Gobernanza IA: Guía Completa para Desplegar Copilot en 2026
· AI Governance · 18 min de lectura
By Juan Pedro Márquez
Lo que nadie te dice cuando hablas de gobernanza de IA
**En resumen: la gobernanza de IA no es un proyecto de TI más; es el trabajo de limpiar identidades, clasificar datos con etiquetas de confidencialidad de Microsoft Purview y auditar permisos de SharePoint antes de activar Copilot.** Copilot no crea accesos: hereda los que ya existían y los hace visibles al instante. Sin esa base, gobiernas reaccionando a incidentes en lugar de prevenirlos.
Cuando un responsable de TI me pregunta cómo desplegar Copilot de forma segura, lo primero que hago es pedirle que abra el Centro de Administración de SharePoint y ejecute un informe de permisos. La reacción que obtengo —sorpresa, incomodidad o directamente preocupación— me dice más sobre su preparación real que cualquier cuestionario de madurez.
En mi experiencia trabajando con organizaciones en España y Europa, el fallo de gobernanza más común no es técnico. Es de mentalidad: tratar la IA como una aplicación más, activar las licencias, y asumir que los controles existentes son suficientes. No lo son.
He desplegado esto con un cliente en el sector público que tenía una política de acceso condicional perfectamente configurada y, a la vez, tenía documentos de expedientes de personal accesibles para toda la organización en un sitio de SharePoint que nadie había revisado en tres años. Copilot no creó ese problema. Lo hizo visible en dos días.
La gobernanza de IA no es un checkbox de cumplimiento. Es el trabajo real que tienes que hacer antes de pulsar el interruptor, y la disciplina que tienes que mantener después. Esta guía te explica cómo hacerlo.
Antes de empezar
Antes de configurar cualquier capacidad de IA en tu tenant, necesitas tener esto resuelto:
- [ ] Auditoría de permisos de SharePoint ejecutada: identifica sitios con "Todos excepto usuarios externos" y grupos M365 con membresías obsoletas
- [ ] Taxonomía de etiquetas de confidencialidad definida en Microsoft Purview (al menos 4 niveles: Público, General, Confidencial, Altamente Confidencial)
- [ ] Políticas de etiquetado automático configuradas y ejecutándose en modo auditoría (mínimo 6 semanas antes del despliegue de IA)
- [ ] Comité de gobernanza de IA formado con miembros de TI, Legal, Cumplimiento y al menos un líder de negocio
- [ ] Inventario de uso de IA existente en la organización (incluyendo usos informales: ChatGPT, Copilot free, herramientas de terceros)
- [ ] Marco de evaluación de riesgos definido para clasificar nuevas iniciativas de IA
- [ ] Política de uso aceptable de IA redactada, revisada por Legal y comunicada a empleados
Si alguno de estos puntos está pendiente, el despliegue de IA debe esperar. No porque la tecnología no funcione, sino porque sin esta base, no podrás detectar ni corregir los problemas cuando aparezcan.
Por qué la gobernanza de IA es diferente de la gobernanza de TI tradicional
La gobernanza de TI tradicional se centra en gestionar infraestructura, controlar el acceso a los sistemas y garantizar el cumplimiento de las normativas de protección de datos. La gobernanza de IA requiere una mentalidad completamente diferente porque los sistemas de inteligencia artificial introducen desafíos únicos que los marcos de gobernanza existentes nunca fueron diseñados para abordar.
Cuando despliegas Microsoft 365 Copilot o construyes soluciones de IA personalizadas con Azure AI Foundry, no estás implementando otra aplicación más. Estás introduciendo un sistema que puede acceder, sintetizar y presentar datos organizacionales de forma independiente, de maneras que ninguna aplicación tradicional podría hacerlo. Un sitio de SharePoint con permisos excesivamente amplios podría pasar desapercibido durante años bajo la gobernanza tradicional. Con Copilot, ese mismo problema de sobrecompartición se hace visible de inmediato cuando la IA presenta amablemente información confidencial a usuarios no autorizados.
Las organizaciones que tienen éxito son aquellas que construyen marcos de gobernanza de IA dedicados que abordan los riesgos y oportunidades únicos que presentan estas tecnologías.
El marco de gobernanza de IA: personas, procesos, tecnología
Una gobernanza de IA efectiva se sustenta en tres pilares interconectados:
Personas
- Comité de Gobernanza de IA: Equipo multifuncional que incluye TI, legal, cumplimiento, recursos humanos y liderazgo empresarial
- Campeones de IA: Defensores a nivel departamental que comprenden tanto la tecnología como el contexto empresarial
- Administradores de Datos: Individuos responsables de la calidad y clasificación de los datos dentro de sus dominios
- Responsable de Ética en IA: Líder senior responsable de las prácticas de IA responsable (puede ser un rol existente con alcance ampliado)
Procesos
- Evaluación de Casos de Uso de IA: Marco estandarizado de evaluación para nuevas iniciativas de IA
- Clasificación de Riesgos: Categorización de aplicaciones de IA por nivel de riesgo (bajo, medio, alto, inaceptable)
- Flujos de Aprobación: Puertas de gobernanza para el despliegue de capacidades de IA
- Respuesta ante Incidentes: Procedimientos para gestionar incidentes relacionados con IA (resultados incorrectos, fugas de datos, sesgo)
- Monitorización Continua: Evaluación permanente del comportamiento e impacto de los sistemas de IA
Tecnología
- Microsoft Purview: Protección de la información, DLP y gestión de cumplimiento
- Entra ID Governance: Gestión de identidades y accesos, revisiones de acceso, PIM
- SharePoint Advanced Management: Informes de gobernanza de acceso a datos
- Azure AI Content Safety: Filtrado y moderación de contenido para IA personalizada
- Microsoft Defender: Detección de amenazas y monitorización de seguridad
Para una visión general de las herramientas de gobernanza de Microsoft, consulta Soluciones de gobernanza de Microsoft Purview.
Preguntas que debes hacerte (y hacerle a tu equipo)
Estas son las preguntas que planteo en cada proyecto de gobernanza de IA con clientes. Si no tienes respuesta clara para alguna, ahí está el trabajo pendiente:
1. ¿Tienes un inventario de todos los sistemas de IA que se usan en tu organización, incluyendo los no autorizados?
La mayoría de organizaciones descubren que tienen más IA en uso del que saben. Antes de gobernar lo que quieres desplegar, necesitas saber qué ya está corriendo.
2. ¿Quién tiene autoridad para decir "no" a un despliegue de IA en tu organización?
Si la respuesta es "nadie" o "depende", no tienes gobernanza. Tienes burocracia. El comité de gobernanza necesita autoridad real, no solo capacidad de hacer recomendaciones.
3. ¿Qué pasaría si Copilot mostrara hoy los documentos de RRHH de tu organización a un empleado no autorizado?
¿Tienes un procedimiento de respuesta a incidentes para eso? ¿Sabes a quién llamar? ¿Tienes los registros de auditoría activados para detectarlo?
4. ¿Tus etiquetas de confidencialidad reflejan la realidad actual de tus datos, o son las que configuraste hace tres años?
Las taxonomías de clasificación envejecen. Lo que era "General" en 2021 puede ser "Confidencial" hoy. Revísalas antes del despliegue, no después.
5. ¿Cómo vas a explicarle a tus empleados que la IA no tiene acceso a sus conversaciones privadas de Teams?
No es suficiente que sea verdad. Tienes que poder explicarlo con claridad. Si no puedes, tu plan de comunicación está incompleto.
La clasificación de datos como fundamento
La clasificación de datos es el prerrequisito individual más importante para cualquier despliegue de IA. Sin ella, no puedes controlar a qué acceden los sistemas de IA ni aplicar las protecciones adecuadas.
Estrategia de etiquetas de confidencialidad para IA
Diseña tu taxonomía de etiquetas teniendo la IA en mente:
| Etiqueta | Protección | Comportamiento de IA |
|----------|-----------|---------------------|
| Público | Sin cifrado | Copilot puede usar libremente este contenido |
| General | Marcado de encabezado/pie de página | Copilot puede usar; se aplican controles de acceso estándar |
| Confidencial | Cifrado, acceso a nivel de organización | Copilot puede acceder si el usuario tiene permiso; alertas DLP al compartir |
| Altamente Confidencial | Cifrado, solo usuarios nombrados | Excluir de Copilot mediante Restricted SharePoint Search |
Etiquetado automático para la preparación de IA
Despliega políticas de etiquetado automático para asegurar una clasificación completa antes de habilitar las funciones de IA:
- Recomendaciones del lado del cliente: Las aplicaciones de Office sugieren etiquetas mientras los usuarios crean contenido
- Etiquetado automático del lado del servicio: Clasificación automática del contenido en reposo en SharePoint y OneDrive
- Clasificadores entrenables: Modelos de ML que identifican tipos de documentos (contratos, financieros, registros de RRHH)
- Coincidencia exacta de datos: Coincidencia con patrones de datos sensibles conocidos
Dato crítico: Inicia el etiquetado automático al menos 3 meses antes de tu despliegue de IA planificado. Las políticas necesitan tiempo para propagarse y los usuarios necesitan tiempo para adoptar hábitos de etiquetado.
Para la planificación de etiquetas de confidencialidad, consulta Introducción a las etiquetas de confidencialidad.
Auditoría de permisos: el prerrequisito número uno
No puedo subrayar esto con suficiente fuerza: una auditoría exhaustiva de permisos es el paso más importante antes de desplegar cualquier capacidad de IA. Copilot muestra contenido basándose en los permisos existentes. Si esos permisos están mal configurados, Copilot amplifica el problema.
Problemas comunes de permisos
- "Todos excepto usuarios externos": Este grupo incluye a todos los empleados. Los sitios compartidos con este grupo se vuelven accesibles para los Copilots de todos los usuarios
- Membresías de grupo obsoletas: Usuarios que cambiaron de rol pero aún tienen acceso al contenido del equipo anterior
- Valores predeterminados de compartición permisivos: Enlaces de compartición predeterminados configurados como "Organización" en lugar de "Personas específicas"
- Permisos heredados: Subsitios que heredan permisos excesivamente amplios del sitio padre
- Acceso huérfano: Cuentas de invitados de exempleados o cuentas de servicio con acceso excesivo
Proceso de auditoría de permisos
# Paso 1: Identificar sitios compartidos con "Todos excepto usuarios externos"
Get-SPOSite -Limit All | ForEach-Object {
$groups = Get-SPOSiteGroup -Site $_.Url
foreach ($group in $groups) {
if ($group.Users -contains "c:0-.f|rolemanager|spo-grid-all-users") {
[PSCustomObject]@{
SiteUrl = $_.Url
GroupTitle = $group.Title
MemberCount = $group.Users.Count
}
}
}
} | Export-Csv "SitiosSobrecompartidos.csv" -NoTypeInformation
# Paso 2: Revisar enlaces de compartición
Get-SPOSite -Limit All | ForEach-Object {
$sharing = Get-SPOSite -Identity $_.Url | Select-Object Url, SharingCapability, DefaultSharingLinkType
$sharing
} | Export-Csv "ConfigComparticion.csv" -NoTypeInformationPrioridad de remediación
- Inmediato: Eliminar acceso de "Todos" de sitios que contengan contenido de RRHH, financiero o legal
- Semana 1-2: Auditar y corregir los 20 sitios más accedidos
- Semana 3-4: Implementar restricciones de enlaces de compartición predeterminados a nivel de tenant
- Continuo: Configurar revisiones de acceso trimestrales mediante Entra ID Governance
Para la gestión de permisos de SharePoint, consulta Compartición y permisos en SharePoint.
Políticas DLP para cargas de trabajo de IA
Las políticas de Prevención de Pérdida de Datos necesitan configuraciones específicas para escenarios de IA.
Consideraciones DLP específicas para IA
La DLP tradicional previene que los usuarios envíen por correo electrónico documentos sensibles externamente. Con la IA, también necesitas considerar:
- Contenido generado por Copilot: Cuando Copilot crea un documento usando material fuente sensible, el contenido generado puede contener datos sensibles
- Síntesis entre contextos: Copilot puede combinar datos de múltiples fuentes, creando potencialmente nuevas combinaciones sensibles
- Compartición basada en chat: Los usuarios podrían pegar resultados de Copilot en chats de Teams o correos electrónicos
Políticas DLP recomendadas
- Bloquear la compartición externa de contenido generado por Copilot etiquetado como Confidencial o superior
- Alertar sobre consultas masivas de Copilot que accedan a tipos de contenido sensible
- Prevenir capturas de pantalla/copias de contenido Altamente Confidencial visualizado a través de Copilot
- Monitorizar interacciones de Copilot que involucren patrones de datos financieros o de RRHH
Para la configuración de políticas DLP, consulta Información sobre la prevención de pérdida de datos.
Microsoft Purview AI Hub
Microsoft Purview AI Hub está diseñado para monitorizar las interacciones de IA en todo tu tenant de Microsoft 365.
Capacidades clave
- Analíticas de interacción con IA: Visualiza cómo los usuarios interactúan con Copilot y qué fuentes de datos se acceden
- Detección de contenido sensible: Identifica cuándo las interacciones de IA involucran información sensible
- Cumplimiento de políticas: Monitoriza si el uso de IA cumple con las políticas organizacionales
- Indicadores de riesgo: Señala patrones inusuales en el uso de IA que podrían indicar un mal uso
Configuración de AI Hub
- Navega al portal de cumplimiento de Microsoft Purview
- Ve a AI Hub (puede requerir licencia de Purview AI Hub)
- Configura los conectores de datos para Microsoft 365 Copilot
- Establece políticas de alertas para interacciones con contenido sensible
- Crea paneles personalizados para informes de gobernanza de IA
Para Purview AI Hub, consulta Microsoft Purview AI Hub.
Principios de IA responsable aplicados a Copilot empresarial
Los seis principios de IA Responsable de Microsoft deben operacionalizarse para tu contexto específico:
1. Equidad
- Asegura que los datos de entrenamiento de Copilot no introduzcan sesgos
- Monitoriza los resultados de Copilot en diferentes grupos de usuarios para verificar la consistencia
- Prueba el contenido generado por IA para sensibilidad cultural
2. Fiabilidad y seguridad
- Implementa filtros de moderación de contenido para los resultados de IA
- Define procedimientos de escalamiento para fallos de IA
- Establece monitorización para alucinaciones de IA o información incorrecta
3. Privacidad y seguridad
- Aplica etiquetas de confidencialidad antes de habilitar funciones de IA
- Configura Restricted SharePoint Search para despliegues por fases
- Monitoriza patrones de acceso de IA a través de registros de auditoría
4. Inclusividad
- Asegura que las herramientas de IA sean accesibles para usuarios con discapacidades
- Soporta múltiples idiomas en las interacciones de IA
- Proporciona canales alternativos para usuarios que no pueden usar herramientas de IA
5. Transparencia
- Etiqueta claramente el contenido generado por IA
- Proporciona citas para las respuestas de IA para que los usuarios puedan verificar la información
- Documenta las capacidades y limitaciones del sistema de IA para los usuarios
6. Responsabilidad
- Asigna propiedad clara para las decisiones de gobernanza de IA
- Mantén registros de auditoría de los cambios en las políticas relacionadas con IA
- Realiza revisiones periódicas del rendimiento e impacto del sistema de IA
Para los principios de IA Responsable de Microsoft, consulta Principios de IA Responsable.
Consideraciones de cumplimiento: RGPD, Ley de IA de la UE, ISO 42001
Implicaciones del RGPD
Los sistemas de IA que procesan datos personales deben cumplir con los requisitos del RGPD:
- Minimización de datos: Configura la IA para acceder solo a los datos necesarios
- Limitación de finalidad: Define propósitos claros para el procesamiento de datos por IA
- Derechos de los interesados: Asegura que las personas puedan ejercer sus derechos respecto a los datos procesados por IA
- EIPD: Realiza Evaluaciones de Impacto en la Protección de Datos para el procesamiento de IA de alto riesgo
Ley de IA de la UE
La Ley de IA de la UE introduce una regulación basada en riesgos para los sistemas de IA:
- Riesgo inaceptable: Puntuación social, manipulación — prohibido
- Riesgo alto: Decisiones de RRHH, calificación crediticia — requisitos estrictos incluyendo evaluación de conformidad
- Riesgo limitado: Chatbots, contenido generado por IA — obligaciones de transparencia
- Riesgo mínimo: La mayoría de aplicaciones empresariales de IA — sin requisitos específicos
Para Copilot empresarial: La mayoría de los despliegues internos de Copilot caen bajo "riesgo limitado", requiriendo transparencia (los usuarios deben saber que están interactuando con IA). Las aplicaciones de IA personalizadas para decisiones de RRHH pueden clasificarse como "riesgo alto".
ISO 42001
ISO 42001 es el primer estándar internacional para sistemas de gestión de IA:
- Proporciona un marco para establecer, implementar y mejorar la gobernanza de IA
- Útil para demostrar la madurez de la gobernanza de IA ante reguladores y clientes
- Se alinea bien con los principios de IA Responsable de Microsoft y las capacidades de Purview
Construyendo un comité de gobernanza de IA
Composición del comité
| Rol | Responsabilidad | Frecuencia de Reunión |
|-----|-----------------|----------------------|
| CISO / Seguridad de TI | Arquitectura de seguridad, evaluación de riesgos | Mensual |
| Director de Cumplimiento | Alineación regulatoria, aplicación de políticas | Mensual |
| Delegado de Protección de Datos | Cumplimiento del RGPD, derechos de los interesados | Mensual |
| Líderes de Unidades de Negocio | Priorización de casos de uso, adopción | Bimensual |
| Director de TI | Implementación técnica, monitorización | Mensual |
| Representante de RRHH | Protección de datos de empleados, impacto laboral | Trimestral |
| Asesor Legal | Revisión de contratos, evaluación de responsabilidades | Según necesidad |
Carta del comité
Tu comité de gobernanza de IA debe tener una carta formal que cubra:
- Alcance: Qué sistemas y actividades de IA están bajo gobernanza
- Autoridad: Poder de toma de decisiones respecto a los despliegues de IA
- Cadencia: Reuniones operativas mensuales, revisiones estratégicas trimestrales
- Escalamiento: Proceso para incidentes urgentes relacionados con IA
- Informes: Informes regulares al consejo de administración/liderazgo ejecutivo
Marco de evaluación de riesgos para funcionalidades de IA
Matriz de clasificación de riesgos de IA
Evalúa cada iniciativa de IA en cuatro dimensiones:
Sensibilidad de Datos (1-5): ¿Cuán sensibles son los datos a los que accede la IA?
Impacto de Decisiones (1-5): ¿Cuán significativas son las decisiones influenciadas por los resultados de la IA?
Alcance de Usuarios (1-5): ¿Cuántos usuarios se ven afectados?
Nivel de Autonomía (1-5): ¿Con cuánta independencia opera la IA?
| Puntuación Total | Nivel de Riesgo | Requisito de Gobernanza |
|-----------------|-----------------|------------------------|
| 4-8 | Bajo | Revisión estándar, despliegue de autoservicio |
| 9-14 | Medio | Revisión del comité, despliegue por fases |
| 15-17 | Alto | Evaluación completa, aprobación ejecutiva, plan de monitorización |
| 18-20 | Crítico | Aprobación a nivel de consejo, auditoría externa, monitorización continua |
Gestión del cambio para la adopción de IA
Estrategia de comunicación
- Concienciación: Comunica el "por qué" antes del "qué" — explica el valor de negocio, no solo las funcionalidades
- Educación: Formación específica por rol sobre cómo la IA cambia los flujos de trabajo diarios
- Soporte: Canales dedicados para preguntas y preocupaciones sobre IA
- Retroalimentación: Encuestas y mecanismos de feedback regulares
- Celebración: Destaca casos de éxito y mejoras de productividad
Abordando preocupaciones comunes
- "La IA reemplazará mi trabajo": La IA gestiona tareas rutinarias y libera a las personas para trabajo de mayor valor. Pero hay que decirlo con datos, no con eslóganes.
- "No confío en los resultados de la IA": Establece requisitos de revisión humana desde el principio y forma en verificación de fuentes
- "Mis datos no están seguros": Explica los controles de seguridad, la residencia de datos y las protecciones de privacidad con documentación concreta
- "Es demasiado complicado": Proporciona guías de inicio rápido simples y específicas por rol. Dos páginas, no veinte.
Plan de implementación de gobernanza de IA a 30-60-90 días
Días 1-30: Fundamentos
Semana 1-2:
- Establecer el comité de gobernanza de IA con su carta
- Inventariar el uso existente de IA en toda la organización
- Comenzar la auditoría de permisos de SharePoint y Grupos de Microsoft 365
- Definir la taxonomía de etiquetas de confidencialidad (o revisar la existente)
Semana 3-4:
- Desplegar etiquetas de confidencialidad con políticas de etiquetado automático
- Configurar políticas DLP para escenarios de IA (modo auditoría)
- Establecer la monitorización de Microsoft Purview AI Hub
- Documentar las políticas de gobernanza de IA (uso aceptable, evaluación de riesgos)
Días 31-60: Implementación
Semana 5-6:
- Remediar los 20 sitios sobrecompartidos principales identificados en la auditoría de permisos
- Habilitar Restricted SharePoint Search para el grupo piloto de Copilot
- Lanzar piloto con usuarios del Anillo 0 (TI + campeones)
- Comenzar el desarrollo del programa de formación
Semana 7-8:
- Revisar retroalimentación del piloto y ajustar controles de gobernanza
- Expandir a usuarios del Anillo 1 (usuarios avanzados de negocio)
- Habilitar políticas DLP en modo de aplicación (graduado)
- Realizar el primer ciclo de revisión de accesos
Días 61-90: Optimización
Semana 9-10:
- Analizar datos de AI Hub para patrones de uso y riesgos
- Refinar políticas DLP basándose en datos del mundo real
- Expandir la lista de permitidos de Restricted SharePoint Search
- Desarrollar panel de gobernanza de IA (Power BI)
Semana 11-12:
- Presentar informe de postura de gobernanza al liderazgo
- Planificar despliegue amplio (Anillo 2) con barreras de gobernanza
- Establecer cadencia mensual de gobernanza continua
- Documentar lecciones aprendidas y actualizar el manual de gobernanza
Tu checklist de implementación
Planificación
- [ ] Comité de gobernanza de IA formado con carta aprobada
- [ ] Inventario de uso de IA existente completado (incluyendo herramientas no autorizadas)
- [ ] Auditoría de permisos de SharePoint ejecutada y resultados documentados
- [ ] Taxonomía de etiquetas de confidencialidad definida y desplegada
- [ ] Marco de evaluación de riesgos de IA documentado
- [ ] Política de uso aceptable de IA comunicada a empleados
- [ ] Métricas de base recogidas antes de habilitar cualquier capacidad de IA
Implementación
- [ ] Etiquetado automático activo en modo auditoría (mínimo 3 meses antes del despliegue)
- [ ] Top 20 sitios sobrecompartidos remediados
- [ ] Restricted SharePoint Search habilitado para el grupo piloto
- [ ] Políticas DLP configuradas en modo auditoría para escenarios de IA
- [ ] Purview AI Hub activo y dashboards de monitorización configurados
- [ ] Programa de formación por rol desarrollado e impartido al Anillo 0
- [ ] Canal de soporte dedicado para preguntas sobre IA habilitado
Pruebas
- [ ] Revisión de accesos ejecutada tras primeras 4 semanas de piloto
- [ ] Encuesta de satisfacción enviada a usuarios del Anillo 0
- [ ] Incidentes de gobernanza documentados y revisados (¿qué encontró Copilot que no debería?)
- [ ] Políticas DLP revisadas con datos reales de uso
- [ ] Informe de AI Hub analizado por el comité de gobernanza
- [ ] Matriz de riesgos actualizada con aprendizajes del piloto
Despliegue
- [ ] Políticas DLP en modo de aplicación (no solo auditoría)
- [ ] Despliegue amplio (Anillo 2) planificado con barreras de gobernanza aprobadas
- [ ] Cadencia mensual del comité de gobernanza establecida
- [ ] Informe de postura de gobernanza de IA presentado al liderazgo
- [ ] Plan de revisión trimestral de permisos y etiquetas activo
- [ ] Mapa de ruta de cumplimiento (RGPD, Ley IA UE, ISO 42001) documentado y asignado
Para una guía completa de gobernanza de IA, visita la documentación de Microsoft Purview y los recursos de IA Responsable de Microsoft.
Preguntas frecuentes
¿La gobernanza de IA es responsabilidad de TI o de toda la organización?
De toda la organización. TI implementa los controles técnicos, pero las decisiones de riesgo, la clasificación de datos y el uso aceptable necesitan a Legal, Cumplimiento, RRHH y negocio. Sin un comité con autoridad real para decir «no», tienes burocracia, no gobernanza.
¿Cuánto tiempo antes de desplegar Copilot debo empezar a etiquetar datos?
Al menos 3 meses. El etiquetado automático necesita tiempo para propagarse por SharePoint y OneDrive, y los usuarios necesitan adquirir el hábito de etiquetar. Arranca el etiquetado en modo auditoría semanas antes del despliegue, no el mismo día, para no clasificar a ciegas.
¿Qué clasificación de riesgo tiene Copilot bajo la Ley de IA de la UE?
La mayoría de despliegues internos de Copilot caen en «riesgo limitado»: basta con transparencia (que los usuarios sepan que interactúan con IA). Las aplicaciones de IA personalizadas que influyen en decisiones de RRHH o de crédito pueden clasificarse como «riesgo alto», con requisitos mucho más estrictos.
¿Cuál es el primer paso concreto antes de activar Copilot?
Ejecutar una auditoría de permisos en el Centro de Administración de SharePoint. Identifica sitios compartidos con «Todos excepto usuarios externos» y grupos con membresías obsoletas. Es el prerrequisito número uno: Copilot amplifica exactamente los permisos mal configurados que ya tenías.
📋 Descarga gratuita: El Playbook de Gobernanza IA de Microsoft
Todo lo que cubre este artículo — el framework de 3 capas, la matriz de decisión, las 20 preguntas de madurez y los 5 modos de fallo más comunes en EMEA — está resumido en un único PDF para Directores de TI y CIOs.
_(Descarga el PDF gratis rellenando el formulario más abajo.)_
¿Listo para diseñar tu hoja de ruta de gobernanza específica? Hablamos →