La respuesta corta: un plan de gobernanza de la IA de 90 días para Microsoft 365
Un primer plan de gobernanza de la IA suele abarcar unos noventa días, en tres fases, como orientación y no como compromiso. En los primeros treinta se averigua qué existe, en los treinta siguientes se cierra la exposición más grave y se aplican las primeras políticas, y en los últimos treinta el trabajo se ejecuta de forma programada sin usted. La secuencia importa más que las fechas: cada control se aplica solo a lo que puede ver.
- Días 1 a 30: sabe qué existe
- Días 31 a 60: se cierra la exposición más grave
- Días 61 a 90: funciona sin usted
En este punto, la pregunta rara vez es si la gobernanza de la IA importa. Es si esto se convertirá en otro proyecto para el que el equipo no tiene personas.
Por eso este documento es un plan y no un alegato. Cada fase indica lo que obtiene, no lo que sucede, y a quién necesita de su parte para conseguirlo. Nada de lo aquí descrito supone una congelación de cambios, una migración ni una reconstrucción de su tenant.
La secuencia importa más que las fechas. El inventario va primero porque cada control posterior se aplica solo a lo que puede ver. La corrección va en segundo lugar porque resolver lo encontrado es lo que hace que merezca la pena mantener el inventario. La gobernanza continua va en tercer lugar porque para entonces ya hay algo que merece protegerse de la desviación.
Los noventa días son una forma, no un compromiso. Lo que dura cada fase depende del tamaño de su tenant y de cuánta gobernanza se introduzca, de modo que las fechas se acuerdan con Customer Success y no se fijan aquí. Si ya ha realizado una prueba de valor en su propio tenant, gran parte de la primera fase está hecha y el plan empieza más adelante.
Días 1 a 30: inventario de agentes de IA, aplicaciones y espacios de trabajo
La conexión lleva horas, no semanas, y no requiere derechos de Global Admin. El primer escaneo devuelve el entorno tal como es en realidad, que suele ser mayor de lo esperado: los agentes que nadie registró, los sitios que nadie archivó, las licencias que nadie recuperó.
La mayoría de los equipos se lleva su primera sorpresa real en esta fase. Normalmente es un agente creado por alguien que ya se fue y que sigue funcionando con el acceso que tenía.
Qué tiene al final de esta fase
- Un inventario de agentes. Todos los agentes creados en Copilot Studio, con su creador, su responsable actual, su entorno, sus conexiones de datos y sus fuentes de conocimiento. Los agentes de SharePoint aparecen a nivel de sitio y de estado de aprobación: qué sitios contienen agentes, cuáles están aprobados y cuáles no.
- Una lista sin responsable. Agentes, sitios y espacios de trabajo sin un responsable activo, incluidos los creados por personas que han dejado la organización.
- Un informe de exposición. Dónde se puede llegar a contenido confidencial: recursos compartidos de forma amplia o anónima, bibliotecas abiertas, acceso de invitados y externo.
- Una vista de costes. Las licencias de Microsoft 365 y de Microsoft 365 Copilot sin asignar o asignadas a usuarios deshabilitados, junto con el consumo de agentes, en un único lugar.
- El panorama de los agentes declarativos. Los agentes definidos sobre contenido de Microsoft 365 y no creados en Copilot Studio, incluidos los de Agent Builder, se gobiernan a través de la persona que los creó y de los permisos del contenido sobre el que se apoyan. Hoy no existe un registro independiente por agente para este conjunto, y la fase termina dejándolo dicho en lugar de descubrirlo más tarde.
- Una línea de base. Las cifras anteriores, con fecha, para que los noventa días siguientes puedan medirse frente a ellas y no solo describirse.
Qué cambia para los usuarios finales
Nada. Esta fase lee el entorno. No cambia ningún permiso, no se mueve ningún contenido y no se avisa a nadie.
Días 31 a 60: corregir la exposición y aplicar políticas
El inventario genera más hallazgos de los que nadie quiere abordar a la vez, así que esta fase trata del orden. Corrija lo que concentra más exposición, automatice las correcciones que se repiten y deje el resto en una lista con una fecha asignada.
Es también la fase en la que la política empieza a aplicarse en lugar de limitarse a informar. La diferencia importa: una política que informa le da cada mes una lista más larga, y una política que se aplica le da una más corta.
Qué tiene al final de esta fase
- Responsables asignados. Un responsable activo con nombre para cada agente y espacio de trabajo que no lo tenía, o la decisión de retirarlo.
- El uso compartido de mayor riesgo, cerrado. Vínculos anónimos y de toda la organización sobre contenido confidencial revocados, con caducidad aplicada a los que quedan.
- Las primeras políticas en aplicación. Normalmente de tres a cinco, tomadas del catálogo incluido. Para los agentes suelen ser Orphaned Copilot Agent Ownership Gap, Unauthenticated Public Agent Security Risk, Confidential Site Referenced in Copilot Agent y Unused Agent Cleanup Candidate a 90 días. Para el entorno, el uso compartido externo de contenido etiquetado y las licencias sin asignar.
- Licencias recuperadas. Puestos recuperados de usuarios deshabilitados y de licencias sin asignar, con el ahorro indicado frente a la línea de base.
- Un registro de corrección. Qué se cambió, cuándo, quién lo hizo y con la aprobación de quién. Es la primera evidencia de auditoría que genera el programa.
Qué cambia para los usuarios finales
Algunas personas notarán esta fase, y es mejor decirlo. Los responsables de espacios de trabajo inactivos reciben un aviso antes de que se archive nada. Quienes tienen vínculos a contenido que está a punto de restringirse reciben un aviso antes de que el vínculo deje de funcionar. Los sitios nuevos siguen un estándar de nomenclatura. En esta fase no se elimina nada.
Días 61 a 90: gobernanza continua de la IA y evidencias de auditoría
Una gobernanza que depende de que alguien ejecute un informe se abandona en el primer trimestre con mucho trabajo. La tarea de esta fase es pasar todo lo establecido hasta ahora a un calendario programado, de modo que el entorno siga gobernado a medida que crece y no haya que limpiarlo de nuevo el año que viene.
Al terminar, la pregunta de un auditor o de una revisión de seguridad debería poder responderse desde un dashboard y no desde un proyecto.
Qué tiene al final de esta fase
- Supervisión de políticas programada. Políticas que se ejecutan con una frecuencia fija, con corrección automática donde se acordó y con alertas donde hace falta una decisión humana.
- Revisiones de acceso periódicas. El acceso de invitados y externo se revisa de forma programada, y los responsables de los espacios de trabajo confirman o retiran el acceso ellos mismos.
- Un registro de sistemas de IA con un rastro de evidencias. Qué sistemas de IA existen, qué alcanzan, quién es su responsable y cómo ha cambiado todo ello con el tiempo, en todo el entorno de IA de Microsoft, generado bajo demanda en lugar de reunido para cada auditoría. El registro es la evidencia. Relacionarlo con sus propias obligaciones regulatorias sigue correspondiendo a su equipo de cumplimiento.
- Una vista de costes permanente. Consumo de licencias y de agentes seguido frente a la línea de base, por departamento, de modo que el gasto se atribuye y no se estima.
- Un responsable de revisión con nombre. Una persona y una frecuencia, acordadas y en un calendario. Es el control más barato del plan y el que con más frecuencia se olvida.
Qué cambia para los usuarios finales
Los responsables de los espacios de trabajo asumen una revisión de acceso periódica, que lleva minutos y no horas. Las solicitudes de aprovisionamiento pasan por una aplicación de Teams en lugar de por un ticket, algo que la mayoría de los equipos percibe como más rápido que lo que tenía.
A quién necesita
La objeción en este punto rara vez es el precio. Son las personas. Estas son las personas que el plan pide de su parte y lo que hacen realmente, para que su equipo pueda valorarlo frente a lo que ya tiene en marcha.
- Días 1-30, inventario: un administrador de Microsoft 365. Conecta el tenant y después revisa con nosotros el primer conjunto de hallazgos. La propia conexión usa una cuenta de usuario normal. El consentimiento para escanear lo concede un administrador por servicio, un paso breve y aparte que puede delegarse en el responsable de cada servicio.
- Días 31-60, corrección: el mismo administrador, más quien dé el visto bueno a las políticas. Decide qué se corrige primero y qué aplican las políticas. El trabajo de su parte consiste sobre todo en decisiones, no en configuración.
- Días 61-90, continuidad: el administrador y el responsable de revisión con nombre. Cumplimiento, si los informes regulatorios están dentro del alcance. Acuerda qué se ejecuta de forma programada, qué se escala a una persona y qué evidencias deben poder generarse bajo demanda.
- Después del día 90: el responsable de revisión. Dirige la revisión periódica. Los responsables de los espacios de trabajo confirman o retiran el acceso en sus propias áreas, lo que a cada uno le lleva minutos.
Los proyectos de gobernanza tienen una fama que este no merece
La cobertura de agentes está en el módulo AI & Agents, un complemento opcional junto a Digital Workplace. La supervisión de políticas y la automatización de la gobernanza se incluyen a partir del nivel Professional, y son lo que sustenta las fases dos y tres. Conviene comprobarlo con su propia suscripción antes de fijar fechas en un plan.
No es una migración
No se mueve nada. El contenido se queda donde está, en el tenant que ya utiliza.
No es una congelación de cambios
Las personas siguen creando agentes, sitios y flujos durante todo el proceso. La idea es verlos, no detenerlos.
No es una reconstrucción del tenant
Sin rediseñar SharePoint ni una nueva arquitectura de la información como condición previa.
No sustituye los controles de Microsoft
Restricted SharePoint Search, Purview y el Copilot Control System siguen haciendo su trabajo. Esto es la vista que los abarca.
No es una cesión de Global Admin
La conexión usa una cuenta de usuario normal. El consentimiento se concede por servicio, de modo que cada responsable de servicio aprueba solo su propio ámbito.
No es una garantía de cumplimiento
El plan genera evidencias y aplica políticas. La posición de cumplimiento sigue siendo suya.
Convierta el plan en un plan conjunto en cuatro pasos
Las fases anteriores están estructuradas para poder pasarlas a un plan conjunto sin reescribirlas. Si le resulta útil, cuatro cosas convierten este documento en uno.
- Ponga fechas reales a las tres fases. Parta de la fecha en que está programada la conexión y no de la firma.
- Nombre a las personas. Un administrador, un aprobador de políticas y un responsable de revisión de su parte. El responsable de revisión con nombre es el papel que más a menudo queda en blanco y que más se echa en falta después.
- Acuerde qué se considera terminado en cada fase. Las tablas de resultados están redactadas para usarse tal cual como criterios de aceptación.
- Acuerde la fecha de la línea de base. Todo lo posterior al día 30 se mide frente a las cifras que devuelve el primer escaneo, así que conviene registrar la línea de base de manera formal.
Preguntas frecuentes
¿Cuánto se tarda en empezar a gobernar los agentes de IA?
¿Qué tenemos después de los primeros treinta días?
¿A quién necesitamos de nuestra parte?
¿Requiere esto una migración o un Global Admin?
¿Dónde encaja Rencore en el plan?
Dónde encaja en Rencore Governance
Módulo AI & Agents
Un único inventario de todos los agentes de Copilot Studio y de todos los sitios que contienen agentes de SharePoint, con responsable, alcance y política.
Conozca el módulo AI & AgentsGobernanza de Copilot y de agentes
Encuentre agentes sin responsable, vea qué puede alcanzar cada uno y aplique políticas de forma programada.
Conozca la gobernanza de CopilotEvidencias del EU AI Act para agentes
Evidencias por agente para la clasificación de riesgos y las auditorías, generadas bajo demanda.
Conozca la solución