La conversación se repite con una regularidad casi cómica. Un gerente de TI escucha la propuesta, asiente durante veinte minutos y al final dice alguna versión de lo mismo:
Todo muy bien. Pero si le doy esto a la gente, ¿qué va a poder ver?
La pregunta es excelente. Es, de hecho, la única pregunta importante de esa reunión. Lo que casi nunca pasa es lo que viene después: nadie la responde con precisión, la reunión cierra con un «lo vemos más adelante» y el proyecto queda congelado sin que nadie sepa si había un problema real o apenas una sospecha.
Vale la pena responderla bien, porque la respuesta es incómoda y tranquilizadora al mismo tiempo. Microsoft 365 Copilot no puede mostrarle a un empleado ni un solo documento que ese empleado no pudiera abrir ya por su cuenta. Ni uno. Lo cual significa que si Copilot le muestra a alguien la planilla, el problema no lo trajo Copilot: ya estaba ahí, y lo que hizo la herramienta fue encenderle la luz.
Casi todo lo que se discute bajo el nombre de seguridad de Microsoft 365 Copilot cabe, en realidad, en esa distinción. Entenderla es la diferencia entre frenar un proyecto por miedo y arrancarlo sabiendo exactamente en qué terreno se está parado.
Qué ve Copilot, exactamente
Copilot trabaja sobre el mismo índice de búsqueda que ya usa Microsoft 365. Cuando un usuario le pide que resuma los correos de la semana o que arme una propuesta con base en las anteriores, la herramienta busca en el contenido de la organización con la identidad de esa persona y con los permisos de esa persona. No tiene una llave maestra. No hay una cuenta de servicio que lo vea todo por debajo.
Dicho de otro modo: Copilot hereda el modelo de acceso que su empresa ya tiene configurado. Si un colaborador de contabilidad no tiene permiso para abrir la carpeta de recursos humanos, Copilot no se la va a mostrar. Y si sí lo tiene, aunque nadie recuerde por qué lo tiene, se la va a mostrar sin dudar.
Ahí está todo el asunto. La seguridad de Microsoft 365 Copilot no depende de la herramienta: depende de qué tan ordenado esté el lugar donde busca.
El problema no lo crea Copilot. Lo hereda.
Casi ninguna empresa configuró mal sus permisos a propósito. Se llega ahí por acumulación, y siempre por buenas razones en su momento.
Alguien creó un sitio de SharePoint para un proyecto y lo abrió a toda la organización para que nadie quedara fuera. El proyecto terminó hace tres años; el sitio sigue abierto, y adentro quedaron cotizaciones, contratos y una carpeta que alguien llamó «respaldos». Otro compartió un archivo con un enlace sin fecha de vencimiento para no andar pidiendo accesos; ese enlace sigue vivo en un correo que se reenvió cuatro veces. Alguien más guardó en su OneDrive personal una copia de una carpeta compartida, y esa copia heredó permisos que ya nadie revisa. Y a un grupo de trabajo se le fue agregando gente año tras año, sin que nadie volviera a mirar todo lo que ese grupo arrastraba consigo.
Son cuatro situaciones distintas, ninguna malintencionada, y todas terminan en el mismo lugar: documentos accesibles para más gente de la que corresponde. Eso tiene nombre técnico oversharing y nombre de negocio exposición.
Lo relevante es que esa exposición ya existía antes de que alguien pronunciara la palabra Copilot. Lo único que cambió es que ahora hay una herramienta capaz de encontrar en segundos lo que antes estaba enterrado bajo veinte clics y la buena suerte de saber dónde buscar. Nadie iba a dar con ese archivo por casualidad. Ahora sí.
Por qué esto es un asunto de negocio, no de TI
Es tentador tratar esto como un pendiente técnico que se resuelve con una tarde de trabajo. No lo es, y verlo así es lo que hace que se postergue durante años.
En Costa Rica, la Ley 8968 de protección de la persona frente al tratamiento de sus datos personales obliga a una empresa a custodiar la información de sus clientes, sus colaboradores y sus proveedores. Un expediente de personal accesible para toda la organización no es un descuido de configuración: es un incumplimiento con consecuencias. Si su empresa además opera en un sector supervisado, cooperativas, seguros, entidades financieras o sostiene alguna certificación con auditoría de por medio, ese mismo hallazgo aparece en el informe del auditor, y aparecerá tarde o temprano con Copilot o sin él.
Hay algo más, y suele pesar más en la práctica. Cuando una empresa habilita una herramienta de inteligencia artificial sobre un tenant desordenado, lo que ocurre no es una catástrofe: ocurre algo peor para el proyecto. Alguien encuentra algo que no debía ver, lo comenta, y el proyecto se congela en el comité. Las licencias siguen pagándose, nadie las usa, y al año siguiente la conversación sobre productividad ya no se puede volver a abrir porque quedó marcada.
La otra mitad del problema: lo que ya paga y no usa
Mientras esa conversación está congelada, sigue corriendo una segunda factura, y esta es más silenciosa.
La mayoría de las medianas empresas costarricenses ya tiene capacidades de inteligencia artificial disponibles dentro de las licencias de Microsoft 365 que paga todos los meses. No es una compra pendiente: es una capacidad instalada que la gente abrió dos veces, no supo bien qué pedirle y dejó de lado. La empresa paga por ella igual.
Y hay un tercer costo, el más difícil de ver porque no aparece en ningún estado financiero: mientras la herramienta corporativa está frenada, la gente no deja de necesitar ayuda. Simplemente la busca en otro lado, en herramientas gratuitas de consumo, desde cuentas personales, pegando ahí el correo del cliente o el detalle de la cotización . Ahí sí, ese contenido salió del perímetro de la empresa sin control, sin registro y sin contrato de por medio. No es deslealtad de nadie: es lo que pasa cuando no hay una alternativa aprobada.
Sumadas, las tres cosas dibujan el verdadero costo de no decidir: exposición que ya existe, capacidad que ya se paga y no rinde, y datos saliendo por la puerta de atrás.
Cómo saber en qué estado está su empresa
Antes de habilitar nada, hay preguntas que conviene poder responder con datos y no con impresiones. No hace falta ser especialista para reconocer las señales de alerta:
¿Sabe cuántos sitios de SharePoint están compartidos con toda la organización? ¿Alguien revisa los enlaces de compartición que se generaron sin fecha de vencimiento? ¿Existe alguna clasificación que distinga un documento público de uno confidencial, o todos pesan igual? ¿Podría decir hoy, con certeza, quién puede abrir el expediente de un cliente?
Si esas preguntas se responden con «habría que revisarlo», no es una mala noticia: es exactamente el punto de partida normal de casi cualquier empresa que creció usando la nube sin haberla diseñado. Lo que no conviene es habilitar una herramienta de búsqueda inteligente sin haberlas contestado, porque entonces la respuesta la va a dar un usuario cualquiera, un martes, sin querer.
Preguntas frecuentes sobre Seguridad de Microsoft 365 Copilot
¿Copilot puede ver documentos a los que un empleado no tiene acceso?
No. Busca con la identidad y los permisos de cada usuario; no dispone de una llave maestra ni de una cuenta que lo vea todo.
Entonces, ¿por qué se dice que Copilot expone información?
Porque encuentra en segundos contenido que estaba accesible pero enterrado. La exposición ya existía; Copilot la hace evidente.
¿Qué es el oversharing en SharePoint?
Documentos o sitios accesibles para más personas de las que corresponde, casi siempre por permisos heredados, enlaces sin vencimiento o sitios abiertos que nunca se cerraron.
¿Hay que ordenar todo el tenant antes de habilitar Copilot?
No necesariamente. Lo que hay que hacer antes es saber en qué estado está: hay hallazgos que se corrigen con configuración y otros que ameritan un plan.
¿Cómo se relaciona esto con la Ley 8968 en Costa Rica?
La ley obliga a custodiar los datos personales de clientes y colaboradores. Un expediente accesible para toda la organización es un incumplimiento, exista Copilot o no.
Cómo acompañamos esto en CodeIn.Cloud
En CodeIn.Cloud trabajamos este punto con un Copilot Assessment: una revisión del estado real de su tenant que responde, con evidencia y no con supuestos, qué puede ver quién dentro de su organización hoy.
De ahí sale un informe ejecutivo con los hallazgos principales, una lectura clara de su postura de datos y una recomendación concreta: si su empresa está en condiciones de habilitar Copilot ya, si conviene ordenar algunas cosas primero, o si hay un par de asuntos que atender antes de que aparezcan en otro lado. No es un requisito para comprar licencias ni un trámite: es lo que evita comprar sobre un terreno que nadie revisó.
Somos Microsoft Partner con especialización en Azure y trabajamos con empresas costarricenses que viven exactamente esta situación: la herramienta disponible, la duda razonable y nadie con tiempo para despejarla.
Conclusión
La pregunta con la que abre este artículo «¿qué va a poder ver la gente?» merece una respuesta mejor que un «lo vemos después». Y la respuesta técnica es sencilla: cada quien podrá ver lo que ya podía ver. Copilot no reparte permisos nuevos.
Lo que sí hace es volver visible lo que estaba disperso, y por eso convierte una exposición silenciosa en una conversación que hay que tener. Esa conversación es incómoda una sola vez. No tenerla, en cambio, sale caro todos los meses: en licencias que se pagan sin rendir, en información circulando por donde no debería, y en un proyecto de productividad que quedó marcado antes de empezar.
Por eso la seguridad de Microsoft 365 Copilot no se resuelve configurando Copilot: se resuelve ordenando lo que ya estaba debajo. Ordenar la casa antes de encender la luz no es un requisito burocrático, es lo que separa una implementación que rinde de una que se congela en la primera reunión.
Antes de encender Copilot, hay doce preguntas que su empresa debería poder responder. Las reunimos en una guía breve, pensada para que un gerente de TI la use como herramienta de trabajo y la pueda pasar a gerencia sin traducir.
¿Prefiere conversarlo directamente? Escríbanos y coordinamos una sesión con un consultor para revisar su caso; los detalles se revisan ahí.