Imagina una empresa de 30 personas que compra licencias de Gemini Enterprise un viernes y las reparte a todo el equipo el lunes. Para el miércoles alguien de ventas le hace una pregunta al asistente y recibe una cifra de una hoja de cálculo que finanzas creía privada. Nadie hackeó nada. El archivo se había compartido con toda la organización dos años antes, en un mes en que compartir todo era la forma más rápida de avanzar, y nadie lo había abierto desde entonces.
Así se ve casi todo problema de Gemini Enterprise por el que nos llaman. El asistente no rompió ningún permiso. Leyó un permiso que estaba mal desde hacía años y que nadie iba a encontrar por casualidad.
Por eso, antes de que un cliente lo active, hacemos cinco revisiones. Toman días, no un trimestre, y deciden si tendrás un asistente en el que la gente confía o uno que la dirección deja de usar en silencio.
Primero, qué es Gemini Enterprise en la factura
Es un producto aparte, con su propia licencia, no una función de tu plan de Workspace. La ayuda de administración de Google lo dice sin rodeos: Gemini Enterprise no viene incluido en una suscripción de Google Workspace, así que compras licencias, directo o con un partner de Google Cloud. Si compras con un partner, agregar licencias después vuelve a pasar por ese partner y no por tu consola.
Las ediciones importan en una empresa pequeña. La tabla de ediciones de Google ubica la edición Business entre 1 y 500 usuarios con 25 GiB de almacenamiento compartido por usuario, Standard con 30 GiB y Plus con 75 GiB, y Plus apunta a equipos que construyen agentes. Para una empresa de 30 personas, Business suele ser el punto de partida honesto, y la línea del almacenamiento compartido es la que más se pasa por alto al planear qué conectar. No publicamos lo que cuesta el trabajo alrededor; eso está en cómo trabajamos. La licencia casi nunca es la parte cara. La limpieza previa sí.
Revisión uno: Gemini lee lo que lee la persona
Este es todo el modelo de acceso. La documentación de ayuda de Google indica que Gemini tiene el mismo acceso a los datos de Workspace que la persona: los archivos de Drive que le compartieron, los eventos de Calendar que puede ver, y así. No obtiene una vista de superusuario del dominio ni le da a nadie acceso a algo que no pudiera abrir antes.
Suena tranquilizador hasta que le das la vuelta. Cada archivo compartido de más que ya está en tu Drive es ya un permiso. Lo que cambia es el costo de encontrarlo. Antes, un archivo compartido con toda la empresa era casi invisible salvo que alguien buscara la frase exacta. Ahora existe una herramienta cuyo único trabajo es buscar bien, en lenguaje natural, para cada usuario con licencia.
Así que la pregunta no es si se le puede confiar tus datos a Gemini. Es si tu uso compartido actual sigue describiendo quién debería ver qué. En la mayoría de las pymes que revisamos la respuesta es que no, y lleva años así.
Revisión dos: la limpieza del uso compartido y dónde se esconde el desorden
No puedes revisar un Drive completo a mano. Hay dos lugares que te dan el panorama.
- Eventos de registro de Drive en la consola de administración, en Informes y luego Auditoría e investigación. Requiere el privilegio de administrador de Auditoría e investigación. Los resultados vienen por defecto de los últimos siete días, así que amplía o quita el filtro de fecha, combina filtros de atributos con AND y OR, y exporta el resultado a donde puedas ordenarlo. Google aclara que la mayoría de los eventos de auditoría de Drive se registran solo para archivos de usuarios con ediciones compatibles, algo que conviene saber antes de leer un informe pobre como buena noticia.
- Los valores predeterminados de uso compartido, en la configuración de Drive y Documentos. Endurecer un valor predeterminado detiene la exposición nueva. No vuelve atrás ni cierra los archivos que ya se compartieron. Son dos trabajos distintos y los dos tienen que hacerse.
Una limitación honesta: un registro de auditoría te dice quién hizo qué, no quién puede abrir un archivo en este momento. Para el estado actual hay que mirar los archivos, así que delimitamos esto por riesgo del negocio: finanzas, recursos humanos, nómina, legal, cualquier cosa con datos de clientes y las unidades compartidas que vienen de antes de tu estructura actual.
Revisión tres: los agentes no heredan el comportamiento prudente
Esta es la configuración que sorprende, y la primera que revisamos en cualquier tenant que ya tenga Gemini Enterprise activo. El acceso de los agentes a los datos de Workspace tiene su propio control, separado del modelo por usuario de arriba. La ayuda de administración de Google describe el valor predeterminado como permitir que los agentes soliciten acceso a cualquier dato de Workspace, con una opción para que el administrador se lo bloquee por completo. Si desactivas ese acceso, las funciones de Gemini Enterprise, incluidos los agentes, no pueden llegar a los datos de Workspace.
Los dos extremos son decisiones, no accidentes. Bloquear a los agentes vuelve el producto mucho menos útil. Dejar el valor predeterminado en un tenant cuyo uso compartido nunca se auditó es la receta para la llamada del miércoles. Normalmente bloqueamos el acceso de los agentes durante el piloto, terminamos la revisión del uso compartido y después lo abrimos con los responsables del negocio presentes.
Si vas a conectar Drive como fuente de datos
Conectar Drive con el conector de almacén de datos es un camino distinto al acceso del lado de Workspace, con sus propias reglas. La documentación de Google Cloud dice que Gemini Enterprise no copia tus datos a su índice, así que no hay una segunda copia que administrar. También dice que el control de acceso depende de tu proveedor de identidad, que configuras para que lo aplique, y que los documentos tienen que ser accesibles para el conector: en la práctica, vivir en una unidad compartida del dominio o pertenecer a un usuario del dominio. Las cuentas personales de Gmail no son compatibles, porque no tienen un ID de cliente de Workspace.
En una pyme ese último punto es el que duele. Los archivos que pertenecen a la cuenta personal de alguien, o a un contratista que se fue hace dos años, suelen ser los que más importan y los menos accesibles. Corregir la propiedad es parte de la limpieza, no un pendiente para después.
Revisión cuatro: reglas de protección de datos antes, no después
Si la revisión del uso compartido trata de a qué puede llegar la gente, las reglas de protección de datos tratan de qué sale. Se crean en Reglas, luego Crear regla y luego Protección de datos, y necesitas los privilegios de Ver reglas de DLP y Administrar reglas de DLP. Las condiciones pueden usar los detectores predefinidos de Google para información personal estándar, como un número de identificación fiscal, o detectores personalizados que escribas como lista de palabras o expresión regular. Las etiquetas de Drive también pueden servir como condición. La disponibilidad depende de la edición.
La función en la que más nos apoyamos es la regla en modo solo auditoría. Se activa y escribe en el registro de auditoría de reglas y en la herramienta de investigación sin tomar ninguna acción, así que ves qué habría detectado antes de que bloquee nada. Dos semanas en modo solo auditoría es la forma más barata de saber qué envía de verdad tu equipo, y una base mejor para una conversación de política que la suposición de cualquiera.
Los detectores personalizados son donde una pyme gana valor rápido, porque el dato que más necesitas proteger casi siempre es local: un documento de identidad nacional, un código de cliente, una serie de facturas.
Revisión cinco: quién recibe licencia y qué esperas a cambio
Activar el servicio y asignar licencias son dos trabajos distintos, y hacerlos en el orden equivocado genera un ticket de soporte.
El estado del servicio está en IA generativa y luego Gemini Enterprise, y cambiarlo requiere el privilegio de administrador de Configuración de servicios. Puedes activarlo o desactivarlo para todos, o limitarlo a una unidad organizativa o a un grupo de configuración. La configuración de grupo tiene prioridad sobre las unidades organizativas, y ese es el mecanismo que usamos para un piloto: deja el servicio apagado en la raíz, crea un grupo y actívalo ahí. Google señala que los cambios pueden tardar hasta 24 horas, así que no agendes una demostración diez minutos después de mover el interruptor.
Las licencias se asignan aparte, en Directorio y luego Usuarios, con el privilegio correspondiente de administración de usuarios. El servicio tiene que estar activo para la organización, o para las unidades y grupos cuyos usuarios recibirán licencia, antes de asignarlas.
Sobre quién recibe licencia: evita repartirlas de a poquito en cada departamento por justicia. Elige a las ocho o diez personas cuyo trabajo sea más claramente buscar y resumir, dentro de la misma función del negocio, para que comparen notas entre ellas. Un piloto repartido en diez departamentos produce diez opiniones sueltas y ninguna decisión.
La lista para decidir si sale o no sale
| Revisión | Dónde se mira | Qué detiene la salida |
|---|---|---|
| Licencia y edición | Tu pedido, contra la comparación de ediciones | La cantidad de usuarios o el almacenamiento compartido no cabe en el nivel que compraste |
| Higiene del uso compartido | Eventos de registro de Drive, exportados y ordenados, más los valores predeterminados de Drive | Finanzas, recursos humanos, nómina o datos de clientes siguen compartidos fuera de su equipo |
| Acceso de los agentes a datos | IA generativa, luego Gemini Enterprise, configuración de acceso de agentes | Los agentes quedaron en el valor predeterminado con la revisión de uso compartido sin terminar |
| Reglas de protección de datos | Reglas, luego Protección de datos, en modo solo auditoría | Ninguna regla cubre el único tipo de dato que tu negocio no puede permitirse filtrar |
| Licencias y alcance | Estado del servicio por grupo, luego Directorio y Usuarios | El servicio quedó activo para todo el dominio en lugar del grupo piloto |
Cómo medir si valió lo que costó
Elige dos o tres preguntas que la gente del piloto haga cada semana y tómales el tiempo antes de empezar. Dónde está la versión vigente del contrato de este cliente. Qué le cotizamos el año pasado. Resume el último mes de correo de este proyecto. Si el asistente convierte una búsqueda de 15 minutos en dos minutos para ocho personas, ya tienes un número frente al costo de las licencias. Si después de un mes nadie puede nombrar una tarea más rápida, casi siempre significa que la información que el asistente necesitaba nunca estuvo en Workspace.
Mira también en la otra dirección. En el primer mes leemos los eventos de registro de Drive y el registro de auditoría de las reglas buscando cualquier cosa que el piloto haya sacado a la luz y no debería. Es la retroalimentación más rápida sobre la calidad real de tu uso compartido.
Cómo ayuda Guanacos Tech
Esto lo hacemos como un trabajo corto antes de repartir las licencias: una revisión del uso compartido delimitada a los datos que importan, el acceso de los agentes y las reglas de protección de datos definidos a propósito y no por defecto, un grupo piloto con una lista medible de preguntas y un documento de entrega que tu propio administrador pueda seguir. El equipo tiene certificaciones de Google, trabaja de forma independiente, en inglés y español, en Norteamérica y Latinoamérica. Nuestra página de consultoría de Google Cloud explica cómo delimitamos el trabajo, y una llamada de 30 minutos alcanza para saber si tu tenant está listo o necesita limpieza primero.
Fuentes
- Activa o desactiva Gemini Enterprise para los usuarios (Ayuda de administradores de Google Workspace)
- Controla el acceso a los agentes de Gemini Enterprise (Ayuda de administradores de Google Workspace)
- Agrega y asigna licencias de Gemini Enterprise edición Business a los usuarios
- Ediciones de Gemini Enterprise (documentación de Google Cloud)
- Configura un almacén de datos de Google Drive (documentación de Gemini Enterprise)
- Primeros pasos con DLP (Ayuda de administradores de Google Workspace)
- Eventos de registro de Drive (Ayuda de administradores de Google Workspace)