alterar silenciosamente a sua postura.
• O Salesforce, o Zendesk e o Intercom têm cada um as suas próprias predefinições e os seus próprios caminhos de exclusão — uma página de configuração, um pedido de suporte, uma definição do workspace.
• O Google Workspace, o Microsoft 365, o Notion e o Box situam-se do outro lado: os seus termos comprometem-se contratualmente a não utilizar o conteúdo dos clientes para treinar modelos, pelo que não existe botão algum porque nenhum é necessário. Trata-se de uma postura genuinamente diferente — mas mesmo assim precisa de a conhecer, e de a conseguir apontar a um auditor.

Repare no que é comum a todos estes casos: nenhum deles expõe uma API que se possa consultar para perguntar "a minha organização está neste momento a contribuir dados de treino?" A postura reside em contratos, em e-mails, em predefinições regionais, em escalões de plano. É real, tem consequências, e é invisível para qualquer painel que a sua equipa de segurança consulte.

É por isso que "alguém devia verificar isto" falha como controlo. Não há onde verificar. A decisão recai na predefinição que o fornecedor escolheu, e o fornecedor escolheu de acordo com os seus próprios incentivos.

O que isto significa para a conformidade

Se a sua organização detém um relatório SOC 2, está a caminho da ISO 27001, ou processa dados pessoais ao abrigo do RGPD, a questão da contribuição de dados não é uma curiosidade opcional — recai diretamente sobre as suas obrigações já existentes.

Os acordos de processamento de dados descrevem as finalidades para as quais um subcontratante pode utilizar os seus dados. Um fornecedor a treinar modelos de IA com o seu conteúdo é uma *finalidade*. Se o seu DPA com um cliente indica que os dados deste são usados para prestar o serviço, e uma das plataformas ligadas está silenciosamente a alimentar esses mesmos dados no treino de modelos, o fosso entre o que prometeu a jusante e o que permite a montante é seu de fechar — não do fornecedor.

Os auditores começaram a perguntar isto diretamente. A questão surge nos questionários de risco de fornecedores como alguma variante de "algum dos vossos subprocessadores utiliza os vossos dados para treinar modelos de IA, e como o sabem?" Uma resposta defensável tem duas partes: a *postura* (que plataformas contribuem, quais estão contratualmente excluídas) e o *registo da decisão* (quem a analisou, quando, e o que foi escolhido). "Nunca verificámos" é a única resposta errada. Abordámos o que os auditores exigem atualmente em matéria de governação de IA de forma mais ampla em o que os auditores realmente exigem para a governação de IA em 2026 — a contribuição de dados está a tornar-se um item-padrão exatamente nessa revisão.

A boa notícia: este é um dos raros itens de conformidade em que a correção é genuinamente barata. Não é preciso reestruturar nada. É preciso *encontrar* as definições, *decidir* com propósito e *registar por escrito a decisão*.

Uma checklist de administração para 17 de agosto

Eis a verificação concreta a fazer antes do prazo da Atlassian, generalizada para que a possa aplicar a todas as plataformas que opera:

1. Inventarie a superfície. Liste as plataformas SaaS onde o conteúdo ou os metadados da sua organização realmente residem — não apenas a Atlassian. Se contém dados de clientes, dados regulados, ou algo sob NDA, está dentro do âmbito.
2. Encontre a postura de contribuição de dados de cada plataforma. Para a Atlassian: Administration → Security → Data contribution. Para outras, o controlo pode ser uma página de definições, um pedido de suporte, uma exclusão por e-mail, ou uma cláusula contratual sem qualquer controlo.
3. Confirme o seu escalão de plano em cada plataforma onde a postura depende do escalão. Na Atlassian, o plano ativo mais elevado da sua organização define as suas predefinições para tudo o que nela existe. No GitHub, o escalão determina se a exclusão contratual o abrange.
4. Decida deliberadamente. Optar por participar é uma escolha legítima — melhores funcionalidades de IA são um benefício real. O modo de falha não é a contribuição; é a contribuição que *ninguém decidiu*. Exclua os projetos e espaços que contêm material sensível, e deixe o resto seguir se essa for a sua decisão.
5. Registe a decisão. Uma nota datada — quem a analisou, o que foi configurado, porquê — transforma uma predefinição silenciosa em prova de governação que pode entregar a um auditor.
6. Volte a verificar com regularidade. Os fornecedores mudam predefinições, adicionam funcionalidades de IA e movem definições. Uma postura revista uma vez em 2026 não é uma postura gerida em 2027.

Se esta lista parece trabalho que alguém tem de assumir como seu — é. A versão honesta deste problema é que é *recorrente, transversal a plataformas e enfadonho*, o que é exatamente o tipo de controlo que apodrece silenciosamente quando depende de um humano se lembrar.

Como a 8200.dev revela isto automaticamente

A 8200.dev levanta agora um alerta de postura de treino de IA para cada plataforma que liga. Ligue o Jira, o Slack, o Dropbox, o GitHub, o Salesforce, ou qualquer uma das outras plataformas suportadas, e a análise diz-lhe — ao lado dos seus alertas de partilha e permissões — se esse fornecedor utiliza os seus dados para treino de IA por predefinição, onde reside a exclusão ou a garantia contratual, e quando essa postura foi verificada pela última vez. As plataformas com adesão automática por predefinição surgem como alertas que exigem uma decisão; as plataformas contratualmente seguras surgem como atestações que pode apontar aos auditores.

Quando uma plataforma *expõe* de facto uma política de IA legível por API num eixo vizinho, verificamo-la em tempo real: o conector do GitHub lê a política de correspondência de código público do Copilot da sua organização, e o conector do GCP verifica se o Vertex AI está a correr sem qualquer política organizacional a restringi-lo. Todos os alertas vêm acompanhados de um guia de remediação passo a passo, e o catálogo completo de verificações está na página de funcionalidades.

A questão não é que as funcionalidades de IA sejam perigosas. A questão é que *a contribuição de dados deve ser uma decisão, não uma predefinição* — na Atlassian antes de 17 de agosto, e em todas as outras plataformas que a sua organização já utiliza. Se quiser que essa decisão seja revelada automaticamente em vez de recordada manualmente, consulte os planos e preços e ligue a sua primeira plataforma em minutos.