Cómo preparar tu organización antes de activar Microsoft 365 Copilot

Microsoft 365 Copilot no necesita que nadie lo «conecte» a la documentación: ya puede leer todo lo que el usuario puede ver en SharePoint, OneDrive, Teams y el correo. Esa es su gran ventaja y también su principal riesgo. Si una carpeta con ofertas, nóminas o informes reservados está compartida con demasiada gente, Copilot la usará para responder a todas esas personas, aunque no recuerden que tienen acceso.

Por eso el despliegue de Copilot empieza mucho antes de asignar licencias. Estos son los pasos que recomendamos.

1. Limpiar los permisos

Es el paso que más evita sorpresas:

• Revisar los sitios de SharePoint, los equipos de Teams y las carpetas compartidos con «toda la organización» o con grupos muy amplios.
• Localizar los enlaces de uso compartido abiertos y caducarlos.
• Restringir el contenido que Copilot puede consultar en los sitios más sensibles (por ejemplo, con la exclusión de la búsqueda o la restricción de descubrimiento de contenido).
• Aplicar el principio de mínimo acceso: cada persona ve lo que necesita para su trabajo, no lo que le resulta cómodo.

2. Clasificar la información

Las etiquetas de confidencialidad de Microsoft Purview hacen que Copilot respete el cifrado y las restricciones de cada documento. Un esquema sencillo de cuatro niveles basta para empezar:

Nivel	Ejemplos	Tratamiento
Pública	Información ya publicada, normativa, notas de prensa	Sin restricciones
Uso interno	Procedimientos, documentación técnica sin datos personales	Solo personal de la organización
Confidencial	Contratos, expedientes, ofertas en curso	Acceso por rol y necesidad de conocer
Restringida	Datos de salud, menores, configuraciones de seguridad	Acceso mínimo, cifrado y auditoría

El etiquetado automático ayuda, pero no sustituye a la clasificación que aprueba el responsable de cada área.

3. Prevenir fugas y registrar el uso

• Prevención de pérdida de datos (DLP): reglas que avisan o impiden pegar o subir información personal o confidencial en servicios de IA externos.
• Control de herramientas no autorizadas: bloquear o supervisar el acceso a otros asistentes de IA desde los equipos y la red corporativa, para que Copilot no sea la puerta y los demás la ventana.
• Registros de auditoría: activar y conservar los registros de uso de Copilot para investigar incidencias y atender reclamaciones.

4. Fijar unas normas de uso

Pocas, claras y obligatorias:

1. La IA apoya; no sustituye el criterio profesional ni la firma.
2. Solo herramientas autorizadas, con cuenta corporativa y en dispositivos de la organización.
3. Nunca introducir credenciales ni contraseñas.
4. No enviar ni firmar nada generado con IA sin leerlo completo y comprobar datos, cifras y referencias contra la fuente.
5. Formación básica antes de usarla (lo exige además el art. 4 del Reglamento Europeo de IA).
6. Comunicar de inmediato cualquier incidencia o posible fuga de datos.

Conviene complementarlas con una tabla de qué información se puede introducir en cada herramienta de IA.

5. Informar a la plantilla y a su representación

Copilot trata datos de los empleados: correos, reuniones, chats. Antes de activar funciones como la transcripción y el resumen de reuniones de forma general, hay que informar a la plantilla y a su representación, decidir qué reuniones se transcriben, quién accede a los resúmenes y cuánto tiempo se conservan, y descartar expresamente su uso para evaluar a las personas.

6. Formar con casos reales

Una formación práctica de cuatro horas, en dos bloques, funciona bien:

Bloque 1. Correo, documentos y presentaciones (2 h)

• Qué es Copilot y qué no: capacidades y límites reales, y cómo trabaja con los permisos existentes.
• Outlook: resumir hilos largos, redactar respuestas y ajustar el tono.
• Word: borradores a partir de documentos propios, resúmenes y revisión de coherencia.
• PowerPoint: presentaciones a partir de un documento, con notas del orador.
• Cómo pedir bien las cosas: contexto, formato, tono y restricciones.

Bloque 2. Trabajo en equipo y uso responsable (2 h)

• Teams: resumen de reuniones, decisiones y tareas; ponerse al día de un canal.
• Chat de Copilot para consultar la documentación de la organización.
• Qué ve Copilot y qué no: los permisos mandan.
• Datos personales, información confidencial y derechos de autor.
• Dónde situar la revisión humana antes de publicar o enviar.

Cada bloque alterna demostración y ejercicios en un espacio de pruebas con documentación ficticia, en grupos de 16 personas como máximo.

7. Medir y ajustar

Durante las primeras semanas, vigilar el uso real, las incidencias y las preguntas que más se repiten. Si Copilot devuelve información que alguien no debería ver, el problema casi nunca es Copilot: es un permiso mal puesto que ya existía.

Riesgos reales, con ejemplos

• Sobreexposición heredada. Un equipo de Teams creado hace años para un proyecto incluye a media organización y contiene un borrador de presupuestos con salarios. Nadie lo recordaba; Copilot sí lo encuentra al preguntarle por «costes de personal».
• Enlaces «cualquiera con el enlace». Un documento compartido así queda al alcance de cualquier persona que lo haya abierto alguna vez, y entra en sus respuestas.
• Datos personales en resúmenes. Un resumen de reunión recoge comentarios sobre la salud o el rendimiento de una persona y se distribuye a todo el canal.
• Inyección de instrucciones. Un correo o documento externo con texto oculto intenta que el asistente haga algo no previsto, como resumir información confidencial en la respuesta.
• Exceso de confianza. Un borrador bien redactado con una cifra o un artículo normativo inventado se envía sin revisar.

Ninguno de estos riesgos es nuevo: Copilot los hace visibles y más rápidos. Por eso la preparación es, sobre todo, higiene de permisos y de información.

Un plan de despliegue por fases

Fase	Qué se hace	Duración orientativa
0. Diagnóstico	Informe de sitios y equipos sobreexpuestos, enlaces abiertos y documentos sensibles sin etiquetar	2–4 semanas
1. Higiene	Limpieza de permisos, etiquetas de confidencialidad, DLP y auditoría activada	4–8 semanas, en paralelo con la fase 2
2. Piloto	20–50 usuarios de áreas distintas, con formación y casos de uso definidos	6–8 semanas
3. Evaluación	Medición de uso, ahorro percibido, incidencias y ajustes de normas	2 semanas
4. Ampliación	Despliegue por oleadas, con formación previa a cada una	Según tamaño

El piloto debe incluir personas de áreas con información sensible (recursos humanos, finanzas, jurídico): es donde aparecen los problemas de permisos que hay que resolver antes de ampliar.

Lista de comprobación antes de asignar licencias

• [ ] Informe de sitios de SharePoint y equipos de Teams con acceso amplio revisado y corregido.
• [ ] Enlaces de uso compartido anónimos o de toda la organización caducados o restringidos.
• [ ] Etiquetas de confidencialidad publicadas y aplicadas al menos a la información restringida.
• [ ] Reglas de prevención de fuga de datos activas para datos personales y confidenciales.
• [ ] Sitios más sensibles excluidos o restringidos para la búsqueda de Copilot.
• [ ] Registros de auditoría de Copilot activados y con plazo de conservación definido.
• [ ] Normas de uso aprobadas y comunicadas.
• [ ] Información a la plantilla y a su representación sobre el tratamiento de sus datos.
• [ ] Formación impartida a las personas del piloto.
• [ ] Canal de incidencias y responsable designado.

Cómo medir si funciona

• Adopción: usuarios activos semanales y funciones más usadas (resúmenes de correo, reuniones, borradores en Word).
• Valor percibido: una encuesta breve al final del piloto sobre tiempo ahorrado y calidad del resultado.
• Calidad: número de incidencias por respuestas erróneas o información que no debía aparecer.
• Seguridad: alertas de DLP y accesos a contenido etiquetado.

Si la adopción cae tras las primeras semanas, casi siempre es falta de casos de uso concretos, no de interés. Por eso la formación debe trabajar con tareas reales de cada área.

Copilot dentro del gobierno de la IA

Copilot no es un caso aislado: es una de las herramientas autorizadas de la organización. Conviene que figure en la lista de herramientas con su nivel de información permitido (normalmente información interna), que las funciones nuevas que Microsoft active en actualizaciones se revisen antes de habilitarlas y que los usos con datos personales o que apoyen decisiones sobre personas sigan el mismo proceso de evaluación que cualquier otro sistema de IA. Lo explicamos en el ciclo de vida de un proyecto de IA.

En Bidatia acompañamos despliegues de Copilot de principio a fin: revisión de permisos, Purview, normas de uso y formación. Si además quieres encajarlo en un marco más amplio, consulta qué normativa aplica a la IA y los datos.