Ativar BitLocker somente com TPM, sem política, pois o PIN é inferido do usuário.

Usar EFS no volume do sistema com certificado do usuário logado.

Habilitar BitLocker To Go no volume do sistema e definir senha pós-logon.

Configurar “Require additional authentication at startup” para TPM somente e desabilitar PCRs.

Habilitar, via GPO, “Require additional authentication at startup” e então ativar o BitLocker solicitando a definição do PIN de pré-boot.