Mudança de proprietário em arquivos usados por apps de IA

Troca de dono de pasta ou arquivo pode cortar o acesso de um app do ChatGPT. Veja o registro mínimo e o teste depois da mudança.

Registrar a mudança de proprietário de um arquivo ou pasta evita dois problemas opostos: o app do ChatGPT perder acesso no meio de um fluxo e o app continuar lendo conteúdo de quem já saiu. O dono de um item no Google Drive controla o compartilhamento e pode removê-lo. Quando esse dono muda, por desligamento, troca de área ou saída de sócio, a permissão do conector não muda sozinha.

A saída é tratar propriedade como parte do inventário de acessos, com dono, sucessor e data. Antes do desligamento, transfira o que precisa continuar. Depois, teste o que o app vê. O registro precisa sobreviver à pessoa: planilha controlada, política interna e, com terceiros, contrato.

Resumo rápido

No Meu Drive, o dono é uma pessoa. Na unidade compartilhada, o dono é a organização.

Transferir arquivo não transfere o token do aplicativo. O consentimento é outro vínculo.

O inventário mínimo tem seis campos: arquivo ou pasta, dono, app, escopo, data e sucessor.

Antes do desligamento, transfira a propriedade e ajuste grupos. Só depois revogue acessos.

Teste com um arquivo que deve aparecer e outro que não deve. Registre o resultado.

Política sem sucessor definido não sobrevive à primeira saída de sócio.

O que muda quando o dono de um arquivo ou pasta muda

No Meu Drive, cada arquivo tem um proprietário pessoa física. É ele quem concede acesso, altera o acesso geral e pode excluir o item. Se a conta é suspensa sem transferência, os compartilhamentos quebram e o conteúdo pode se perder. O Google permite transferir a propriedade, e o administrador do Workspace transfere os arquivos de um usuário que será removido.

Na unidade compartilhada, o conteúdo pertence à organização e a participação é feita por grupo ou por pessoa. A saída de um integrante não derruba o acesso de quem fica, porque ninguém era dono individual do arquivo. Para pasta lida de forma contínua por um conector, esse é o formato que reduz o impacto do desligamento.

O aplicativo tem vínculo separado. Ele guarda um token da conta que autorizou, não a propriedade dos arquivos. Se o app age em nome de alguém que perde acesso, perde acesso junto. Se usa identidade própria, o que importa é se ela continua membro das pastas certas.

A mudança também cria acesso indevido. Um novo dono herda pasta compartilhada com conector antigo e vê o que o app indexou, ou recebe pasta com link aberto que ninguém revisou. Trocar o dono sem revisar o compartilhamento só muda o nome no topo da tela. A mudança tem três partes: arquivo, identidade e escopo.

Inventário mínimo

Comece pelas pastas que algum app lê, não por todo o Drive. Uma linha por pasta e por app mostra o risco. Preencha com dados que outra pessoa entenda sem perguntar ao autor.

Arquivo ou pasta	Dono atual	App ou conector	Escopo	Última verificação	Sucessor
Pasta Contratos, unidade compartilhada	Grupo jurídico	Conector do ChatGPT	Leitura da pasta	Data da última prova	Coordenação jurídica
Planilha de comissões, Meu Drive	analista.financeiro@	App de análise	Leitura de arquivo específico	Data da última revisão	gerencia.financeiro@
Pasta Marketing, unidade compartilhada	Grupo marketing	Conector de documentos	Leitura e resumo	Data da última revisão	Head de marketing
Pasta do sócio, Meu Drive	socio@	Nenhum	Sem acesso de app	Data da checagem	socio2@
Base de propostas, Meu Drive	comercial@	Conector do ChatGPT	Leitura da pasta	Data da última prova	operações@

Cada linha precisa de link, não só de nome. O dono é o e-mail, não o cargo. Registre o app com o produto e a conta usada, porque a mesma ferramenta pode estar conectada duas vezes com identidades diferentes. O escopo diz se é leitura de pasta, de arquivo ou acesso amplo. A data indica quando alguém confirmou o acesso. O sucessor evita a pergunta sem resposta no dia da saída.

Mantenha uma coluna de evidência, com o link do teste ou o print. Ela serve para auditoria e para explicar a decisão a quem chegar depois. Sem evidência, o inventário é declaração de intenção.

Classificar por sensibilidade ajuda a priorizar. O guia de rótulos e regras de acesso no Drive mostra como separar o que um conector pode ler do que nunca deve entrar no contexto.

Rotina de transferência antes do desligamento

A transferência começa antes do último dia. O roteiro serve para saída de colaborador, troca de área e saída de sócio. A ordem importa: revogar cedo demais interrompe o trabalho, revogar tarde deixa o acesso aberto.

Liste o que a pessoa possui. Filtre por proprietário no Drive e gere a lista no admin. Inclua itens de Compartilhados comigo que ela administra, porque também quebram na saída.
Separe pessoal de trabalho. Documento pessoal não entra. O restante segue para o sucessor ou para uma unidade compartilhada.
Decida o destino. Conteúdo lido por app vai para unidade compartilhada ou para uma conta dedicada. Conteúdo de uso humano vai para o sucessor direto.
Transfira a propriedade. Compartilhe com o sucessor como editor e torne outra pessoa proprietária. Em lote, o admin transfere antes de suspender a conta.
Ajuste grupos e unidades. O app deve continuar membro por grupo, não por pessoa. Se a identidade do conector era a conta que sai, crie ou aponte para a conta substituta.
Reautorize o conector. Se o app agia em nome da pessoa, reconecte com a conta que assume o processo, lendo o e-mail na tela de consentimento.
Revogue o que sobrar. Cancele tokens, remova o acesso da conta que sai e confirme na lista de apps com acesso.
Registre a operação. Anote data, origem, destino, pastas e responsável. Atualize o inventário.
Avise as áreas. Quem usa o app precisa saber que a origem mudou, para não interpretar erro de permissão como falha da ferramenta.

Transferir a propriedade não transfere o compartilhamento herdado de uma pasta. Revise o acesso depois, ainda mais quando havia gente de fora. Em conectores de Claude, a lógica de escopo mínimo está em permissões de conectores para equipes.

Teste de acesso depois da troca

O teste responde a uma pergunta: o app continua vendo o que deveria e parou de ver o que não deveria?

Prepare dois arquivos de controle. Um que deve aparecer no app e outro que pertence a outra área e não deve aparecer em hipótese alguma.
Rode o mesmo pedido de antes. Peça que liste ou resuma a pasta e compare com o resultado anterior, quando houver.
Confira as citações. Se o app cita arquivo fora do escopo, o acesso está mais amplo do que o inventário diz.
Teste o link compartilhado. Abra com a conta nova os links que circulam em e-mails antigos. Link quebrado indica dependência do dono anterior.
Verifique a conta conectada. Confirme o e-mail no painel do conector e na página de apps com acesso. Um teste aprovado na conta errada não prova nada.
Registre o resultado. Guarde data, conta usada, pastas, o que apareceu e o que não apareceu. Anexe ao inventário.

Se o teste falhar, a ordem de investigação é: conta conectada, participação na pasta, propriedade do arquivo e escopo. Corrigir na ordem inversa costuma gerar retrabalho, porque o sintoma parece permissão de arquivo quando é sessão trocada.

Repita o teste depois. Alguns acessos quebram com atraso, quando o compartilhamento antigo é removido ou a conta suspensa é excluída.

Riscos, sinais de acesso quebrado e o que registrar na política

Os riscos se dividem entre perda e excesso de acesso. A tabela separa sintoma de causa.

Risco	Como aparece	Prevenção
Perda de acesso após desligamento	App retorna erro ou lista vazia em pasta que existia	Transferir propriedade e manter o app em grupo ou unidade compartilhada
Acesso residual de quem saiu	Conta desativada ainda consta como autorizadora do conector	Revogar tokens e grants, e registrar a revogação
Sobreacesso do novo dono	Novo responsável vê pastas que não precisava e o app indexa tudo	Revisar compartilhamento e reduzir escopo na troca
Arquivo órfão	Documento importante sem dono ativo, sem sucessor definido	Definir sucessor no inventário antes da saída
Link aberto esquecido	Qualquer conta acessa, inclusive fora da empresa	Revisar acesso geral e trocar por grupo nominal
Aplicativo não inventariado	Área conecta ferramenta por conta própria e ninguém sabe	Controlar apps permitidos e revisar acessos de terceiros

Os sinais de acesso quebrado raramente vêm com mensagem clara: resultado vazio em pergunta que funcionava, citação de versão antiga, pedido de permissão repetido, erro de autorização em looping e arquivos ausentes. Se o comportamento mudou sem mudança de prompt, comece pela permissão.

A política interna cobre o ciclo inteiro: custódio de cada pasta, transferência antes do desligamento, lista de apps autorizados, escopo mínimo, prazo de revogação e teste depois da troca. Inclua a revisão periódica do inventário e o responsável.

No contrato com terceiros, explicite propriedade dos dados, cooperação na transferência e na devolução, eliminação ao fim do tratamento, notificação de incidente, auditoria e uso de suboperadores. A LGPD trata do registro das operações, das medidas de segurança e da comunicação de incidente, e a ANPD publica orientações para calibrar cláusulas. Um panorama está no guia de segurança e LGPD na implantação de IA.

Do lado do fornecedor de IA, o ponto é o regime do plano contratado. Recursos empresariais costumam ter controles administrativos, retenção configurável e exclusão do treinamento por padrão, mas isso depende do produto e do contrato. Registrar a versão consultada evita discussão futura.

Exemplo: escritório de advocacia no Rio com saída de sócio

Um escritório de médio porte no Rio usa um conector de IA para resumir contratos. A pasta fica no Meu Drive de um dos sócios, compartilhada com dois advogados e com o conector. Quando o sócio decide sair, operações suspende a conta no mesmo dia. O cenário é hipotético, mas o erro é frequente.

Na semana seguinte, o conector deixa de encontrar os contratos, e os advogados concluem que a ferramenta piorou. A pasta perdeu o dono ativo e o compartilhamento antigo deixou de valer. Em paralelo, uma assistente autoriza outro app com a própria conta e passa a ver uma pasta sigilosa compartilhada por link.

A correção envolveu quatro movimentos. O escritório recuperou a pasta pela transferência administrativa, moveu o conteúdo para uma unidade compartilhada com acesso por grupo e reconectou o app com a conta do processo, não com a conta pessoal da assistente. Depois, revisou o acesso geral de todas as pastas com link e refez o teste dos dois arquivos.

O registro foi mais útil que a correção: um inventário com as pastas principais, dono, app, escopo e sucessor, além de uma regra simples. Nenhum conteúdo lido por ferramenta fica no Meu Drive de uma pessoa. A regra reduz a dependência de memória em um momento de transição.

Erros comuns

Transferir arquivos e esquecer o conector. O token continua ligado à conta antiga. A transferência resolve o arquivo, não o vínculo.
Suspender a conta antes de transferir. Sem a conta ativa, a recuperação exige admin e nem sempre cobre tudo. Transfira primeiro, suspenda depois.
Confundir pasta compartilhada com unidade compartilhada. A primeira tem dono pessoa física e quebra na saída. A segunda pertence à organização.
Testar só o que deve funcionar. O teste precisa provar também o que não deve aparecer. Sem isso, o excesso passa despercebido.
Registrar em canal que a pessoa controla. Inventário em pasta pessoal de quem saiu não serve. Use local institucional com backup.
Não revisar links antigos. Links em e-mails e propostas continuam válidos depois da troca e podem manter acesso indevido.

Perguntas frequentes

Preciso transferir todos os arquivos da pessoa que sai?

Não. Transfira o que tem valor de trabalho e o que é lido por aplicativo. O critério é continuidade do processo, não volume.

Quem pode transferir a propriedade de um arquivo?

O proprietário atual, ou o administrador do Workspace no caso de saída de usuário. A transferência para outra pessoa exige que ela tenha espaço disponível e, em alguns casos, que esteja no mesmo domínio.

O app quebra quando o dono muda?

Depende de quem autorizou. Se o app age em nome de quem perdeu acesso, quebra. Se usa identidade própria e continua membro da pasta, segue funcionando.

Unidade compartilhada resolve tudo?

Resolve a continuidade do conteúdo, não o vínculo do app nem o escopo. Ainda é preciso revisar membros, app conectado e o que ele lê.

O que guardar como prova do teste?

Data, conta usada, pastas testadas, arquivo que apareceu, arquivo que não apareceu e o nome de quem executou. Um print ou link do resultado ajuda em auditoria.

Como registrar mudanças de proprietário em arquivos usados por apps do ChatGPT