El camino gobernado es un camino licenciado

El argumento de seguridad para gobernar la ruta en lugar del modelo es correcto. Esto es lo que esa arquitectura cuesta bajo contrato: qué se paga por el plano de control, qué lo puede apagar, y qué le prueba su propia evidencia a alguien que no sos vos.

En respuesta a “How Microsoft Can Govern Claude, ChatGPT, Gemini, and Every Other AI Model” · Quinton Barber · LinkedIn · 2026-08-12 ✓ enlace canónico verificado 2026-08-20
De Deep Sight Consulting · consultoría independiente de licenciamiento de software, servicios e inteligencia artificial en la era de la programación con IA agéntica
Insignias · ✓ verificado contra fuente primaria o instrumento contractual · ◐ reportado o autorreportado · ◯ abierto, sin fuente verificable

Indicador	Lectura
US$15	Agent 365, por persona humana al mes, no por agente ✓
E5	requisito previo para Agent 365 standalone nuevo desde el 1 de junio de 2026 ✓
1 jul	capacidades de seguridad de agentes desactivadas sin licencia elegible desde 2026 ✓
125%	de la capacidad prepagada: agentes personalizados desactivados, corte duro ✓
5	créditos por acción de agente, a US$0,01 el crédito ✓
1 año	plazo de los dos planes de prepago, sin cancelación ni intercambio ✓
4	beneficios en orden de precedencia publicado; el más ancho se consume de último ✓

En corto

¿Cuánto cuesta gobernar el camino hacia los modelos de IA, y quién puede apagarlo? El artículo al que esto responde sostiene que la empresa no necesita gobernar cada modelo sino la ruta hacia ellos, y tiene razón como arquitectura de seguridad. Lo que no dice es que esa ruta se compra: exige una licencia previa, trae un medidor que corre solo, y deja un interruptor del lado del proveedor. Ese interruptor se contrata; no se programa.

---

01 — El acuerdo

Dos disciplinas, sin contacto entre ellas, una sola frontera

La tesis del artículo

La empresa no necesita gobernar cada modelo. Necesita gobernar la ruta hacia el modelo, porque en esa ruta viven de verdad la identidad, la postura del dispositivo, la clasificación del dato, la evaluación de política y la evidencia.

Tiene razón, y conviene decirlo sin rodeos: el lado del licenciamiento llegó a la misma frontera por el camino contrario, sin el vocabulario de seguridad.

El 1 de julio de 2026, junto con el reset de precios anunciado, Microsoft movió la aplicación agéntica de la factura a la capacidad. Las capacidades de seguridad de Copilot Studio y Microsoft Foundry que vivían en Defender for Cloud quedaron desactivadas para los tenants sin licencia Agent 365 elegible, y los tenants de Copilot Cowork sin facturación de créditos configurada quedaron con el acceso suspendido ese mismo día ✓. La línea verbatim en Microsoft Learn no habla de facturación:

“Tenants currently configured to Block on existing Agent 365 rules will stop blocking on July 1, 2026.”

Microsoft Learn ✓ re verificada 2026-08-14

Un arquitecto de seguridad lee ese terreno y concluye que hay que gobernar el camino. Un analista de licenciamiento lo lee y concluye que el camino es donde ahora vive la aplicación del contrato. Lo que sigue no es una refutación: es la parte que pertenece a otro contrato.

---

02 — Precio

El plano de control es un producto licenciado con un requisito previo

«Estandarizar en un solo plano de control» es una decisión de compra antes que una arquitectura, y tiene números publicados.

• Agent 365 cuesta US$15 por usuario por mes, y cubre gobierno y seguridad de agentes: registro, Entra Agent ID, cumplimiento, observabilidad ✓. Lo que no cubre es el build y el run del agente, que factura aparte por consumo de Copilot Studio y Microsoft Foundry ✓.
• La métrica es por persona humana, no por agente: esos US$15 cubren el gobierno de todos los agentes que esa persona opera, administra o patrocina ✓.
• Microsoft 365 E5 pasó a ser requisito previo el 1 de junio de 2026 para compras nuevas de Agent 365 standalone en el segmento enterprise ✓.

Entra Agent ID es la pieza que sostiene la mitad de identidad del argumento, y llega dentro de esa cadena. Puesto en precio con honestidad, la recomendación se lee así: una base E5 más US$15 por persona por mes, antes de haber gobernado un solo modelo de terceros y antes de haber medido un solo consumo. En la mayoría de los presupuestos 2026 esa línea todavía no existe, porque el trabajo se planeó como arquitectura de seguridad y no como licencia.

---

03 — Aplicación

El camino gobernado tiene desactivación, y la controla el licenciante

Hay dos mecanismos publicados que hacen que la disponibilidad de estos controles dependa del estado de licenciamiento y no de la ingeniería: el candado de acceso del 1 de julio ya descrito, y la desactivación de agentes personalizados al 125% de la capacidad de créditos Copilot prepagados, con banda de gracia hasta el 125% y de ahí corte duro hasta comprar o reasignar capacidad ✓.

La pregunta gemela

Un punto de aplicación que es a su vez una capacidad licenciada es un punto de aplicación con un punto único de falla contractual. A la junta directiva que está aprendiendo a preguntar «¿podemos probar que nuestros controles operaron cuando debían?» hay que enseñarle la pregunta gemela en la misma sesión: ¿qué le pasa a los controles al 126% de la capacidad prepagada, o el primer día de un entitlement vencido? No es hipotético: es comportamiento documentado del producto, con fecha.

---

04 — Entitlement

Un gateway concentra evidencia, no entitlement

El segundo escenario del artículo

Un gateway de API intermedia los caminos aprobados hacia el modelo: autentica, autoriza, aplica política, evalúa prompts antes de ejecutarlos, monitorea el consumo de tokens y retiene el rastro de evidencia.

Esta es la corrección que más importa, y la que cuesta plata cuando se pasa por alto. La definición de multiplexación de Microsoft está reimpresa verbatim en el Apéndice A de la Copilot Studio Licensing Guide, dentro de la propia guía de licenciamiento de agentes —las ediciones del 16 de junio de 2026 y de agosto de 2026 fueron verificadas idénticas—, y anclada a la página de guía primaria capturada el 16 de agosto de 2026 ✓:

“Multiplexing refers to hardware or software that a customer uses to: pool connections or reduce the number of Operating System Environments (OSEs), devices, or users a Product directly manages; reduce the number of devices or users that directly or indirectly access or use a Product; or access data a Product itself processes or generates. Multiplexing does not reduce the number of Licenses of any type that a Customer needs.”

Microsoft Licensing Guidance ✓ capturada 2026-08-16

Una capa de brokerage de API que agrupa el pedido de cada usuario detrás de un único camino autenticado y evaluado por política es la primera cláusula de esa definición, enunciada como arquitectura. De ahí salen tres consecuencias, y la precisión es todo el valor.

• El alcance. El gateway no crea exposición de licenciamiento Microsoft por el consumo propio de un modelo de terceros. A Claude lo licencia Anthropic; los Product Terms de Microsoft cuentan productos Microsoft. La exposición cae sobre los productos licenciados por Microsoft que el camino atraviesa y lee para poder producir una respuesta útil. Los ejemplos trabajados de la propia guía son CALs de SQL Server, Project Server y Azure DevOps Server, con el matiz material de que licenciar por core anula el requisito de CAL ✓.
• Qué se compró. El camino intermediado compra capacidad de prueba. No compra reducción de licencias. Las dos cosas se confunden porque un diagrama que colapsa dos mil usuarios en una sola flecha se ve como consolidación en la página. Bajo la propia oración del licenciante, no lo es.
• Lo que hay que planear. La telemetría que prueba que los controles operaron es la misma telemetría que documenta la población de beneficiarios indirectos detrás de esa flecha. La pregunta de la junta y la pregunta del auditor se responden con un solo artefacto: el operador ve un agente, el auditor ve a toda la población detrás ✓.

Estatus epistémico de esta sección

[síntesis], sostenida en ◯. Lo que falta no es la lógica, que es el texto primario leído sin adornos, sino una aplicación publicada de ese lenguaje a una capa de brokerage de IA, o una auditoría documentada donde esa telemetría haya servido como prueba de acceso indirecto. Se cita como lectura del texto de Microsoft, nunca como posición de Microsoft. Nada de esto argumenta contra construir el gateway: argumenta contra comprarlo como optimización de licenciamiento, y a favor de hacer la aritmética de entitlement antes de que el diagrama convenza a un comité de que hubo consolidación.

---

05 — Medidor

El punto ciego de tokens ya tiene medidor, y viene con el camino

El artículo nombra el consumo de tokens como punto ciego de gobierno. En el camino Microsoft no está ciego: está medido, y adoptar el camino gobernado significa adoptar el medidor. Créditos Copilot, tabla de tarifas oficial ✓: respuesta clásica 1, respuesta generativa 2, acción de agente 5, grounding sobre el grafo del tenant 10, voz en niveles 10, 35 y 75 por minuto para voz generativa premium. Precio del crédito US$0,01 pay as you go; pack de 25.000 créditos a US$200 por mes, sin acumulación; el corte duro al 125% ya descrito. Aparte, los 5.000 créditos sembrados de AI Builder salen de servicio el 1 de noviembre de 2026 ✓.

La visibilidad es la ganancia. La medición es el precio. Y el medidor escala con la arquitectura, no con la planilla: un solo prompt aprobado que dispara una cadena de acciones de agente y recuperaciones con grounding factura contra un tarifario cuya unidad es la acción, mientras la cuenta de asientos se queda quieta. Todo pronóstico de consumo construido a partir de cantidad de usuarios está midiendo la variable equivocada.

Advertencia de operación

El admin center de Microsoft 365 muestra solo los créditos del plan de prepago de créditos Copilot, y si la suscripción además trae el plan de agentes, “the system uses the Agent P3 credits first” ✓. Se consume primero, en silencio, justo lo que el tablero no muestra. Quien mide adopción contra ese tablero está leyendo el saldo equivocado.

---

06 — Términos abiertos

Cuatro cosas para poner por escrito mientras nadie publicó la respuesta

El tema del artículo es gobernar modelos de terceros. Sobre esa pregunta exacta el registro está abierto ◯, y las preguntas abiertas se negocian hasta que dejan de estarlo.

• Alcance de registro para agentes que no son Microsoft. Si el gobierno de Agent 365 alcanza a agentes que corren sobre stacks ajenos, y si tal agente tiene que registrar un Entra Agent ID para poder funcionar dentro del ecosistema, no está resuelto en las fuentes disponibles. Es la premisa de toda la arquitectura, y la primera cláusula que hay que pedir.
• Los instrumentos de compromiso existen; el tarifario no. Reescrita en la edición 2: la edición 1 decía que el costo variable no se podía modelar desde los términos publicados, y eso ya no se sostiene. Hay dos instrumentos de prepago publicados, descritos abajo. Lo que sigue abierto es más angosto y más útil: el costo por unidad una vez superadas las asignaciones base sigue sin dato publicado, y los instrumentos compran descuento, no compran techo; si la compra de un plan cuenta contra un compromiso de consumo de Azure no lo dice ninguna página publicada; y qué le pasa al corte duro al 125% cuando hay unidades de prepago vivas.
• Responsabilidad y niveles de servicio por errores de agentes autónomos.
• Precio a futuro de la clase de identidad que todavía no existe. No hay categoría «Agentic Users» en disponibilidad general. Microsoft confirmó que esas identidades van a necesitar licencia propia y no publicó precio, ni métrica, ni fecha.

Cada una es una brecha hoy y un punto de term sheet mañana. El espacio de negociación se cierra el día que publican los términos oficiales, no el día que la organización se acuerda de preguntar.

---

07 — Concentración

La oración que el artículo no escribe

Hay un costo estructural en concentrar cada prompt, cada decisión de política, cada traza y cada corrección en un único plano de control, y no es un costo de seguridad.

El ensayo del propio Satya Nadella ubica la transferencia de conocimiento de la empresa no en el entrenamiento del modelo sino en lo que él nombra exhaust: prompts, uso de herramientas por parte del agente y, sobre todo, correcciones humanas, “trace by trace, correction by correction, eval by eval” ✓. Su primer principio declarado es Control: evals privadas, propiedad de la memoria, de las trazas y de los outputs. Leído en clave económica, un camino intermediado que retiene prompts, decisiones y telemetría dentro del tenant es la empresa quedándose con su propio exhaust, lo que vuelve a esta arquitectura una idea más fuerte de lo que su encuadre de seguridad reclama.

Pero su tercer principio es Choice: orquestación desacoplada de cualquier modelo único ✓. Un plano de control vendido por un proveedor que además vende modelos concentra el registro de cómo piensa la organización en una sola contraparte. Es ganancia de gobierno y concentración de contraparte al mismo tiempo, y las dos cosas no se cancelan.

La forma práctica de la objeción

No es «no estandarices». Es: que la evidencia sea portable. Formato de retención, derechos de exportación y capacidad de correr la misma política contra otro intermediario van en el contrato, en el mismo momento en que se aprueba la arquitectura y por la misma razón por la que se aprueba.

Una nota estructural, sobre la categoría y no sobre ningún autor: cuando la parte que recomienda un plano de control es también la que lo implementa, la recomendación y el interés comercial apuntan en la misma dirección. Este corpus carga un caso verificado en el mercado adyacente, donde las evaluaciones ofrecidas sin costo por el canal de implementación funcionan como pre auditorías con incentivo de upsell ✓. Es razón para leer los términos de licenciamiento de forma independiente. No es razón para descartar la arquitectura, que es sólida.

---

08 — Constructo de compra

El constructo de compra decide el precio antes que el descuento

Todo lo anterior le pone precio al camino gobernado con dos unidades: el asiento y el crédito. Falta una tercera, y es la que decide la factura. Para la misma capacidad, Microsoft vende más de un constructo de compra, y no cuestan lo mismo.

Hay dos instrumentos de prepago, y no son el mismo ✓

El Microsoft Agent Prepurchase Plan cubre consumo de Microsoft Foundry, Copilot Studio, Microsoft Fabric y GitHub. Se compra en Agent Commit Units, y una ACU equivale a un dólar y a cien créditos. Su alcance por escrito son los “Copilot Credits-enabled agentic services: Microsoft Copilot Studio, Dynamics 365 first-party agents, and Copilot”, y Microsoft se reserva el derecho de actualizar qué productos son elegibles.

El Copilot Credit Pre-Purchase Plan cubre solo consumo de créditos Copilot, y se compra en su propia unidad.

Que Fabric y GitHub entren por el mismo instrumento no es un detalle administrativo. Es la confirmación, en el papel de compra, de que la pregunta de licenciamiento agéntico ya no se puede separar de la capa de datos ni de la de desarrollo.

Las dos curvas de descuento no coinciden, y ahí está la palanca ◐

Los escalones suben con el volumen comprometido, y no suben igual en los dos planes. Al mismo monto comprometido, alrededor de cien mil dólares, el plan de agentes da del orden del 10% y el de créditos del orden del 7%. La palanca no es pedir descuento: es elegir el constructo, y esa comparación casi nunca se hace porque casi nadie la publica.

Qué está verificado, y qué no

Es la cifra más citable de esta sección y la más fácil de sobreafirmar, así que conviene la precisión. Que existan los dos instrumentos, que se compren en unidades distintas y que sus curvas difieran es ✓. Los escalones concretos y el delta en un punto son ◐: provienen del corpus propio, y de la escalera solo dos peldaños están corroborados contra la documentación pública, que además publica la tabla completa únicamente como captura del portal, no como texto, con porcentajes sacados de ejemplos que ella misma marca como hipotéticos. No hay tarifario citable de Microsoft. Antes de poner un número en una recomendación, se rehace contra el portal con fecha.

Los términos de la compra son más duros que los del consumo ✓

“All purchases are final.”

Microsoft Learn · Agent Prepurchase Plan y Copilot Credit P3 · leídas 2026-08-19

Los dos planes son a un año, con autorrenovación activada por defecto. No se pueden dividir ni fusionar, y no admiten cancelación ni intercambio. La compra se factura como línea aparte. Leído junto a la reserva de elegibilidad citada arriba: una parte se compromete por doce meses sin salida, y la otra se reserva el derecho de cambiar qué productos cubre ese compromiso. Esa asimetría es un punto de term sheet, no una condición de la naturaleza, y se negocia antes de firmar o no se negocia nunca.

El orden de precedencia ya está escrito, y no se negocia ✓

“Reservations always apply before prepurchase plans.”

Microsoft Learn · Agent Prepurchase Plan · act. 2026-07-17

En Azure: reserva de Foundry PTU, después reserva de capacidad de Fabric, después el plan de créditos, y de último el plan de agentes. En el admin center de Microsoft 365 el orden es capacity packs, prepago y pago por uso, y el prepago no es una vía alternativa: “P3 is layered on top of pay-as-you-go.” La consecuencia práctica es que el instrumento más ancho se consume de último, o sea que una cartera mal armada deja el descuento más caro sin usar y quema primero el más barato. El modelado se hace por capas, en ese orden, o no sirve.

Tres cosas que solo aparecen en la letra chica, y las tres muerden en operación ✓

• El tablero no muestra lo que se gasta primero. Ya descrito en el medidor.
• El método de facturación de una spending policy es inmutable. Una vez creada la política, para cambiarlo hay que borrarla y crearla de nuevo. Una decisión de asignación tomada rápido en el arranque se vuelve una migración.
• La capacidad se disputa de forma transversal. La capacidad asignada a entornos desde el admin center de Power Platform reduce la disponible para Cowork y Work IQ API. Dos equipos que no se hablan comparten un mismo saldo sin verlo, y el que asigna primero se lo lleva.

Y el compromiso de Azure que ya está firmado ✓ ◯

El consumo elegible de Copilot sí se aplica contra un compromiso de consumo de Azure, pero solo si la suscripción está ligada a la billing account que tiene el compromiso. Con otra, en palabras de la documentación, “you still pay for consumption, but it might not count toward your MACC”. Es un paso de configuración con consecuencia contractual, y se verifica antes de habilitar el servicio, no después.

Lo que no se debe decir todavía

Si la compra del plan cuenta contra ese compromiso no está resuelto ◯. Lo publicado dice que la compra se factura como línea aparte y que no se descuenta del Azure Prepayment, que es un constructo distinto del MACC. Hasta que eso se aclare por escrito, no se debe vender un plan de prepago como forma de quemar un MACC. Es exactamente la clase de afirmación que suena bien en una reunión y no resiste la factura.

---

09 — Cierre

Primero el intake, después la junta

El orden de esta sección cambió en la edición 2. La versión anterior arrancaba por la pregunta de junta. Un contraste con práctica de campo dejó claro que esa pregunta llega tarde: antes de responderla hay que saber de qué se está hablando y bajo qué papel se compra.

• ¿Cuál Copilot? No es un producto, son varios con el mismo nombre. Microsoft 365 Copilot, GitHub Copilot, Copilot Studio y los copilotos de primera parte de Dynamics no comparten medidor, ni requisito previo de licencia, ni instrumento de prepago. Toda la aritmética de este texto pertenece a una de esas vías, no a todas. Contestar «Copilot» es no haber contestado.
• ¿Qué constructo de compra tenés con Microsoft, y comparaste los dos planes al monto que vas a comprometer? Junto con la pregunta que la acompaña siempre: qué hay licenciado hoy, con Microsoft y con otros fabricantes.

Ninguna de las dos se responde con una fórmula. Se responden caso por caso, y no hay una sola forma correcta de armar el paquete.

La pregunta de junta directiva, ampliada

«¿Podemos probar que nuestros controles de IA operaron cuando debían?» es la pregunta correcta y está incompleta. La versión completa tiene cuatro partes, y las últimas tres son contractuales.

1. ¿Podemos probar que los controles operaron? Evidencia, retención, reconstrucción posterior.
2. ¿Qué entitlement los mantiene operando, y cuál es el comportamiento documentado cuando vence o cuando se excede la capacidad prepagada?
3. ¿Qué le prueba a alguien que no somos nosotros la evidencia que estamos generando? En concreto: a un licenciante que cuenta acceso indirecto a los productos que están detrás del camino.
4. ¿La evidencia puede salir? Formato, derechos de exportación, y si la misma política se puede aplicar a través de otro intermediario.

El gobierno se vuelve real cuando la intención se traduce en controles técnicos que producen evidencia. Esa es la afirmación de cierre del artículo original y se sostiene. Lo que se agrega es que esos controles se contratan, que la evidencia que producen es legible para más de una parte, y que las dos cosas se deciden en la firma y no en el incidente. Y que el papel bajo el cual se compran mueve el precio antes de que empiece la negociación.

---

Registro de fuentes

Sobre qué se apoya cada afirmación

Clave	Fuente	Clase
Barber 08-12	“How Microsoft Can Govern Claude, ChatGPT, Gemini, and Every Other AI Model”, Quinton Barber, LinkedIn Pulse, 2026-08-12. Publicado solo en LinkedIn.	✓ autoría, título y fecha cotejados contra el enlace canónico el 2026-08-20
07-24	Verificación de política de licenciamiento 2026-07-24: alcance y métrica de Agent 365, requisito E5, candado del 1 de julio, GA de Cowork, fin de AI Builder.	✓
08-14	Verificación 3x Paradox 2026-08-14, re verificada en vivo contra Microsoft Learn: nombre Foundry, tabla de créditos, corte al 125%, matiz de Defender for Cloud Apps.	✓
Multiplexación	Microsoft Licensing Guidance, capturada 2026-08-16, y Copilot Studio Licensing Guide Apéndice A, ediciones 2026-06-16 y 2026-08 verificadas idénticas.	✓
Nadella 07-12	Ensayo «Reverse Information Paradox», post en X 2026-07-12, verbatim de primera mano en el corpus.	✓
SAM de canal	Conflicto de interés de la evaluación gratuita del canal; las cifras son de las propias fuentes.	✓ patrón · ◐ cifras
§ Entitlement	Gateway como patrón de multiplexación, formada 2026-08-18; no la afirma ninguna fuente.	[síntesis] ◯
Agent P3 08-19	Microsoft Agent Prepurchase Plan, actualizada 2026-07-17, leída 2026-08-19: cobertura, unidad, término, finalidad de la compra, precedencia, línea de factura.	✓
Copilot Credit P3 08-19	Copilot Credit Pre-Purchase Plan, actualizada 2026-07-17, leída 2026-08-19.	✓
Usage-based billing 08-19	Administración de créditos Copilot, actualizada 2026-08-18, leída 2026-08-19: precedencia en M365, visibilidad del saldo, inmutabilidad del método de facturación, contención con Power Platform, MACC.	✓
Escaleras	Corpus propio 2026-07-26, tres archivos del vault. Dos peldaños corroborados contra la documentación pública; el resto de las curvas y el delta a US$100.000, no.	◐
Peer review 08-19	Contraste con práctica de campo del canal Microsoft en LATAM. Fuente anónima por decisión del operador; aportó dirección de búsqueda, no evidencia.	◐

Las cifras y los términos citados salen de un corpus de licenciamiento con trazabilidad por afirmación. Es análisis comercial y contractual, no asesoría legal. Donde este texto discrepa del artículo original lo hace en alcance, no en exactitud: nada de la fuente resultó contradicho por el registro verificado.

Pieza viva: esta es la edición 3. Lo que las ediciones anteriores decían de otro modo quedó corregido dentro del propio texto, en el punto donde cada corrección aplica, y ahí está dicho con su insignia ✓. No se lleva bitácora aparte: una corrección que hay que ir a buscar a otro lado no está corregida.

Deep Sight Consulting · clase Calado · edición 3 · 2026-08-20 · deepsightconsulting.com