Microsoft 365 Copilot readiness: cosa fare nelle 4 settimane prima del rollout

Il problema di Copilot M365 nelle PMI italiane non è la tecnologia. È che la maggior parte dei rollout fallisce sui dati aziendali che Copilot vede via Microsoft Graph: cartelle SharePoint con permission troppo ampie, file etichettati male, governance inesistente. Il risultato è un Copilot che funziona, ma mostra ai dipendenti documenti che non dovrebbero vedere — e l’IT manager riceve la prima telefonata dal direttore HR il giorno dopo il go-live.

Questa guida descrive le 4 settimane di readiness che facciamo con i clienti SynSphere prima di abilitare Copilot, organizzate come una checklist concreta. Non è un percorso teorico: ogni passaggio risolve un problema specifico che abbiamo visto sul campo nei rollout 2024-2025.

Settimana 1 — Discovery e assessment

Prima di toccare alcunché bisogna capire dove sono i dati aziendali, chi ha accesso a cosa, e quale sarà l’impatto reale di Copilot sulla loro visibilità.

Inventario delle fonti dati Microsoft Graph

Copilot M365 accede a:

• OneDrive personale di ogni utente
• SharePoint Sites (incluse Group sites di Teams)
• Outlook: email, calendario, contatti dell’utente
• Teams: chat, conversazioni di canale, file condivisi
• Loop, Whiteboard, Lists (in misura minore)

Il primo deliverable è una mappa: quante site collection SharePoint ci sono, quanti Teams, dove sono i file critici (legali, HR, finance), quali utenti hanno accesso a quali risorse.

Analisi delle permission

Su SharePoint, in particolare, è frequente trovare:

• Cartelle “Tutto-Tutti”: gruppi Tutti gli utenti tranne gli utenti esterni o Everyone except external users ereditati da setup vecchi.
• Permission orfane: utenti ex-dipendenti rimossi da AD ma ancora presenti nelle ACL di file.
• Sharing link “anyone”: link condivisi pubblicamente (anche se in dominio aziendale, accessibili senza login).
• Site collection permissions inherited non più allineate al perimetro reale.

Tool consigliato per discovery: Microsoft Purview Insider Risk Management + report SharePoint Admin Center “Sharing reports”. Per audit più aggressivo: PnP PowerShell con script custom su tutte le site collection.

Assessment compliance

Identificare il perimetro dei dati sensibili soggetti a regolamentazione (GDPR art. 9, dati finanziari, contratti coperti da NDA). Se non esistono già Sensitivity Labels in Microsoft Purview, è il momento di crearle: Copilot rispetta gli access control delle label, quindi labelizzare prima è il modo più rapido per proteggere documenti critici dall’accesso AI inappropriato.

Settimana 2 — Cleanup permission e governance

Con la mappa in mano, si interviene sulle anomalie scoperte.

SharePoint permission cleanup

Operazioni tipiche di questa settimana:

1. Rimuovi Everyone except external users da site collection critiche (HR, finance, legal). Sostituisci con security group dedicati che riflettono il perimetro reale.
2. Audit dei sharing link “anyone”: revoca quelli su contenuti sensibili, restringi a “specific people” o “people in your organization” dove necessario.
3. Account ex-dipendenti: rimuovi da tutte le ACL non solo dal directory.
4. Site collection ridondanti: archivia o cancella site abbandonate (Copilot indicizza tutto, anche le pagine “vecchio progetto 2018” che nessuno ricorda più).

Setup Sensitivity Labels

Le label che mancano spesso nelle PMI italiane:

• Pubblico: documenti pubblicabili (brochure, siti, materiale marketing).
• Interno: documenti per uso aziendale interno (procedure, comunicazioni interne).
• Confidenziale - Protetto: dati sensibili (HR, contratti, finanziari) — encryption automatica, accessibile solo a specifici security group.
• Strettamente confidenziale: M&A, dati legali soggetti a NDA — encryption + watermark + restrizioni copia/stampa.

Configura auto-labeling policy su SharePoint: file con pattern numerici (codice fiscale italiano, IBAN, partite IVA) ricevono automaticamente label Confidenziale - Protetto. Questo blocca Copilot dal mostrarli a utenti non autorizzati.

Baseline DLP

Crea almeno una DLP policy in Microsoft Purview che blocchi il leakage di dati sensibili tramite Copilot:

• Sensitive Info Types italiani: codice fiscale (IT), partita IVA, IBAN, dati carta di credito.
• Custom dictionary se hai dati di settore (es. codici prodotto interni, nomi clienti coperti da NDA).
• Action: block + notify utente con messaggio personalizzato che spiega il motivo del blocco.

DLP policy attive proteggono Copilot dal generare risposte basate su dati che il sistema riconosce come sensibili.

Settimana 3 — Selezione pilot e baseline produttività

L’errore tipico è abilitare Copilot per tutti subito. Il pilot strutturato è il modo più razionale per misurare ROI prima di un rollout esteso.

Scelta dei pilot users (20-30 utenti)

Criteri per selezionare gli utenti del pilot:

• High-value workflow: knowledge worker che spendono molto tempo in Word/Excel/Outlook (manager, sales, finance, marketing). Non amministrativi-operativi che fanno data entry ripetitivo.
• Mix di ruoli: 5-7 management, 5-7 sales/commerciale, 5-7 staff (finance, legal, HR), 5-7 IT/tecnici.
• Champion network: identifica 3-4 “Copilot champion” volonterosi che si appassionano al tool e diventano riferimento interno per gli altri utenti.
• Esclusione: utenti che gestiscono dati ultra-sensibili (CdA, M&A, audit interno) restano fuori dal pilot finché non hai validato governance e DLP in produzione.

Baseline misurabile (pre-Copilot)

Misura prima di abilitare Copilot, per avere un confronto credibile dopo:

• Tempo medio redazione di un documento Word strutturato (es. proposta commerciale standard): chiedi a 5 sales di tracciare 3 documenti ciascuno per 2 settimane.
• Tempo medio analisi di un foglio Excel (es. report mensile vendite): stesso pattern, 5 controller per 2 settimane.
• Tempo medio gestione email (lettura + risposta + archiviazione): tracker manuale o estrazione da log Outlook.
• Tempo medio recap riunione (note manuali post-meeting): tracker per i partecipanti tipici.

Senza baseline, non potrai dire alla direzione “Copilot ci ha fatto risparmiare X ore”. Avrai solo opinioni.

Formazione baseline pilot users

Workshop di 2-3 ore per i pilot users prima del go-live:

1. Cosa è Copilot e cosa NON è (gestione aspettative — non è un consulente, può sbagliare, va sempre verificato).
2. Prompting di base: pattern “Riassumi in 5 bullet”, “Genera tabella confronto”, “Scrivi email professionale formale”, “Trova in cosa differiscono questi 2 documenti”.
3. Privacy e dati aziendali: cosa Copilot vede, come rispetta i permessi, quando segnalare un’anomalia (es. “vede un file che non dovrebbe”).
4. Hands-on: 30 minuti di sandbox con Copilot in Word/Excel/Outlook su file dummy.

Settimana 4 — Go-live pilot e misurazione

Day-1 checklist

Il giorno del go-live pilot:

• Licenze Copilot M365 assegnate ai 20-30 utenti via Admin Center
• Sensitivity Labels deployate e auto-labeling attivo
• DLP policy in modalità “test” → switchata a “production”
• Audit log Purview attivo per tracciare ogni interazione Copilot
• Champion network briefed e canale Teams “Copilot pilot” creato per Q&A
• Survey kickoff inviata ai pilot (baseline qualitativa)
• Email comunicazione interna a tutti gli altri utenti (gestione aspettative — “non è ancora disponibile per tutti”)

Misurazione settimanale (3 mesi)

Per 12 settimane raccogli:

• Numero interazioni Copilot per utente (da audit log Purview).
• Tempo medio redazione/analisi/email post-Copilot (stesso tracker della baseline).
• Survey settimanale 5 minuti ai pilot users: utility percepita (1-5), problemi incontrati, feature richieste.
• Incidenti governance: file mostrato che non doveva essere mostrato, leak DLP, prompt sospetti.

Al termine delle 12 settimane il deliverable è il business case Copilot quantificato:

• ROI misurato in tempo risparmiato (esempi reali: -28% sul tempo redazione documenti, -40% sul tempo recap riunione, -15% sul tempo gestione email).
• Stima estrapolata su rollout esteso (n_utenti × ore_risparmiate × costo_orario_medio).
• Lista feature più usate / meno usate (per training mirato fase 2).
• Lista issue governance/permission rilevati durante pilot (da fixare prima del rollout esteso).
• Raccomandazione SynSphere su rollout: quali categorie di utenti includere (e quali no), quali workflow specifici prioritizzare.

Cosa NON fare prima del rollout Copilot

A complemento della checklist positiva, gli errori più frequenti che vediamo:

• ❌ Abilitare Copilot per tutti subito “tanto poi vediamo”. Senza baseline non saprai se ha funzionato, e in caso di problemi governance la mitigation richiede settimane.
• ❌ Saltare il cleanup SharePoint “perché tanto i permessi sono OK”. Permission Inheritance è quasi sempre più ampia di quanto si crede. Il day-2 incident “ho visto la mia valutazione di performance” è inevitabile senza cleanup.
• ❌ Non creare Sensitivity Labels “perché complicano le cose”. Senza label, ogni file confidenziale è esposto agli stessi rischi di un file pubblico nel campo Copilot.
• ❌ Demandare la formazione utenti al “self-service video Microsoft”. Funziona zero. I pilot users hanno bisogno di workshop guidato 2-3 ore con un esperto reale che risponda a domande specifiche.
• ❌ Rifiutare il pilot “perché perdiamo tempo, partiamo subito con tutti”. Senza pilot non hai business case quantificato, la direzione approva o rinnova le licenze su sensazioni — non su numeri.

Conclusioni

Le 4 settimane di Copilot readiness non sono “burocrazia IT” ma il modo per:

1. Proteggere l’azienda da incidenti governance day-2.
2. Misurare il ROI in modo credibile per la direzione.
3. Creare un’adozione duratura grazie a champion network e formazione targetata.
4. Identificare i workflow dove Copilot fa davvero la differenza (vs quelli dove è gimmick).

Per le PMI che vogliono avere un ROI Copilot reale (non aneddotico), questo è il percorso minimo. Saltare passaggi è economico nel breve, costoso nel medio.

Se stai pianificando un rollout Copilot M365 nella tua azienda e vuoi un assessment readiness preliminare, contattaci: valutazione gratuita del tuo stack M365 attuale, identificazione dei rischi specifici e roadmap personalizzata.