Imagina que una empresa activa Copilot un lunes. El viernes, un colaborador descubre con una pregunta en lenguaje natural que puede ver los salarios de sus colegas. No porque Copilot tenga un error de seguridad. Sino porque ese archivo lleva cuatro años accesible para cualquiera dentro de la empresa, y nadie se acordó de que existía.
Copilot no crea vulnerabilidades nuevas. Elimina la fricción que hacía que las vulnerabilidades existentes fueran invisibles. Y eso cambia absolutamente todo.
El año en que el 3% decidió ir primero
Microsoft reportó 15 millones de usuarios con licencias pagas de Copilot en enero de 2026, contra 450 millones de suscriptores comerciales de Microsoft 365. Eso es una tasa de adopción del 3,33%. Incluso en las empresas más grandes del mundo, la mayoría corre pilotos pequeños. No despliegues reales.
El freno no es el precio. El freno es la preparación. Y la preparación, en este contexto, tiene un nombre poco glamoroso: gobernanza de datos. Es decir, saber qué información existe dentro de la organización, dónde está, y quién puede verla.
La carpeta que nadie recordaba
Todas las organizaciones que usan Microsoft 365 acumulan el mismo tipo de problema con el tiempo. Decisiones que parecían inofensivas:
- Un documento compartido con "cualquiera que tenga el enlace"
- Un grupo de trabajo de hace tres años que todavía tiene acceso a carpetas activas
- Un informe financiero distribuido masivamente en 2021 para una reunión, y nunca revocado
- Sitios de proyectos terminados que siguen abiertos sin un responsable activo
Un análisis de 2025 encontró que las organizaciones tienen en promedio 802,000 archivos en riesgo por acceso excesivo, con el 16% de los datos críticos de negocio expuesto a personas que no deberían tenerlo.
Ese número no es alarmante porque sea nuevo. Es alarmante porque ya existía y nadie lo había cuantificado.
| Situación | Antes de Copilot | Con Copilot activo |
|---|---|---|
| Archivo de sueldos mal compartido | Nadie lo encuentra fácilmente | Cualquiera puede pedirlo en lenguaje natural |
| Proyecto terminado con carpetas abiertas | Acceso ignorado, sin uso | Contenido disponible para todos con acceso |
| Link "cualquiera con el enlace" activo | Riesgo teórico | Riesgo inmediato y explotable |
| Información sin clasificar | Pasa desapercibida | Copilot la incluye en respuestas sin restricción |
Copilot no crea el problema. Hace que el problema sea imposible de ignorar.
Ver antes de hacer
La primera acción antes de activar Copilot no es configurar la herramienta. Es entender qué puede ver quién dentro del entorno.
Microsoft incluye en cualquier licencia de Copilot una herramienta de gestión que permite identificar qué contenido está sobreexpuesto, verificar que cada espacio de trabajo tiene un responsable activo, y revisar el acceso de forma continua.
Los reportes de visibilidad muestran, archivo por archivo, quién tiene permiso de ver qué dentro del entorno completo, y permiten a los responsables identificar y corregir los accesos excesivos de forma sistemática.
No hace falta limpiar todo antes de activar Copilot. La estrategia correcta es priorizar por sensibilidad y alcance: lo más crítico y lo más expuesto va primero.
Darle nombre a lo que debe ser secreto
Identificar el problema no alcanza. Hace falta clasificar la información para que las reglas puedan aplicarse de forma automática.
Piénsalo como las categorías de un archivo físico. La recomendación es mantener esa clasificación simple: tres a cinco categorías, con nombres tan claros que cualquier persona del equipo pueda aplicarlos correctamente la primera vez.
| Categoría | Qué incluye | Quién puede verlo |
|---|---|---|
| Público | Comunicados, contenido de marketing | Cualquiera, incluido externo |
| Interno | Procedimientos, políticas generales | Toda la organización |
| Confidencial | Datos financieros, contratos, RRHH | Solo los equipos correspondientes |
| Restringido | Estrategia, M&A, información regulada | Acceso explícito por persona |
Cuando un documento tiene una categoría asignada, Copilot la respeta. Si el documento está marcado como confidencial, no va a aparecer en la respuesta a alguien que no debería verlo. Pero si nunca se clasificó, no hay regla que aplicar.
La clasificación automática resuelve el historial acumulado a una escala que la revisión manual nunca podría alcanzar, y los documentos que Copilot genera heredan automáticamente la categoría más alta del contenido que los originó.
El orden que cambia el resultado
La secuencia correcta no es "activar Copilot y ver qué pasa". Es:
- Diagnosticar el acceso. Saber qué contenido está sobreexpuesto y a quién. Las herramientas incluidas en la licencia de Copilot cubren este paso.
- Clasificar la información sensible. Empezar por lo más crítico, no por todo. Un sistema de cuatro categorías es suficiente para empezar.
- Configurar reglas automáticas vinculadas a esas clasificaciones, para que el sistema actúe sin intervención manual cuando detecta contenido sensible.
- Hacer un piloto acotado con un grupo pequeño de usuarios, monitorear cómo interactúan con Copilot y qué tipo de respuestas genera.
- Expandir gradualmente desde ese piloto hacia el resto de la organización, con visibilidad sobre lo que Copilot está haciendo en cada etapa.
Comprimir este proceso crea brechas que son mucho más caras de corregir una vez que el despliegue está hecho.
El punto
La pregunta que vale hacerse no es "¿estamos listos para Copilot?" sino "¿tenemos claridad sobre lo que Copilot va a poder ver?". Si la respuesta es no, el problema no es la herramienta. Es el orden de las acciones.
El costo promedio de un incidente de datos llegó a 4,44 millones de dólares en la investigación de IBM de 2025. El costo de un diagnóstico previo al despliegue es notablemente más bajo. Y la diferencia entre los dos escenarios es exactamente el trabajo que se evitó hacer a tiempo.
Copilot es una herramienta extraordinaria cuando el entorno está preparado para ella. Y amplifica los riesgos ignorados cuando no lo está.
Si este tipo de análisis te resulta útil, hay más cada semana en la newsletter de macareno.net. Sin spam, sin genérico, solo tecnología Microsoft que importa.
Fuentes
- Microsoft 365 Copilot Readiness and Resiliency with SharePoint — Microsoft Tech Community
- Security and governance innovations for Microsoft 365 Copilot from Ignite 2025 — Microsoft Tech Community
- Microsoft 365 Copilot Security: Get the Tenant Ready First — BDEmerson
- Is Your Microsoft 365 Tenant Ready for Copilot? — ABT
- Microsoft Purview: Proven Copilot Data Security Guide — Progressive Robot