Los riesgos reales de Copilot, ordenados por lo que pasa de verdad
No por lo que suena peor. El susto que quita el sueño al comité casi nunca es el que acaba doliendo, y el que duele no da titulares: es una factura.
1 · Las licencias que nadie abre
El más frecuente con diferencia, aunque no sea el que se espera en una página de riesgos. Unas cuantas licencias compradas «porque salía mejor de precio» y abandonadas a las tres semanas cuestan cada mes más que toda la preparación que se saltaron.
Y es silencioso: no genera ninguna alerta y solo aparece cuando alguien mira la asignación real antes de una renovación. Si nadie mira, se renueva tres años seguidos.
Qué lo controla: comprar por perfil y no por plantilla, y volver a mirar el uso a los meses.
2 · Los permisos sin revisar
El que preocupa a todo el mundo. Es real, pero no por el motivo que se cuenta: Copilot no se salta ningún permiso. El susto de «Copilot le enseñó las nóminas a alguien» casi nunca es un fallo de Copilot — es que esa persona ya tenía acceso y nadie lo había revisado.
Lo que cambia es la velocidad. Antes había que saber que el documento existía y dónde estaba; ahora se pide en una frase.
Los sospechosos son siempre los mismos: sitios compartidos con toda la organización «temporalmente» hace cuatro años, accesos de gente que cambió de departamento y carpetas de dirección que nadie ha comprobado.
Qué lo controla: revisar y ordenar antes de encender — el escalón Governance de BeSafe. Se hace una vez.
3 · Que se equivoque escribiendo perfectamente
Redacta con la misma seguridad cuando acierta que cuando no. Un texto mal escrito levanta sospechas; uno impecable con un dato inventado, no.
Donde lo hemos visto doler: cifras de un resumen que nadie contrastó, condiciones arrastradas de una propuesta anterior que ya no aplicaba, y actas que atribuyen un compromiso a quien no lo asumió.
Qué lo controla: esa regla de una línea, y formación por departamento que enseñe dónde desconfiar en las tareas de cada área. No una charla general: enseñar a desconfiar en los sitios correctos.
4 · El desorden documental que ya tenías
Con tres versiones del mismo procedimiento, Copilot responde con una y no avisa de que hay otras dos. Responde con lo que hay.
El daño aquí es de credibilidad, y es el que mata proyectos: si las tres primeras respuestas que recibe un equipo son mediocres, no vuelve — ya no importa lo que se arregle después.
Qué lo controla: no hace falta el archivo perfecto, pero sí saber cuál es la versión buena de lo que más se consulta. Empezar por los departamentos más ordenados da margen para arreglar el resto.
5 · Las reuniones que se transcriben
Para que Copilot levante el acta, la reunión tiene que grabarse o transcribirse. Hay que avisar a los asistentes: no es un detalle técnico, es una obligación de transparencia — y con clientes o candidatos, una conversación que conviene tener antes.
El otro efecto es menos jurídico y muy real: una reunión que se sabe transcrita cambia de tono, y la conversación difícil se traslada al pasillo.
Qué lo controla: decidir por escrito qué se transcribe, avisar siempre, y saber cuánto se guarda y quién lo puede leer. Media página de política resuelve casi todo.
6 · Los papeles que te van a pedir
Usar Copilot no te obliga a lo mismo que fabricar un sistema de IA, pero sí entra en tu inventario de sistemas de IA y en tus obligaciones de transparencia y formación.
Y aparece por una vía poco épica: el cuestionario de un cliente grande, o la renovación del ciberseguro, preguntando qué IA usas y cómo la gobiernas.
Qué lo controla: tener el inventario, la política y el registro de formación desde el principio, en vez de reconstruirlos a la carrera. Es BeCompliance · AI Act, con apoyo de nuestra alianza legal. El calendario del reglamento puede ajustarse, así que lo revisamos contigo antes de dar nada por hecho.
Y el riesgo del que nadie habla: no hacer nada
Después de seis riesgos seguidos, la conclusión fácil sería esperar. Sería la equivocada.
En casi todas las empresas que nos llaman la IA ya está dentro: hay gente pegando textos de trabajo en el navegador con su cuenta personal, y suelen ser los perfiles más resolutivos. Ahí no hay permisos, ni control, ni registro.
Los riesgos de esta página se ven, se miden y tienen dueño. El de la IA en la sombra, no.
Prohibir sin dar alternativa no reduce el uso: lo hace invisible. Lo desarrollamos en Shadow AI.
Si quieres saber por dónde andas hoy, nos sentamos una mañana con tu equipo y miramos en solo lectura y sin instalar nada cómo están los accesos y qué IA está ya conectada a vuestro entorno. Te dejamos la lista, en cristiano. Si no falta nada, también te lo decimos — y la lista te la quedas tú, contrates o no.
Esto es una pieza de Microsoft Copilot.
Vuelve a la solución completaLo que nos preguntan antes de empezar.
¿Copilot puede filtrar datos de mi empresa?
No abre puertas nuevas: responde con lo que cada usuario ya puede ver. Lo que hace es encontrar en dos segundos lo que antes exigía saber dónde buscar, así que un permiso mal puesto hace años se vuelve inmediato. Por eso se revisan los accesos antes de encenderlo.
¿Puede enseñar a un empleado datos de otro departamento?
Solo si ese empleado ya tenía permiso para verlos. Copilot respeta los permisos existentes de Microsoft 365. El trabajo previo es asegurarse de que esos permisos son los que la empresa cree que son, que muchas veces no coincide.
¿Y si se inventa un dato en algo que enviamos a un cliente?
Puede pasar, y escribirá igual de bien que cuando acierta. La regla que funciona es simple: lo que sale con el nombre de tu empresa lo revisa alguien de tu empresa. La formación por departamento sirve para enseñar dónde se equivoca en las tareas de cada área.
¿Hay que avisar de que se graban las reuniones?
Sí. Para que Copilot levante el acta la reunión tiene que grabarse o transcribirse, y eso es una obligación de transparencia con los asistentes, más aún si hay personas externas. Conviene además decidir por escrito qué reuniones se transcriben, cuánto se guardan y quién puede leerlas.
¿Nos conviene esperar a que la tecnología madure?
Esperar no es neutral: mientras se espera, la IA ya se está usando con cuentas personales, sin control ni registro. Es más seguro dar una herramienta gobernada que dejar el hueco abierto. El orden que recomendamos es ordenar permisos primero y encender después, no esperar.
¿Cuál es el riesgo que más veis en la práctica?
El económico, sin discusión: licencias asignadas que nadie abre. No sale en las noticias y no activa ninguna alarma, pero aparece en casi todos los diagnósticos que hacemos y es el único que se puede corregir el mismo mes.