Microsoft 365 Copilot no inventa derechos de acceso. Utiliza los que ya existen. Una respuesta de Copilot se nutre de los contenidos que la persona que consulta puede ver de todos modos a través de Microsoft Graph, la misma lógica de permisos que también rige para el acceso directo a los archivos. Precisamente este es el punto que a menudo se pierde en el debate: Copilot no es una nueva fuga de datos, sino un foco muy eficaz sobre una antigua.
Porque en la mayoría de los entornos de SharePoint y Teams que han crecido a lo largo de años, el empleado medio tiene acceso técnico a mucho más de lo que jamás se pretendió. Mientras ese acceso solo existe en teoría —nadie conoce el sitio, nadie lo busca—, el problema permanece latente. Copilot lo convierte en una realidad consultable. La pregunta «¿dónde están en realidad nuestras listas de salarios?» ofrece entonces una respuesta si los permisos lo permiten.
Por qué «pero si ya tiene acceso» es una tranquilidad falsa
El malentendido más frecuente es: si Copilot solo muestra lo que un usuario puede ver de todos modos, entonces todo está en orden. Esto es formalmente cierto y aun así peligroso en la práctica.
La diferencia reside en la localizabilidad. Un sitio de presupuestos con permisos incorrectos que nadie conoce es prácticamente invisible mientras siga siendo accesible a través de una URL críptica. Microsoft describe en su propia documentación exactamente este escenario: un sitio con datos de negocio sensibles, cuyo propietario nunca fijó permisos limpios, aparece en las respuestas de Copilot en cuanto alguien formula la pregunta adecuada. Lo que antes estaba protegido por el desconocimiento se vuelve accesible mediante una búsqueda en lenguaje natural.
La mayor fuente individual de este «oversharing» es, según la propia valoración de Microsoft, el uso compartido con «Todos excepto usuarios externos» (en inglés Everyone Except External Users, EEEU) o «Todos». Ese único clic al compartir hace que un documento sea legible para toda la organización, y durante años fue la vía estándar cómoda para «dar rápidamente acceso a todos».
Los permisos no son un asunto de Copilot: Copilot solo los hace visibles
Merece la pena aclarar el orden: ordenar los permisos no es una tarea especial de Copilot. Es una higiene de datos adecuada que de todos modos estaba pendiente desde hacía tiempo. Copilot es simplemente el motivo que convierte un déficit crónico de gobernanza en un riesgo agudo.
Quien activa Copilot sin este trabajo previo convierte el oversharing latente en una exposición inmediatamente consultable, en toda la empresa, en segundos, en alemán comprensible. Esto no es un argumento contra Copilot, sino uno a favor de una introducción ordenada.
Cinco pasos antes del despliegue
1. Inventariar los permisos
Al principio está la visibilidad. Microsoft agrupa las herramientas necesarias para ello en SharePoint Advanced Management (SAM). El informe de referencia de oversharing, el informe sobre usuarios con permisos y la revisión de acceso a sitios muestran qué contenidos están ampliamente compartidos. Un nuevo informe de estado de permisos ofrece la vista panorámica sobre los permisos de sitio, OneDrive y archivos en todo el tenant. Sin este inventario falta la base para cualquier decisión posterior.
2. Revertir de forma selectiva los permisos amplios de «Todos»
El paso individual más eficaz es la reversión de los permisos EEEU o «Todos» a los círculos de personas realmente necesarios. A nivel de tenant y de sitio, la configuración predeterminada para compartir puede pasarse del uso compartido en toda la organización a enlaces selectivos de «Personas específicas». Esto no solo reduce la exposición a Copilot, sino que mejora la situación de seguridad en general.
3. Clasificar los contenidos sensibles: con etiquetas de confidencialidad
Las etiquetas de confidencialidad de Microsoft Purview son la segunda línea de defensa. Si una etiqueta cifra un documento, los usuarios necesitan el derecho de uso EXTRACT además de VIEW para que las aplicaciones de IA puedan devolver el contenido. Si una etiqueta impone cifrado o derechos de uso, Copilot respeta esas restricciones y no entrega contenidos protegidos más allá del marco permitido. La clasificación no sustituye a unos permisos limpios, pero los complementa con una barrera vinculada al contenido que actúa también en caso de permisos incorrectos.
4. Acotar temporalmente el alcance de la búsqueda
Para el período de transición, Microsoft ofreció la Restricted SharePoint Search (RSS): una lista positiva de hasta 100 sitios verificados a los que se limitan la búsqueda en toda la organización y Copilot. Importante para su interpretación: RSS no modifica ningún permiso y está pensada expresamente como solución transitoria de corto plazo, destinada a dar a los administradores tiempo para la revisión de permisos, no un muro de contención de seguridad ni apta para el funcionamiento permanente.
Además, RSS se retira: desde el 31 de julio de 2026, la reactivación está bloqueada. Microsoft remite en su lugar a la Restricted Content Discovery (RCD) dentro de SharePoint Advanced Management. Con RCD, los sitios individuales pueden configurarse de modo que la búsqueda y Copilot ya no los rastreen, con el acceso al sitio inalterado. Quien planifique hoy debería, por tanto, apostar directamente por RCD y ya no por RSS.
5. Desplegar de forma escalonada en lugar de activar en todo el tenant
Copilot no debe activarse para todos con solo pulsar un botón. Lo sensato es un despliegue escalonado: un grupo piloto con una situación de datos verificada, observación de las respuestas reales, después una ampliación progresiva. Es importante mantener el orden: primero validar los permisos y la gobernanza, después liberar de nuevo las restricciones temporales para que Copilot trabaje de forma fiable y completa. Las personas implicadas deberían saber que los resultados de búsqueda y de Copilot cambian en cuanto desaparecen las restricciones transitorias.
Lo que queda: una tarea permanente, no un proyecto
Estos cinco pasos no son una ordenación única. Los permisos siguen creciendo, surgen nuevos equipos, los permisos antiguos quedan obsoletos. Por eso, la Data Access Governance es un proceso continuo con informes periódicos, responsabilidades claras para los propietarios de sitios y reglas de ciclo de vida definidas para los sitios. Copilot solo ha desplazado este proceso, sensato de todos modos, del ámbito «deseable» al ámbito «a resolver antes de la activación».
Cómo ayuda sector7
Como casa de gestión propia con una oficina en Solingen, unimos la seguridad de Microsoft 365 y la higiene de datos de Copilot con nuestra práctica de ciberseguridad: desde el inventario de los riesgos de oversharing, pasando por la reversión de los permisos amplios de «Todos» y la introducción de las etiquetas de confidencialidad de Purview, hasta el despliegue de Copilot escalonado y supervisado. Como partner de Microsoft, encuadramos esto en una preparación y gobernanza de IA sólida; y allí donde la confidencialidad prevalece sobre la comodidad, operamos modelos de lenguaje privados y protegidos con RAG en nuestro propio parque de servidores, sin entregar sus datos al entrenamiento de modelos ajenos.
Fuentes
- https://learn.microsoft.com/en-us/sharepoint/restricted-sharepoint-search
- https://learn.microsoft.com/en-us/sharepoint/sharepoint-copilot-best-practices
- https://learn.microsoft.com/en-us/sharepoint/get-ready-copilot-sharepoint-advanced-management
- https://techcommunity.microsoft.com/blog/microsoft365copilotblog/mitigate-oversharing-to-govern-microsoft-365-copilot-and-agents/4448744
- https://learn.microsoft.com/en-us/sharepoint/restricted-content-discovery
- https://learn.microsoft.com/en-us/purview/ai-m365-copilot
- https://learn.microsoft.com/en-us/purview/ai-microsoft-purview