Una de las preguntas más importantes antes de incorporar Microsoft 365 Copilot a una organización no es:
«¿Es seguro Copilot?»
La pregunta es:
«¿A qué información pueden acceder ya los empleados?»
La propia Microsoft ha publicado una guía que recomienda a las organizaciones revisar el uso compartido excesivo de información (oversharing), los permisos y la información sensible antes de ampliar el uso de Copilot.
El problema no es necesariamente una intrusión
Copilot trabaja con información a la que el usuario tiene permiso para acceder.
En principio, parece seguro.
Pero en una organización grande suele haber:
- Sitios de SharePoint demasiado abiertos
- Carpetas antiguas
- Documentos sin propietario
- Archivos sensibles a los que se ha dado acceso a un grupo amplio
- Información guardada durante años
- Permisos que ya no reflejan la función del empleado
Antes de Copilot, puede que la información fuera técnicamente accesible, pero difícil de encontrar.
La IA cambia eso.
Copilot puede facilitar la localización de información que ya se comparte demasiado
Si un empleado puede acceder a un documento, Copilot puede ser capaz de encontrarlo, resumirlo e incorporarlo a una respuesta.
Precisamente por eso Microsoft recomienda revisar la capa de permisos antes de un despliegue amplio.
Copilot no crea necesariamente el permiso problemático.
Simplemente puede facilitar el aprovechamiento de un acceso demasiado amplio que ya existía.
Las tres etapas de Microsoft
La propuesta de Microsoft se centra en tres ámbitos:
1. Corregir el uso compartido excesivo de información (Oversharing)
Localizar información cuya configuración permite un acceso demasiado amplio.
Identificar contenido:
- Sensible
- Antiguo
- Sin propietario
- Abierto a un público demasiado amplio
2. Límites y controles (Guardrails)
Establecer límites temporales o permanentes.
Microsoft menciona herramientas como:
- Restricted Content Discovery
- Restricted Access Control
- Sensitivity Labels
- DLP
3. Cumplimiento y supervisión (Compliance)
Asegurarse de que la organización dispone de:
- Audit
- Retention
- eDiscovery
- Seguimiento de la actividad de Copilot
- Procedimientos adecuados para la información sensible
Restricted Content Discovery
Microsoft permite limitar temporalmente la capacidad de Copilot para descubrir contenido en determinados sitios.
La idea es dar tiempo a la organización para corregir los permisos antes de que el contenido vuelva a formar parte de la experiencia de Copilot.
Esto no debe sustituir una corrección real de los permisos.
Purview DLP
Microsoft Purview puede utilizarse para limitar el uso de información sensible.
Según la documentación de Microsoft, se pueden definir reglas que afecten a:
- Archivos
- Correos electrónicos
- Prompts
- Información sensible
- Interacciones con Copilot
Audit
Una organización necesita saber qué hacen los usuarios con Copilot.
Microsoft documenta funciones de audit que pueden ayudar a seguir:
- Prompts
- Respuestas
- Búsquedas en internet
- Actividad relacionada con información sensible
Qué debe hacer una organización antes de ampliar Copilot
Antes de un despliegue amplio:
- Comprobad quién puede acceder a qué.
- Localizad los sitios de SharePoint demasiado abiertos.
- Revisad las carpetas compartidas de OneDrive.
- Identificad la información sin propietario.
- Etiquetad la información sensible.
- Configurad DLP y retention.
- Aseguraos de que haya audit.
- Probad Copilot con usuarios reales antes de un despliegue amplio.
¿Qué ocurre con el hebreo?
Microsoft admite el hebreo en Microsoft 365 Copilot.
Pero la clasificación de información sensible, las palabras clave y las reglas de DLP también deben probarse con información en hebreo.
En el momento de la publicación, no se encontraron datos públicos sobre las tasas de precisión de los mecanismos de Purview en documentos en hebreo.
En definitiva
Microsoft 365 Copilot no convierte un permiso adecuado en un permiso abierto.
Pero sí puede hacer mucho más útil un permiso abierto que ya exista.
Por eso, implantar Copilot también es un proyecto de gestión de información y permisos, no solo la compra de una licencia de IA.