Preparar los datos de tu empresa para Copilot

Antes de activar Copilot hay que revisar quién puede abrir qué en tu Microsoft 365, porque Copilot responde con todo lo que cada persona tiene permiso para ver. Si hay archivos abiertos a toda la empresa por error, Copilot los puede resumir delante de quien los pregunte. A ese problema se le llama oversharing, o sea, compartir de más. Se arregla en tres tandas, con las herramientas que Microsoft recomienda en su guía oficial.

Por qué el problema ya existía

Copilot respeta los permisos de cada usuario. No abre nada que esa persona no pueda abrir ya. Los permisos mal puestos ya estaban. Con una IA que busca por ti, de pronto se notan. Si una carpeta con nóminas se compartió con toda la empresa hace tres años, lleva tres años ahí. Antes nadie la encontraba. Con Copilot basta con preguntar por salarios.

Primera tanda, encontrar lo que está demasiado abierto

Microsoft propone dos fuentes para localizar los sitios problemáticos.

La primera es Microsoft Purview. Su gestión de la postura de seguridad de datos (DSPM) tiene evaluaciones de riesgo que señalan sitios con datos sensibles muy compartidos, enlaces peligrosos y contenido que se consulta mucho.

La segunda es SharePoint Advanced Management, que se incluye con la licencia de Copilot. Su evaluación de gestión de contenido busca sitios con audiencias enormes, uso de “todos excepto usuarios externos” (EEEU), permisos heredados rotos, enlaces inadecuados y sitios sin propietario o inactivos.

Con las dos listas ya sabes por dónde empezar. No hace falta arreglarlo todo. Empieza por los sitios que mezclan datos sensibles con mucha audiencia.

Segunda tanda, tapar mientras arreglas

Arreglar permisos lleva semanas. Mientras tanto, Microsoft ofrece dos medidas temporales.

• La detección restringida de contenido de SharePoint Advanced Management sirve para que ciertos sitios dejen de aparecer en Copilot.
• La prevención de pérdida de datos de Purview para Copilot sirve para que Copilot no use ciertos archivos con una etiqueta de sensibilidad concreta. También impide que conteste a mensajes que lleven datos sensibles.

Comprueba con las auditorías de Purview que Copilot ya no enseña lo restringido. Cuando los permisos estén arreglados, se quitan estas medidas.

Tercera tanda, arreglar el acceso

En los sitios de riesgo toca quitar accesos de más, limitar los enlaces a personas o grupos concretos y reparar los permisos heredados que se rompieron. SharePoint permite lanzar revisiones de acceso para que los propietarios de cada sitio decidan quién se queda. Y todo sitio necesita alguien que responda de él.

Las etiquetas de sensibilidad de Purview van aquí. Etiquetar los sitios según lo delicado de lo que contienen limita cómo se comparten. Si Copilot genera contenido a partir de archivos etiquetados, el nuevo contenido hereda la etiqueta de mayor prioridad cuando es posible.

Dejar el sistema para que no vuelva a pasar

Arreglar lo viejo sirve de poco si mañana se crean sitios abiertos. Las barreras que recomienda Microsoft son estas.

• Control de acceso restringido por defecto en los sitios críticos.
• Limitar los grupos para toda la empresa y los enlaces para cualquiera.
• Exigir una etiqueta de sensibilidad al crear un sitio.
• Etiquetado automático de archivos y correos con datos sensibles.
• Directivas de Purview para decidir qué archivos no debe usar Copilot.

Para vigilar, el explorador de actividad de DSPM muestra las interacciones con Copilot y los datos sensibles implicados.

Los datos viejos también cuentan

Hay otro efecto aparte de la seguridad. Si Copilot lee documentos obsoletos, contesta con información obsoleta. Microsoft recomienda archivar o borrar sitios inactivos y aplicar directivas de retención para quitar archivos viejos. Con eso mejoran las respuestas y baja el riesgo. Es la misma razón por la que un agente con documentos de hace años contesta con normas de hace años, como cuento en Qué es RAG y por qué Copilot responde con tus documentos.

Qué licencias entran

La guía de Microsoft indica que se necesita una licencia de Copilot y que SharePoint Advanced Management viene incluido con ella. De Purview hacen falta como mínimo las funciones básicas de Microsoft 365 E3. Hay funciones más avanzadas en E5 o E7. Qué incluye exactamente tu plan lo ve tu administrador. Los nombres de las funciones y las licencias cambian a menudo, así que contrasta con la guía oficial antes de planificar.

Preguntas frecuentes

¿Puede Copilot ver archivos que yo no puedo ver?

No. Copilot trabaja con lo que el usuario ya tiene permiso para acceder. Por eso el trabajo se hace sobre los permisos y no sobre Copilot.

¿Hay que terminarlo todo antes de activar Copilot?

Microsoft propone empezar con un grupo piloto y sitios de bajo riesgo. Las medidas temporales permiten ir arreglando sin parar el despliegue.

¿Quién tiene que hacerlo?

Lo hacen los administradores de SharePoint, Purview y seguridad, con los propietarios de cada sitio. La decisión de qué es sensible en la empresa es de negocio y no de informática.