Che cosa vede l’utente, e chi lo decide
L’esperienza di Microsoft 365 Copilot che arriva sul desktop non è un blocco monolitico: è una barra di navigazione le cui voci l’amministratore accende, nasconde o lascia ai valori predefiniti. Per creare le cloud policy che la governano serve il ruolo Office Apps admin, non il Global Administrator.
Le leve principali stanno in posti diversi, ed è esattamente questa dispersione che l’esame verifica. Search è attiva per impostazione predefinita e si governa dal Microsoft 365 admin center in Settings > Search & intelligence, dove si abilitano anche gli Item insights. Chat, cioè Microsoft 365 Copilot Chat, può risultare già appuntata alla barra a seconda della licenza. Gli Agents integrati sono attivi per impostazione predefinita e si distribuiscono o si bloccano da Settings > Integrated Apps. Pages e Notebooks sono consentite per impostazione predefinita e si regolano con Cloud Policy.
Il controllo su cui si sbaglia più spesso è la ricerca sul web pubblico. La leva amministrativa è la policy Allow web search in Copilot, disponibile soltanto nel Cloud Policy service for Microsoft 365, e offre tre opzioni: abilitata sia in Microsoft 365 Copilot sia in Microsoft 365 Copilot Chat, disabilitata in entrambi, oppure disabilitata in Microsoft 365 Copilot Work mode ma abilitata in Web mode e in Copilot Chat. Se l’amministratore lascia acceso il web search, l’utente conserva il proprio interruttore Web content; se lo spegne, l’interruttore appare disattivato e l’utente non può riaccenderlo.
Non confondere questa funzione con Microsoft 365 Copilot Search, che è un’esperienza diversa: la ricerca aziendale nel modulo Search dell’app Microsoft 365 Copilot. Non richiede alcuna configurazione da parte dell’amministratore e segue la licenza Microsoft 365 Copilot; chi non ha l’app riceve invece Microsoft Search. Su Copilot Search si curano Bookmarks e Acronyms, e si restringe la superficie con Restricted Content Discovery e Restricted SharePoint Search. Ha anche un report proprio, in Reports > Usage > Microsoft 365 Copilot > Copilot Search.
Cowork: un sistema agentico, non un agente
Microsoft 365 Copilot Cowork esegue attività per conto dell’utente — invia messaggi di posta, pianifica riunioni, crea documenti, pubblica in Teams, gestisce file — chiedendo l’approvazione prima delle azioni sensibili. La documentazione lo qualifica come agentic system, distinto da un agent: nel Microsoft 365 admin center si raggiunge da Agents > All Agents e poi selezionando Cowork dal menu a discesa. Il controllo di accesso basato sull’agente, presente nella versione Preview, non serve più a governare l’accesso degli utenti.
Qui sta la confusione tipica: Cowork non si accende assegnando una licenza per utente. Per consentire agli utenti di accedervi, l’amministratore deve abilitare l’usage-based billing. Separata da questa c’è la sola visibilità: in Copilot > Settings > AI experiences enabled by usage-based billing si spunta la casella Allow users to discover and use AI experiences enabled by usage-based billing in Microsoft 365 Copilot (serve il ruolo Global administrator o AI administrator). Se rendi Cowork individuabile senza aver abilitato la fatturazione a consumo, gli utenti possono richiedere l’accesso dall’app e tu approvi in base a policy, costo e conformità.
Altri controlli: l’impostazione a livello di tenant Cowork Browsing accende o spegne l’uso del browser; i plugin del Microsoft 365 App Store si distribuiscono da Agents > All Agents o Agents > Tools, scegliendo Installed for con All users oppure Specific users/groups, e nella scheda Users si passa da Available to all users a Available to specific users or groups fino a Block. I plugin distribuiti dall’amministratore mostrano all’utente l’etichetta Managed by your organization e non possono essere rimossi, ma l’utente può disattivarli dal pannello Sources & Skills. Le attività automatizzate girano con i permessi dell’utente che le ha create, finiscono nel log di audit unificato e ricadono sotto le policy di Microsoft Purview.
Provider AI di terze parti: due pagine, due regimi contrattuali
Nel Microsoft 365 admin center, sotto Copilot > Settings > View all, convivono due impostazioni che sembrano gemelle e non lo sono. AI providers operating as Microsoft subprocessors riguarda i provider che operano come subprocessor Microsoft: per Anthropic si applicano i Product Terms e il Data Protection Addendum, e vale il Customer Copyright Commitment. AI providers for other large language models riguarda invece i provider indipendenti: lì i dati sono elaborati fuori dagli ambienti gestiti da Microsoft, gli accordi Microsoft non si applicano e devi accettare esplicitamente i termini del provider.
In entrambi i casi l’assegnazione si fa scegliendo utenti, gruppi di sicurezza di Microsoft Entra ID o gruppi annidati, fino a 999 assegnazioni combinate per provider. Attenzione al livello: le assegnazioni sono applicate a livello di provider, non di modello, e vengono applicate in Microsoft 365 Copilot, in Copilot Studio e nel Power Platform admin center. Per disabilitare si seleziona No users. I Preview models with Data Retention restano default-off anche quando il provider è abilitato. Il ruolo richiesto è AI Administrator o Global Administrator.
Copilot connector: allargare l’indice, non l’esperienza
I Copilot connector portano dentro Copilot e Microsoft Search dati che non vivono in Microsoft 365. Distingui due famiglie: i synced connectors indicizzano il contenuto in Microsoft Graph — con configurazione a livello di tenant fatta dall’amministratore, oppure self-serve in cui l’amministratore abilita e l’utente si autentica con la propria identità — mentre i federated connectors usano un modello Model Context Protocol per recuperare i dati in tempo reale, senza indicizzarli, e sono in sola lettura. In tutti i casi i permessi del sistema di origine vengono rispettati: l’utente vede solo ciò a cui ha già accesso.
Per gestire le connessioni devi essere AI administrator. Nella scheda Your Connections la colonna Connection state mostra Syncing, Ready, Paused, Failed o Delete failed. Sotto Copilot Visibility un interruttore esclude la connessione dai risultati di Copilot Search e Copilot Chat: se lo spegni la connessione continua comunque a fare crawl della sorgente, semplicemente i dati non vengono usati, e la propagazione può richiedere fino a 30 minuti. Puoi lanciare crawl on-demand full o incremental, e per i connettori custom l’admin center segnala le etichette semantiche mancanti fra title, url, lastModifiedBy e lastModifiedDateTime. Il consumo si legge nel report Connectors, in preview, sotto Reports > Usage > Microsoft 365 Copilot, dove la documentazione precisa che l’uso dei connettori dentro Cowork non è ancora coperto: un’ulteriore conferma che Chat, Search e Cowork sono esperienze separate anche in misurazione. L’esame AB-650 è in beta e la soglia di superamento è 700: aspettati domande che ti chiedono in quale portale sta una leva e che cosa succede davvero quando la spegni.