Un sitio de RR. HH. abierto a todos y un agente sin dueño: ¿está listo el tenant para Copilot?

El problema

Copilot responde a partir de todo lo que una persona ya puede abrir, así que un despliegue que fue bien en el piloto puede torcerse en la siguiente oleada por motivos que ninguna consola enseña por sí sola. Dos semanas antes de una oleada de 400 personas, el sitio de relaciones laborales de RR. HH. está compartido con Todos excepto los usuarios externos desde una migración, y 1.650 personas podrían recibirlo en una respuesta; el sitio de selección tiene vínculos de cualquier persona y ninguna etiqueta; un sitio de un litigio cerrado no tiene propietario y sigue siendo buscable; una cuarta parte de los archivos de Finanzas lleva etiqueta de confidencialidad y la directiva de DLP para Copilot sigue en simulación; un agente publicado para toda la empresa lo creó alguien que ya se ha ido y lee de un conector de Dropbox que nadie aprobó; un agente de RR. HH. ayuda a cribar candidatos y no está en el registro de IA; 34 licencias llevan un mes sin usarse mientras a la siguiente oleada le faltan 14; y la propia oleada está formada al 70%, con 14 personas sin registrar en MFA y 31 sin un equipo conforme. No es la revisión de gobierno del tenant que publiqué hace un par de semanas, que mira roles de administración, Acceso condicional y configuración: es la revisión antes de cada oleada de Copilot y cada mes después, sobre lo que Copilot puede alcanzar y quién lo está usando.

Qué he hecho

• Licencias: usuarios con licencia sin actividad en Copilot en 30 días o nunca, licencias en cuentas deshabilitadas, su coste mensual, y si el remanente cubre la siguiente oleada una vez recuperadas.
• Oleadas: formación, registro en MFA, un equipo conforme y una licencia para cada persona de una oleada antes de su arranque, y un champion en cada departamento.
• Sobreexposición: sitios de SharePoint compartidos con Todos excepto los usuarios externos o con vínculos de cualquier persona, sitios sin propietario o con uno solo, sin etiqueta de confidencialidad, y sitios inactivos que Copilot todavía puede buscar, con Restricted Content Discovery como medida provisional mientras se arreglan.
• Etiquetas y DLP: cobertura de etiquetas por departamento y si hay una directiva de DLP aplicada en la ubicación de Microsoft 365 Copilot; agentes sin propietario, publicados para todos, con conectores fuera de la lista permitida o sin uso, y agentes que apoyan decisiones sobre personas sin entrada en el registro de IA; y la adopción por departamento y aplicación con su tendencia y la encuesta.
• Un veredicto por oleada (lista, atención o no lista), report.html, readiness-pack.md para el comité de dirección de Copilot con una columna de decisión por oleada, CSV de licencias a recuperar, sobreexposición, agentes, adopción, oleadas y acciones, y un exportador de solo lectura en PowerShell para Microsoft Graph y SharePoint Online.

Cómo está hecho

Python solo con la librería estándar. Cada problema dice a qué oleadas alcanza: a las que tienen personas de su departamento, o a todas cuando es una sobreexposición crítica o un agente abierto a toda la empresa, porque cualquier usuario de Copilot que pueda abrir el contenido puede recibirlo en una respuesta. Una oleada no está lista cuando le alcanza un problema crítico. El informe de uso es el informe de Microsoft Graph por usuario, con la fecha de última actividad global y por aplicación; las columnas de los sitios son las propiedades de Get-SPOSite más los recuentos del informe de gobierno de acceso a datos de SharePoint; los agentes salen del inventario de Power Platform. El coste de las licencias es una estimación a un precio que se fija en la configuración, y la columna del registro de IA es un registro, no una valoración jurídica. La demo es una empresa de energía inventada con 1.800 personas en tres oleadas, revisada el 5 de noviembre a dos semanas de la segunda, con los problemas puestos a propósito: 37 licencias a recuperar, 1.110 euros al mes, cuatro sitios críticos y ninguna oleada lista hasta que se arreglen. 14 tests, un runbook con el orden del día del comité, el sí o no de cada oleada y los pasos de ADKAR, y un workflow de GitHub Actions que ejecuta los tests y regenera los datos de la demo y la captura. Los hallazgos pueden ir como evidencia al registro de controles que publiqué antes en la serie.

Qué aprendí

De desplegar Microsoft 365 Copilot y herramientas de IA e impulsar su adopción, y de administrar los agentes de Microsoft 365 y Copilot Studio; de ser administrador global de Microsoft 365, con PIM, Acceso condicional e integración de aplicaciones; de Microsoft Purview, con DLP y etiquetas de confidencialidad, de muchos años con SharePoint y de Power Platform; de la gestión del cambio con Prosci, ADKAR y Kotter; del Reglamento Europeo de IA y la IA responsable; y de los casos de negocio con beneficios medibles. Las lecciones que hay detrás de la herramienta son que Copilot no crea accesos nuevos, hace fácil encontrar la sobreexposición de siempre, así que los permisos hay que arreglarlos antes de la oleada y no después; que Restricted Content Discovery da tiempo pero no cambia ningún permiso; que con una cuarta parte de los archivos etiquetados la DLP tiene poco sobre lo que actuar; que un agente sin propietario no es problema de nadie hasta que responde lo que no debe; que un agente que ayuda a decidir sobre personas necesita su entrada en el registro antes de usarse, no después; que una licencia que nadie usa es la licencia más barata para la siguiente oleada; y que la formación y los champions deciden la adopción más que la licencia.

Siguientes pasos

• Ejecutar la revisión tres semanas y una semana antes de cada oleada, y cada mes después.
• Leer los agentes desde la API de inventario de Power Platform y la cobertura de etiquetas desde la exportación del explorador de contenido de Purview.
• Añadir el informe de uso de agentes y guardar un año de adopción para ponerlo al lado del tiempo que la gente dice ahorrar.

¿Quieres llevarlo a tu entorno o adaptarlo a tu caso? Escríbeme y lo vemos.