Checklist para activar Microsoft 365 Copilot en una pyme

·

El Reglamento europeo de IA avanza por fases mientras media plantilla de tu empresa ya lleva meses usando Copilot para redactar correos, resumir reuniones o repasar hojas de cálculo, muchas veces sin que nadie en IT lo haya activado formalmente ni haya revisado qué permisos tiene detrás. La pregunta que de verdad importa no es si Copilot merece la pena, sino si tu empresa lo ha desplegado con la licencia correcta, los permisos de SharePoint bien cerrados y un mínimo de gobierno de datos. Este no es un artículo sobre qué es Copilot ni cuánto cuesta: eso ya lo cubrimos en otros artículos del blog. Es la lista de comprobación que conviene repasar antes de dar por bueno el despliegue, tanto si ya está activo en tu organización como si estás a punto de comprarlo.

1. Licencia: la casilla que hay que marcar antes de comprar nada

Este checklist da por hecho que tu empresa ya tiene decidido el plan base de Microsoft 365. Si todavía tienes que elegir plan o estás migrando hacia él, esa parte la cubren nuestros compañeros de Summum Sistemas en su guía de planes e implantación de Microsoft 365 para pymes; aquí nos centramos en la capa de Copilot que se añade encima. Microsoft vende Copilot bajo dos paraguas distintos, y confundirlos es el primer error habitual. Microsoft 365 Copilot Business se añade sobre Microsoft 365 Business Basic, Business Standard o Business Premium: el terreno natural de la mayoría de pymes. Microsoft 365 Copilot (el complemento de planes Enterprise) también admite los planes Business (Business Basic, Business Standard, Business Premium, Apps for Business y Apps for Enterprise) además de los empresariales (E3, E5, E7, F1, F3), Office 365 (E1, E3, E5, F3), Microsoft Teams Essentials/Enterprise, o planes independientes de Exchange, SharePoint, OneDrive, Visio o Project. Microsoft indica que sus capacidades son las mismas que las de Copilot Business; lo que cambia entre uno y otro es la elegibilidad, el precio y el límite de 300 licencias del complemento Business. Si aún no tienes claro qué combinación te corresponde, en nuestra guía de requisitos de licencia desglosamos las dos familias con más detalle, y en el análisis de precio puedes ver el coste real por usuario.

Hay un matiz que se pasa por alto con frecuencia: existe también Copilot Chat, que viene incluido gratis con cualquier suscripción elegible de Microsoft 365 y busca resultados en la web abierta, sin tocar tus datos internos. La versión de pago —la que de verdad accede a tus correos, documentos y chats a través de Microsoft Graph— es la que necesita la licencia de Copilot como complemento. Muchas pymes creen que ya «tienen Copilot» porque ven el icono en Word, cuando en realidad solo tienen la versión gratuita sin acceso a sus datos.

2. Requisitos técnicos que hay que resolver antes del primer clic

Antes de asignar la primera licencia, conviene comprobar que el terreno técnico está preparado. Los requisitos no son exóticos, pero se olvidan con facilidad en empresas donde el correo, los documentos y las videollamadas llevan años funcionando «más o menos bien» sin que nadie audite la configuración de fondo.

Cuentas y buzones

Cada usuario necesita una cuenta de Microsoft Entra ID y un buzón principal alojado en Exchange Online. Copilot no está disponible en buzones de archivo, buzones de grupo ni en buzones compartidos o delegados a los que un usuario tenga acceso: solo funciona sobre el buzón principal propio.

Aplicaciones y navegador

Las apps de Microsoft 365 deben estar desplegadas en los equipos, y para que Copilot funcione en Word, Excel y PowerPoint Online hace falta tener habilitadas las cookies de terceros en el navegador. También conviene revisar los controles de privacidad de «experiencias conectadas» en las apps de Microsoft 365: si tu organización los tiene desactivados por política interna, Copilot deja de estar disponible en Excel, OneNote, Outlook, PowerPoint y Word.

Canal de actualización

Desde la versión 2606 (julio de 2026), Microsoft unificó el Canal Semestral Empresarial con el Canal Mensual Empresarial: los equipos que actualicen a esa versión pasan a tener la experiencia del canal mensual y pasan a cumplir el requisito de canal para Copilot; la elegibilidad sigue dependiendo del resto de requisitos de este checklist. Solo se quedan fuera los equipos que tu equipo de IT haya bloqueado en la versión anterior (2508), cuyo soporte termina el 8 de septiembre de 2026. Pasada esa fecha, conviene comprobar en qué canal está tu Microsoft 365 Apps antes de dar por hecho que Copilot no puede activarse.

Red y cortafuegos

Copilot necesita conectividad completa por WebSockets (WSS) hacia los dominios *.cloud.microsoft y *.office.com. Los problemas más habituales en redes corporativas son cortafuegos que bloquean el protocolo WSS, proxies que aplican inspección TLS sobre esas conexiones, o tiempos de espera (timeouts) de conexión demasiado agresivos. Si tienes usuarios a los que «Copilot no les responde» desde una sede concreta, este suele ser el motivo antes que un problema de licencia.

Antes de escalar un ticket de «Copilot no funciona» como incidencia de licencia, comprueba primero el canal de actualización y la red: son la causa más frecuente de fallos silenciosos, y no dan ningún error explicativo al usuario.

3. El checklist de seguridad y gobierno de datos que de verdad decide si sale bien

Esta es la parte que las pymes suelen saltarse, y la que más disgustos provoca después. Copilot no inventa accesos nuevos: solo muestra a cada usuario lo que ya podía ver con sus permisos actuales en SharePoint, OneDrive y Exchange. El problema es que en la mayoría de organizaciones esos permisos llevan años acumulando excepciones: carpetas compartidas «con todos» para resolver una urgencia puntual que nadie revirtió, sitios heredados de proyectos cerrados con acceso abierto por comodidad. Copilot no crea ese problema: lo destapa de golpe, porque cualquier usuario con ese acceso de facto puede simplemente preguntarle y obtener un resumen.

Copilot no es un problema de seguridad nuevo: es una lupa sobre los permisos que ya estaban mal puestos. La tarea real no es «configurar Copilot de forma segura», es arreglar los permisos de SharePoint y OneDrive antes de encender la lupa.

Si tu empresa maneja documentación sensible de clientes o necesita que Copilot razone solo sobre una base documental controlada y auditable (en vez de sobre todo lo que hay disperso en SharePoint), nuestro servicio de RAG y búsqueda interna con IA plantea una arquitectura alternativa pensada para ese caso.

4. Privacidad, RGPD y dónde acaban tus datos

Según la documentación pública de Microsoft, Copilot opera dentro de sus compromisos existentes de privacidad, seguridad y cumplimiento para clientes comerciales de Microsoft 365, incluido el RGPD y la frontera de datos de la UE (EU Data Boundary): el tráfico de usuarios europeos se procesa dentro de esa frontera, con la salvedad expresa de que los modelos de Anthropic que Microsoft usa como subproveedor quedan actualmente excluidos de esa frontera. Microsoft afirma también que los prompts, las respuestas y los datos a los que Copilot accede a través de Microsoft Graph no se usan para entrenar los modelos base, y que los datos de interacción se cifran en reposo.

En la práctica, para una pyme esto se traduce en varias tareas concretas de gobierno de datos, no en «confiar y ya está»:

Que Microsoft cumpla su parte del contrato no traslada la responsabilidad: qué carpetas cifrar, qué política de retención aplicar y qué formación dar a la plantilla sobre qué puede pedirle a Copilot sigue siendo una decisión —y una responsabilidad— de tu empresa como responsable del tratamiento.

5. Antes de encenderlo para todos: piloto, formación y medición

Microsoft recomienda desplegar Copilot en tres fases (piloto, despliegue y operación) en lugar de asignar licencias a toda la plantilla de golpe. Para una pyme, esto suele significar:

Para medir si el despliegue funciona, Microsoft ofrece el panel de Copilot dentro de Viva Insights y los informes de uso y preparación del centro de administración de Microsoft 365; merece la pena revisarlos con regularidad en los primeros meses, no solo activarlos y olvidarlos. Si prefieres que alguien externo audite el despliegue completo, licencias, permisos y adopción incluidos, nuestro servicio de consultoría Microsoft Copilot: auditoría y adopción está pensado exactamente para eso.

6. ¿Y el AI Act? Lo que sí afecta a quien solo usa Copilot

Aquí conviene ir con cuidado, porque es fácil generalizar de más. El Reglamento europeo de IA (Reglamento (UE) 2024/1689) no trata igual a quien desarrolla un modelo de IA que a quien simplemente usa una herramienta que lo incorpora, como es el caso de una pyme que despliega Copilot. Dicho esto, hay una obligación que sí aplica desde el 2 de febrero de 2025: el artículo 4, en su redacción vigente tras el Reglamento (UE) 2026/1744, obliga a proveedores y responsables del despliegue a adoptar medidas para apoyar la alfabetización en IA de su personal, sin exigir garantizar un nivel específico en cada persona. Si tu empresa ha desplegado Copilot, entra dentro de ese supuesto: es el motivo por el que el punto de formación del apartado anterior no es solo una buena práctica de adopción, también es la pieza más directamente ligada a esta obligación normativa.

El Reglamento (UE) 2026/1744 (el «Ómnibus digital sobre IA», en vigor desde el 27 de julio de 2026) aplazó el grueso del capítulo de alto riesgo: los sistemas del anexo III (art. 6.2) pasan al 2 de diciembre de 2027, y los del anexo I (art. 6.1) al 2 de agosto de 2028. Las obligaciones de transparencia del artículo 50 siguen un calendario distinto: se aplican desde el 2 de agosto de 2026. El único aplazamiento es el del marcado de contenido sintético (art. 50.2), que llega hasta el 2 de diciembre de 2026 para los sistemas de IA generativa ya comercializados antes del 2 de agosto de 2026; el deber de informar de que se está interactuando con una IA (art. 50.1) no tiene prórroga. Qué te afecta exactamente depende de cómo uses Copilot en concreto: no es lo mismo emplearlo como asistente interno de redacción que usarlo de cara al público o para tomar decisiones sobre personas. Es una valoración que no se resuelve solo desde IT, conviene hacerla con tu asesoría legal caso por caso. Repasamos el mapa completo de fechas del AI Act y un checklist normativo más amplio en este artículo específico, y si necesitas clasificar formalmente los sistemas de IA que usa tu empresa, nuestro servicio de gobernanza técnica de IA y AI Act lo hace contigo paso a paso.

El checklist completo, de un vistazo

Si solo te vas a quedar con una parte de este artículo, que sea esta lista. Repásala antes de dar por cerrado el despliegue de Copilot en tu empresa:

Preguntas frecuentes

¿Puedo usar Copilot sin comprar la licencia dedicada?

Sí, de forma limitada. Copilot Chat viene incluido gratis con las suscripciones elegibles de Microsoft 365 y busca resultados en la web abierta, pero no accede a tus documentos, correos ni chats internos. Para que Copilot razone sobre tus datos corporativos hace falta el complemento de pago.

¿Copilot puede acceder a documentos que un usuario no debería ver?

No crea permisos nuevos: respeta exactamente los que ya existen en SharePoint, OneDrive y Exchange para cada usuario. El riesgo real no está en Copilot, sino en permisos mal configurados que ya existían antes de activarlo y que nadie había revisado.

¿Es obligatorio formar a toda la plantilla antes de activar Copilot?

El artículo 4 del Reglamento europeo de IA, exigible desde el 2 de febrero de 2025 y reformado por el Reglamento (UE) 2026/1744, obliga a proveedores y responsables del despliegue a adoptar medidas para apoyar la alfabetización en IA de su personal, sin exigir garantizar un nivel específico en cada persona.

Tengo Copilot activado pero algunos usuarios dicen que no funciona, ¿por qué?

Antes de mirar la licencia, revisa dos causas técnicas frecuentes: que el equipo siga bloqueado en la versión 2508 del Canal Semestral Empresarial (sin Copilot, con soporte hasta el 8 de septiembre de 2026) en vez de haber actualizado a la 2606, o que la red bloquee las conexiones WebSocket hacia los dominios de Microsoft 365, algo habitual con cortafuegos que hacen inspección TLS.

Fuentes consultadas

Si después de repasar este checklist te faltan manos o tiempo para ejecutarlo (auditar permisos, montar el piloto, apoyar la alfabetización del equipo), en Summum IA hacemos ese trabajo con equipos que ya usan Microsoft 365 todos los días. Puedes ver el detalle en nuestro servicio de consultoría Microsoft Copilot: auditoría y adopción, o hablarnos directamente de tu caso.