Qué hay que ordenar antes de encender Copilot
Copilot no crea problemas de permisos. Vuelve localizables los que ya estaban ahí, y ya no hace falta saber qué se busca para dar con ello.
Una organización decide probar Copilot. Compra unas licencias, lo activa para un usuario y, en la primera semana, alguien le hace al asistente una pregunta inocente y obtiene como respuesta un documento salarial que nunca debió ver.
La reacción habitual es culpar a la herramienta. La herramienta no hizo nada mal. Respetó exactamente los permisos que había. El problema es que nadie los había revisado en años.
Copilot es un espejo, no una puerta
Esto es lo primero que hay que entender: Copilot no da acceso a nada a lo que el usuario no tuviera ya acceso. Lo único que hace es volver utilizable ese acceso.
Antes, un archivo mal compartido en una biblioteca olvidada era técnicamente accesible pero prácticamente invisible. Nadie sabía que existía, nadie lo buscaba, nadie tropezaba con él. Copilot busca. Y encuentra.
Lo que era un riesgo teórico se convierte en un incidente real, y a gran escala: quien tiene licencia pasa a contar con alguien que busca por él, y ya no hace falta saber qué se busca para encontrarlo.
Qué se arregla primero
Sobrecompartición. Enlaces del tipo "cualquiera de la organización" repartidos a lo largo de años de trabajo apresurado. Bibliotecas con la herencia de permisos rota y nadie que recuerde por qué. Sitios huérfanos cuyo responsable dejó la empresa en 2019.
Sensibilidad y clasificación. Si nada está etiquetado, nada se puede proteger de forma diferenciada. La información salarial, los datos de salud, los contratos: a ojos del sistema todo pesa lo mismo, es decir, nada.
Ciclo de vida. Los sitios que ya no le sirven a nadie no son inofensivos. Son superficie de exposición. Un sitio muerto sigue indexado, se sigue pudiendo buscar y sigue conteniendo lo que se dejó allí en 2017.
El orden correcto es aburrido, y es el que funciona
Primero evaluar lo que existe. Después corregir lo que está mal. Solo entonces encender Copilot, y para un grupo pequeño, para ver qué aflora. Nunca al revés.
La tentación es invertir el orden, porque encender es rápido y ordenar es lento. Pero encender primero significa que el primer incidente lo descubrirá un usuario, y no usted. Y un incidente que descubre un usuario no es un problema técnico. Es un problema de confianza, y esos salen mucho más caros.
Lo que gana quien lo hace bien
No se trata solo de evitar el incidente. Una organización con los permisos ordenados, la información clasificada y los sitios con responsable funciona mejor, con Copilot o sin él. El trabajo de gobernanza nunca se tira a la basura.
Copilot no es más que la razón que por fin convence al consejo de pagarlo.
