Reusa la misma conexión de Microsoft 365 (admin consent, sin secretos nuevos) para responder una pregunta distinta: no "qué tan seguro está tu M365", sino "qué inteligencia artificial ya tiene acceso a tus datos corporativos, la hayas autorizado tú o no".
Nivel 1 — de lectura, sin fricción
Seis permisos, todos de solo lectura, ninguno difícil de justificar en una revisión de seguridad:
- Identidades no humanas (service principals) y el estado de sus credenciales
- Consentimientos OAuth con indicio de ser una herramienta de IA — la llamada "shadow AI": ChatGPT, extensiones de navegador, apps de terceros que un empleado autorizó sin pasar por TI
- Uso real de Microsoft 365 Copilot (usuarios activos, no solo licencias asignadas)
Nivel 2 — opcional, un consentimiento aparte
Leer los permisos de un sitio de SharePoint en Microsoft Graph exige control total sobre el sitio, no lectura — no existe hoy un permiso de menor privilegio para esa operación específica. Por eso se pide aparte, y solo después de que ya viste el resultado del Nivel 1. Sin ese consentimiento, el estado de los enlaces de compartición se declara explícitamente como no evaluado — nunca se infiere.
A dónde van los hallazgos
Alimentan directamente el inventario de Gobierno de IA: cada aplicación o identidad detectada se convierte en un caso de uso candidato, listo para que asignes dueño, supervisión humana y nivel de riesgo — en vez de partir de una hoja en blanco.