La preparación para Microsoft 365 Copilot consiste en revisar qué puede ver cada usuario antes de comprar licencias, porque Copilot no crea accesos nuevos: responde con todo lo que los permisos de cada usuario ya alcanzan. Según Varonis (mayo de 2025), el 90 % de 1.000 organizaciones analizadas tenía archivos sensibles expuestos a todos sus empleados a través de Copilot. Se revisan sitios abiertos, enlaces amplios, etiquetas e invitados.
Si eso no se corrige antes, Copilot lo deja a una pregunta de distancia de cualquier usuario.
¿Qué datos puede ver Copilot en Microsoft 365?
Los mismos que el usuario. La documentación de Microsoft sobre datos, privacidad y seguridad de Copilot (Microsoft Learn, consultada en noviembre de 2026) dice que Copilot solo muestra datos de la organización sobre los que cada usuario tiene al menos permiso de lectura, incluidos los permisos dados a personas de fuera mediante canales compartidos de Teams. Microsoft ahora llama al producto Microsoft Copilot; antes se llamaba Microsoft 365 Copilot.
El problema está en ese «al menos». En la mayoría de los tenants, los permisos se fueron acumulando durante años: un sitio de proyecto abierto a toda la empresa, una carpeta compartida con un enlace que nunca venció, un invitado de una auditoría de hace dos años. Mientras encontrar ese archivo exigía saber dónde estaba, el riesgo dormía. Con un asistente basta una pregunta en lenguaje natural.
¿Qué tan común es sobrecompartir en Microsoft 365?
Más de lo que suele suponerse. El 2025 State of Data Security Report de Varonis (mayo de 2025, 1.000 entornos analizados) encontró que:
- el 90 % tenía archivos sensibles expuestos a todos los empleados a través de Microsoft 365 Copilot;
- solo 1 de cada 10 empresas tenía sus archivos etiquetados;
- el 88 % tenía usuarios fantasma: cuentas de personas que ya no están, todavía habilitadas.
Son cifras de un proveedor de seguridad de datos, que conviene leer como tal. Aun así describen un patrón que cualquier administrador de Microsoft 365 reconoce, y que se puede medir en el tenant propio en pocos días.
¿Qué hay que revisar en la preparación para Microsoft 365 Copilot?
Esta es la lista mínima de la preparación para Microsoft 365 Copilot. Todas las comprobaciones se hacen con herramientas de Microsoft 365; lo que cambia según el licenciamiento es cuánto se puede automatizar.
| Qué revisar | Dónde está el riesgo | Cómo se detecta | Qué se corrige |
|---|---|---|---|
| Sitios y equipos abiertos a toda la organización | Grupos como «Todos excepto usuarios externos» con acceso a sitios con información sensible | Informes de Data Access Governance de SharePoint | Restringir el acceso a grupos concretos y pedir revisión a los dueños del sitio |
| Enlaces de compartir amplios | Enlaces de «cualquier persona» o «toda la organización» que siguen activos | Informe de actividad de enlaces de compartir | Cambiar el tipo de enlace predeterminado a «personas específicas» y vencer los enlaces viejos |
| Información sensible sin etiqueta | Documentos de clientes, nómina o contratos sin clasificar | Clasificación de datos de Microsoft Purview | Publicar etiquetas de sensibilidad y aplicar etiquetas predeterminadas por biblioteca |
| Invitados y cuentas inactivas | Externos y exempleados que conservan acceso | Revisiones de acceso de Microsoft Entra ID | Dar de baja o vencer accesos, con dueño responsable |
| Sitios sin dueño o abandonados | Contenido viejo que nadie controla y que Copilot puede citar | Administración del ciclo de vida de sitios | Archivar o eliminar, y asignar dueño a los que siguen vivos |
El orden importa. Primero lo que expone datos sensibles a más gente; después lo que solo ensucia las respuestas. La guía de Microsoft sobre controles de seguridad y gobierno de Copilot sigue esa misma secuencia: identificar lo sobrecompartido, quitar el acceso a toda la organización y archivar lo que sobra.
¿Cómo se ocultan contenidos mientras se corrigen permisos?
Con Restricted Content Discovery, de SharePoint Advanced Management. Saca un sitio de la búsqueda de toda la organización y de las respuestas de Copilot sin tocar sus permisos, y Microsoft lo recomienda para sitios con alto riesgo de sobrecompartir, sitios en revisión de permisos y despliegues de Copilot por fases. Tiene límites claros: quien ya tiene acceso sigue entrando al sitio, no se aplica a OneDrive y el cambio tarda en propagarse.
La opción anterior, Restricted SharePoint Search, está en retiro: desde el 31 de julio de 2026 no admite activaciones nuevas. Si un plan de despliegue de Copilot de hace un año contaba con ella, hay que actualizarlo.
Las dos son medidas temporales. Ocultar un sitio deja el permiso donde estaba; la corrección real es ajustar quién tiene acceso.
¿Cuánto tarda preparar un tenant para Copilot?
Según la documentación de informes de Data Access Governance en Microsoft Learn, el primer informe de permisos de sitios tarda hasta cinco días en completarse, sin importar el tamaño de la organización, y se puede volver a generar cada 30 días. Ese plazo solo ya justifica empezar antes de que lleguen las licencias.
Para medir el despliegue, el panel de adopción de Copilot dice cuánta gente lo usa. Un comité de riesgo va a preguntar otra cosa: cuánto puede encontrar esa gente. Tres números, tomados antes de activar y otra vez a los 30 días, responden esa pregunta: sitios abiertos a toda la organización, enlaces activos de «cualquier persona» y documentos sensibles sin etiqueta. Si bajan mientras la adopción sube, el despliegue va bien.
¿Quién debe participar en la preparación?
No es un trabajo solo de TI. El administrador de Microsoft 365 saca los informes y aplica los cambios, pero no sabe qué sitio guarda información sensible ni quién debería verla. Esa respuesta la tienen los dueños de cada área: finanzas, recursos humanos, legal, operaciones. Cumplimiento o el oficial de protección de datos decide qué etiquetas existen y qué protegen.
Por eso la revisión funciona mejor con un dueño nombrado por sitio importante y una fecha para su revisión de acceso. Sin dueño, el sitio queda abierto por defecto, porque nadie se atreve a cerrar algo que no sabe quién usa.
¿Qué cambia para una empresa regulada en Panamá?
Que la exposición deja de ser un problema de orden y pasa a ser un problema de cumplimiento. En Panamá, la Ley 81 de 2019 exige medidas de seguridad proporcionales al riesgo sobre datos personales, y una carpeta de nómina abierta a toda la empresa difícilmente pasa esa prueba, con Copilot o sin él. La diferencia es que Copilot reduce el esfuerzo de encontrarla a una pregunta.
La revisión previa también deja evidencia: qué estaba expuesto, qué se corrigió y quién lo aprobó. Es el registro que un auditor va a pedir cuando pregunte cómo se preparó la empresa antes de activar un asistente sobre sus datos. Si su empresa ya está evaluando cómo gobernar el resto de sus usos de IA, empiece por gobernanza de IA en Panamá para empresas reguladas y nuestro mapa de cumplimiento de la Ley 81.
Cómo lo resolvemos en Soluciones Etech Corp
En Soluciones Etech Corp, desde Panamá, revisamos la preparación de Microsoft 365 para Copilot antes de que la empresa asigne licencias: permisos y sitios sobrecompartidos en SharePoint, OneDrive y Teams, etiquetas de sensibilidad y accesos de invitados, con un plan de corrección priorizado. Es un servicio con alcance y precio cerrados que empieza con una conversación de alcance de 20 minutos, sin costo. Más sobre cómo trabajamos IA y datos en servicios de IA.