Com preparar la teva organització abans d'activar Microsoft 365 Copilot

Microsoft 365 Copilot no necessita que ningú el «connecti» a la documentació: ja pot llegir tot el que l'usuari pot veure a SharePoint, OneDrive, Teams i el correu. Aquest és el seu gran avantatge i també el seu principal risc. Si una carpeta amb ofertes, nòmines o informes reservats està compartida amb massa gent, Copilot la farà servir per respondre a totes aquestes persones, encara que no recordin que hi tenen accés.

Per això el desplegament de Copilot comença molt abans d'assignar llicències. Aquests són els passos que recomanem.

1. Netejar els permisos

És el pas que més sorpreses evita:

• Revisar els llocs de SharePoint, els equips de Teams i les carpetes compartits amb «tota l'organització» o amb grups molt amplis.
• Localitzar els enllaços d'ús compartit oberts i fer-los caducar.
• Restringir el contingut que Copilot pot consultar en els llocs més sensibles (per exemple, amb l'exclusió dels resultats de cerca o amb la restricció de descobriment de contingut, Restricted Content Discovery).
• Aplicar el principi de mínim accés: cada persona veu el que necessita per a la seva feina, no el que li resulta còmode.

2. Classificar la informació

Les etiquetes de confidencialitat de Microsoft Purview fan que Copilot respecti el xifratge i les restriccions de cada document. Per començar, n'hi ha prou amb un esquema senzill de quatre nivells:

Nivell	Exemples	Tractament
Pública	Informació ja publicada, normativa, notes de premsa	Sense restriccions
Ús intern	Procediments, documentació tècnica sense dades personals	Només personal de l'organització
Confidencial	Contractes, expedients, ofertes en curs	Accés per rol i necessitat de conèixer
Restringida	Dades de salut, menors, configuracions de seguretat	Accés mínim, xifratge i auditoria

L'etiquetatge automàtic ajuda, però no substitueix la classificació que aprova el responsable de cada àrea.

3. Prevenir fuites i registrar l'ús

• Prevenció de pèrdua de dades (DLP): regles que avisen o impedeixen enganxar o pujar informació personal o confidencial en serveis d'IA externs.
• Control d'eines no autoritzades: bloquejar o supervisar l'accés a altres assistents d'IA des dels equips i la xarxa corporativa, perquè Copilot no sigui la porta i els altres la finestra.
• Registres d'auditoria: activar i conservar els registres d'ús de Copilot per investigar incidències i atendre reclamacions.

4. Fixar unes normes d'ús

Poques, clares i obligatòries:

1. La IA dona suport; no substitueix el criteri professional ni la signatura.
2. Només eines autoritzades, amb compte corporatiu i en dispositius de l'organització.
3. No introduir mai credencials ni contrasenyes.
4. No enviar ni signar res generat amb IA sense llegir-ho sencer i comprovar dades, xifres i referències amb la font.
5. Formació bàsica abans de fer-la servir (ho exigeix a més l'art. 4 del Reglament europeu d'IA).
6. Comunicar immediatament qualsevol incidència o possible fuita de dades.

Convé complementar-les amb una taula de quina informació es pot introduir en cada eina d'IA.

5. Informar la plantilla i la seva representació

Copilot tracta dades dels empleats: correus, reunions, xats. Abans d'activar funcions com la transcripció i el resum de reunions de manera general, cal informar la plantilla i la seva representació, decidir quines reunions es transcriuen, qui accedeix als resums i quant de temps es conserven, i descartar-ne expressament l'ús per avaluar les persones.

6. Formar amb casos reals

Una formació pràctica de quatre hores, en dos blocs, funciona bé:

Bloc 1. Correu, documents i presentacions (2 h)

• Què és Copilot i què no: capacitats i límits reals, i com treballa amb els permisos existents.
• Outlook: resumir fils llargs, redactar respostes i ajustar el to.
• Word: esborranys a partir de documents propis, resums i revisió de coherència.
• PowerPoint: presentacions a partir d'un document, amb notes de l'orador.
• Com demanar bé les coses: context, format, to i restriccions.

Bloc 2. Treball en equip i ús responsable (2 h)

• Teams: resum de reunions, decisions i tasques; posar-se al dia d'un canal.
• Copilot Chat per consultar la documentació de l'organització.
• Què veu Copilot i què no: els permisos manen.
• Dades personals, informació confidencial i drets d'autor.
• On situar la revisió humana abans de publicar o enviar.

Cada bloc alterna demostració i exercicis en un espai de proves amb documentació fictícia, en grups de 16 persones com a màxim.

7. Mesurar i ajustar

Durant les primeres setmanes, vigilar l'ús real, les incidències i les preguntes que més es repeteixen. Si Copilot retorna informació que algú no hauria de veure, el problema gairebé mai no és Copilot: és un permís mal configurat que ja existia.

Riscos reals, amb exemples

• Sobreexposició heretada. Un equip de Teams creat fa anys per a un projecte inclou mitja organització i conté un esborrany de pressupostos amb salaris. Ningú no ho recordava; Copilot sí que el troba quan se li pregunta per «costos de personal».
• Enllaços «qualsevol persona amb l'enllaç». Un document compartit així queda a l'abast de qualsevol persona que l'hagi obert alguna vegada, i entra en les seves respostes.
• Dades personals en resums. Un resum de reunió recull comentaris sobre la salut o el rendiment d'una persona i es distribueix a tot el canal.
• Injecció d'instruccions. Un correu o document extern amb text ocult intenta que l'assistent faci alguna cosa no prevista, com resumir informació confidencial en la resposta.
• Excés de confiança. Un esborrany ben redactat amb una xifra o un article normatiu inventat s'envia sense revisar.

Cap d'aquests riscos no és nou: Copilot els fa visibles i més ràpids. Per això la preparació és, sobretot, higiene de permisos i d'informació.

Un pla de desplegament per fases

Fase	Què es fa	Durada orientativa
0. Diagnòstic	Informe de llocs i equips sobreexposats, enllaços oberts i documents sensibles sense etiquetar	2–4 setmanes
1. Higiene	Neteja de permisos, etiquetes de confidencialitat, DLP i auditoria activada	4–8 setmanes, en paral·lel amb la fase 2
2. Pilot	20–50 usuaris d'àrees diferents, amb formació i casos d'ús definits	6–8 setmanes
3. Avaluació	Mesura d'ús, estalvi percebut, incidències i ajustos de normes	2 setmanes
4. Ampliació	Desplegament per onades, amb formació prèvia a cadascuna	Segons la mida

El pilot ha d'incloure persones d'àrees amb informació sensible (recursos humans, finances, jurídic): és on apareixen els problemes de permisos que cal resoldre abans d'ampliar.

Llista de comprovació abans d'assignar llicències

• [ ] Informe de llocs de SharePoint i equips de Teams amb accés ampli revisat i corregit.
• [ ] Enllaços d'ús compartit anònims o de tota l'organització caducats o restringits.
• [ ] Etiquetes de confidencialitat publicades i aplicades almenys a la informació restringida.
• [ ] Regles de prevenció de pèrdua de dades actives per a dades personals i confidencials.
• [ ] Llocs més sensibles exclosos o restringits per a la cerca de Copilot.
• [ ] Registres d'auditoria de Copilot activats i amb termini de conservació definit.
• [ ] Normes d'ús aprovades i comunicades.
• [ ] Informació a la plantilla i a la seva representació sobre el tractament de les seves dades.
• [ ] Formació impartida a les persones del pilot.
• [ ] Canal d'incidències i responsable designat.

Com mesurar si funciona

• Adopció: usuaris actius setmanals i funcions més utilitzades (resums de correu, reunions, esborranys a Word).
• Valor percebut: una enquesta breu al final del pilot sobre temps estalviat i qualitat del resultat.
• Qualitat: nombre d'incidències per respostes errònies o informació que no hi havia d'aparèixer.
• Seguretat: alertes de DLP i accessos a contingut etiquetat.

Si l'adopció cau després de les primeres setmanes, gairebé sempre és per manca de casos d'ús concrets, no d'interès. Per això la formació ha de treballar amb tasques reals de cada àrea.

Copilot dins del govern de la IA

Copilot no és un cas aïllat: és una de les eines autoritzades de l'organització. Convé que figuri a la llista d'eines amb el nivell d'informació permès (normalment informació interna), que les funcions noves que Microsoft activi en actualitzacions es revisin abans d'habilitar-les i que els usos amb dades personals o que donin suport a decisions sobre persones segueixin el mateix procés d'avaluació que qualsevol altre sistema d'IA. Ho expliquem a el cicle de vida d'un projecte d'IA.

A Bidatia acompanyem desplegaments de Copilot de principi a fi: revisió de permisos, Purview, normes d'ús i formació. Si a més vols encaixar-lo en un marc més ampli, consulta quina normativa s'aplica a la IA i les dades.