Prácticas recomendadas para configurar espacios de trabajo de ChatGPT Edu en educación superior

Configure el acceso del campus con cinco roles personalizados recomendados: Core, Plus, Advanced, Power y TEST. Use las matrices siguientes para elegir los permisos de cada rol y, después, configure por separado el acceso a los modelos y los límites de uso.

Las etiquetas de los permisos y el orden de las secciones siguen las vistas de la consola de administración de Edu revisadas el 19 y el 21 de octubre de 2026. Los valores son ajustes recomendados, no una copia de la configuración de ese espacio de trabajo. La disponibilidad de las funciones puede variar según el espacio de trabajo y el despliegue.

Elija los roles recomendados

Estos son nombres sugeridos para los roles personalizados que puede crear su institución. Plus no se refiere aquí a la suscripción ChatGPT Plus, y ninguno de estos nombres corresponde a un plan Edu ni a un rol administrativo integrado. Elija un rol según el trabajo que deba realizar cada persona; un docente, estudiante o miembro del personal puede reunir los requisitos para cualquier nivel adecuado.

Mantenga a la mayoría de las personas en el rol integrado Miembro. Asigne la autoridad administrativa integrada por separado:

Pida a un propietario del espacio de trabajo que cree y asigne los roles personalizados. Un rol personalizado no confiere autoridad de propietario ni de administrador. Consulte Roles del espacio de trabajo.

Aplique la matriz

Abra la Consola de administración, seleccione el espacio de trabajo Edu correspondiente y vaya a Políticas y seguridad → Permisos. Use Valor predeterminado del espacio de trabajo para la base del campus y Roles para las excepciones.

Configure Valor predeterminado del espacio de trabajo para que coincida con la columna Core, con los elementos marcados como Revisar desactivados hasta que se resuelvan. Para cada rol personalizado, use Predeterminado solo cuando el valor del espacio de trabajo sea el deseado; en caso contrario, establezca explícitamente Activado o Desactivado. Algunos controles solo ofrecen Activado y Desactivado.

Los roles ordinarios combinan las concesiones: Desactivado en un rol no anula Activado en otro. Compruebe tanto las asignaciones directas como los roles de grupo. Aun así, puede aplicarse una restricción independiente de Lockdown Mode. Los permisos principales pueden ocultar sus controles secundarios cuando están desactivados; active un permiso principal aprobado antes de configurar sus controles secundarios. Cómo funciona RBAC.

Permisos por rol

Elija un rol para mostrar sus recomendaciones en todas las tablas de permisos y modelos. Seleccione Todos los roles para comparar la matriz completa. Las secciones siguen el orden de Permisos → Valor predeterminado del espacio de trabajo. Las dos filas Permitir acceso al equipo local se distinguen por la sección a la que pertenecen.

Chat

Mantenga disponibles el aprendizaje, la investigación y la colaboración cotidianos en todos los roles. Aplique las normas institucionales para las grabaciones, la pantalla compartida, los archivos almacenados y el código conectado a la red. Para los elementos marcados como Revisar, identifique el curso, el equipo, el flujo de trabajo y los destinatarios aprobados antes de activar esos permisos.

Conceda acceso a la creación de agentes a quienes mantienen un flujo de trabajo aprobado. Reserve la publicación para todo el espacio de trabajo a los publicadores designados. Una conexión propia del agente requiere una revisión independiente de la cuenta compartida, los datos de origen, las acciones permitidas y los destinatarios; dé preferencia a las conexiones propias de los usuarios cuando sean compatibles. Para obtener más información, consulte Administración de agentes del espacio de trabajo.

Use plugins para los nuevos flujos de trabajo reutilizables. Mantenga desactivada la creación de GPTs; conceda acceso temporal para la migración solo donde siga siendo compatible. Está previsto retirar los GPTs personalizados el 11 de diciembre de 2026; siga el aviso del espacio de trabajo al que pertenecen. La migración no transfiere las acciones personalizadas ni la configuración de uso compartido. Para obtener más información, consulte la Guía de migración de GPTs.

Work

Esto sigue el amplio acceso a Work para los miembros que cumplen los requisitos previsto en la configuración recomendada. El trabajo local, el trabajo en la nube y el acceso de una tarea en la nube a un equipo conectado siguen siendo decisiones independientes. Active Permitir acceso al equipo local solo para los archivos, aplicaciones y dispositivos aprobados, con la configuración de seguridad de agentes aplicable.

Para las tareas activadas por eventos, apruebe el desencadenante, la aplicación conectada, las acciones permitidas, el propietario y la supervisión. Los miembros también necesitan acceso a Work y a la aplicación. El uso compartido de tareas programadas se controla por separado en Chat. Disponibilidad de Work y Codex · Controles de tareas programadas.

Codex

Proporcione acceso a la programación a todos los roles que cumplan los requisitos, incluidos los estudiantes de cursos de programación. Revise por separado el acceso a los repositorios, la política del entorno de ejecución local y los entornos en la nube. El inicio de sesión con código de dispositivo afecta a los cuatro productos mencionados en el control.

Revise la captura de Computer History y el consentimiento del usuario antes de conceder acceso a Computer History. Conceda Gestionar entornos del espacio de trabajo, Administrar Codex y Administrar Codex Security mediante los roles de responsabilidad específicos que se indican a continuación. Una asignación de Power o TEST no debe conceder automáticamente la administración del servicio. Para obtener más información, consulte Límites de los permisos de Codex.

Funciones del espacio de trabajo—Permitir que los agentes usen equipos en la nube

Antes de activar un control, revise cómo afecta a Work Cloud, dots y las automatizaciones de equipo. El acceso al navegador, el acceso a la red y el uso del equipo son controles independientes. Apruebe los destinos de red y las aplicaciones necesarios para cada flujo de trabajo.

Funciones del espacio de trabajo—dots

Dots aparece con la etiqueta Beta en la consola inspeccionada. Apruebe las responsabilidades continuas, los destinos de mensajería y las reglas antes de activarlo. La fila Permitir acceso al equipo local de esta sección es el permiso de dots; es independiente del control de Work con el mismo nombre. Lea la guía de dots.

Funciones del espacio de trabajo—plugins y habilidades

Use Plugins → Plugins y Plugins → Habilidades para aprobar elementos individuales y sus destinatarios. Los plugins basados en MCP requieren un propietario de la integración, autenticación revisada y acceso a datos y acciones aprobados. Use los roles adicionales que se indican a continuación para asignar la responsabilidad de publicar elementos en el espacio de trabajo e instalarlos para otras personas.

El acceso a un plugin no autoriza las aplicaciones incluidas ni amplía los permisos en el servicio conectado. Revise por separado las aplicaciones necesarias y la autorización de las cuentas. Para obtener más información, consulte Controles de plugins y aplicaciones.

Funciones del espacio de trabajo—Sites

Revise la propiedad del sitio, el contenido permitido y las condiciones de Sites que se muestran antes de activar esos permisos. Conceda permiso para publicar sitios en internet de forma pública mediante el proceso de publicación de la institución. Trate los dos controles de túneles privados como concesiones independientes para integraciones técnicas aprobadas; manténgalos desactivados en los roles generales del campus. Su presencia en un espacio de trabajo de demostración no garantiza su disponibilidad en todos los espacios de trabajo Edu.

Compruebe el alcance de Sites admitido para su espacio de trabajo y región antes de activarlo. Los nuevos Sites en espacios de trabajo con residencia de datos en EE. UU. o la UE usan esa región para el almacenamiento y el alojamiento compatibles; los Sites existentes no se migran automáticamente. El alojamiento de Sites es independiente de la residencia de la inferencia. Consulte Administración de Sites.

Funciones del espacio de trabajo—equipos, memoria y credenciales

Asigne un propietario responsable a cada equipo y tarea de equipo. Defina qué información institucional puede conservarse en la memoria y si el directorio debe ser visible para la población prevista. Si la política institucional exige desactivar alguna de estas funciones, cambie la fila correspondiente para todos los roles afectados.

Revise el uso del gestor de contraseñas con TI. Permita tokens de acceso personal solo para integraciones aprobadas con un propietario, el alcance mínimo necesario y un proceso de caducidad o revocación. Un permiso de token no concede claves de administrador del espacio de trabajo.

Exportación de datos

Decida cómo pueden llevarse los estudiantes, docentes y miembros del personal el trabajo permitido cuando abandonen la institución. Este permiso abarca los datos propios de los miembros. Los espacios de trabajo Edu con una configuración de residencia de datos no pueden usar la exportación de miembros. Para obtener más información, consulte Requisitos de exportación de Edu.

Experiencias para adolescentes

Elija el ajuste según la población real, incluidos los estudiantes menores de 18 años. El nombre de un rol, una asignación de créditos o un ajuste de filtro no determina si se cumplen los requisitos para usar ChatGPT.

Uso compartido de Space

Permita la colaboración con destinatarios aprobados. Revise si los enlaces del espacio de trabajo son adecuados para los destinatarios de los materiales de los cursos, la investigación y los archivos de los departamentos. El permiso de uso compartido controla la creación de recursos compartidos y los cambios de acceso; desactivarlo no elimina el acceso al contenido ya compartido con un miembro.

Asigne responsabilidades de publicación y administración

Asigne roles de alcance limitado a las personas adecuadas en lugar de conceder estas funciones a todos los miembros de Power o TEST. Mantenga desactivados los permisos no relacionados en cada rol adicional para que no herede concesiones más amplias del espacio de trabajo.

Por ejemplo, un docente puede recibir Plus y Publicador del espacio de trabajo, mientras que un estudiante de un curso de programación recibe Core con acceso a Codex. Aumentar la asignación de créditos de un investigador no requiere concederle permisos de publicación o administración.

Acceso a modelos por rol

Abra Políticas y seguridad → Modelos. Configure Valor predeterminado del espacio de trabajo y use después Roles para los ajustes específicos de cada rol. La tabla usa los nombres de modelos y las etiquetas de preferencias que aparecen en la consola que inspeccionamos. Active solo los modelos disponibles para su espacio de trabajo.

Recomendaciones de modelos: Mantenga 5.6 Sol disponible para el Chat habitual y 6 Luna para el trabajo rutinario en Work y Codex. Mantenga 5.6 Luna como alternativa cuando sea necesario. Active 6.1 Sol y 6 Sol para los flujos de trabajo de Power y evalúe su activación para los usuarios de Advanced. Apruebe el acceso a Astra/Pro y a los modos más rápidos según el trabajo previsto y el presupuesto. Mantenga Daybreak Blue fuera de los roles generales del campus; considere un rol de seguridad aprobado por separado solo cuando se cumplan los requisitos.

Que un modelo aparezca en la lista o esté activado en la demostración no garantiza el acceso para todos los espacios de trabajo Edu ni para todos los productos. En particular, 6.1 Sol y 6 Luna son opciones de Work y Codex, no valores predeterminados del Chat habitual. Use Modelos → Probar para comprobar el acceso a los modelos del miembro correspondiente. Consulte la Disponibilidad actual de los modelos.

Valores predeterminados por producto

Un valor predeterminado inicial no concede acceso al modelo. Permitir esfuerzo medio/alto/extra alto y Permitir modelos Pro se aplican a Chat; Permitir el modo rápido y Permitir el modo ultrarrápido se aplican a Work & Codex. Los miembros pueden seleccionar otras opciones permitidas. Revise las excepciones de los roles para cada producto por separado.

Establezca los límites de uso de forma independiente

Use Facturación → Límites de uso para configurar los límites de los miembros mediante los valores predeterminados del espacio de trabajo, los valores predeterminados de los grupos y las excepciones de los usuarios. Revise por separado la reserva compartida de créditos y el límite de consumo excedente del espacio de trabajo en Facturación. Las cantidades siguientes ilustran límites basados en créditos; apruébelas según el acuerdo de su institución, los créditos adquiridos, la actividad prevista y el período de límite que se muestra.

El límite de uso de un grupo no crea un rol de permisos ni concede funciones. Use los grupos correspondientes cuando coincidan sus miembros y grupos separados cuando las necesidades de acceso y presupuesto sean distintas. Establezca el valor alternativo para los usuarios sin asignar en la base prevista para el campus.

Para los acuerdos basados en créditos, mantenga el consumo excedente del espacio de trabajo en 0 salvo que se aprueben gastos adicionales. Las excepciones de usuario tienen prioridad sobre los límites de grupo; en caso contrario, el límite de grupo aplicable más alto tiene prioridad sobre el valor predeterminado del espacio de trabajo. Las alertas notifican a los destinatarios, pero no detienen el uso. El consumo del trabajo en curso puede contabilizarse después de alcanzar un límite. Consulte Límites de uso y consumo excedente.

Use la Tarifa vigente para consultar las asignaciones incluidas y el uso facturable.

Use el plugin Admin para preparar y comprobar los cambios

El plugin Admin puede revisar roles y permisos y, tras la confirmación, asignar un rol existente a un grupo existente. No puede crear roles ni editar sus permisos. Configure primero los roles y permisos en la consola de administración. Consulte Alcance del plugin Admin.

Adjunte la matriz aprobada de su institución, resuelva todos los elementos marcados como Revisar y sustituya los marcadores de posición siguientes.

Compare el espacio de trabajo con la matriz

Prompt:

Use the Admin plugin to compare workspace {workspace_id} with the attached Core, Plus, Advanced, Power, and TEST matrix. Show role IDs and a table of current versus recommended permissions. Flag missing roles, unresolved decisions, and anything you cannot inspect. Prepare a manual Admin Console change checklist. Do not make changes.

Asigne un rol configurado a un grupo

Prompt:

In workspace {workspace_id}, prepare to assign existing role {role_id} to existing group {group_id}. Show current assignments, the access this adds, and the recorded approver. Wait for my explicit approval. Then make only that assignment and re-read the group to verify it.

Verifique las asignaciones y las superposiciones

Prompt:

Review user {user_id} in workspace {workspace_id} against the attached approved matrix. Show direct and group-based roles, overlapping grants, and unexpected access. Mark unsupported checks as unknown. Do not claim that role access verifies a specific connected app. Do not make changes.

Configure y verifique

1. En Identidad y acceso → Grupos y roles → Roles, seleccione Añadir rol. Introduzca un nombre y una descripción para el rol y seleccione Crear rol. Cree solo los roles que necesite su institución.
2. En Políticas y seguridad → Permisos → Valor predeterminado del espacio de trabajo, aplique la base de Core. En Roles, abra cada rol y aplique los valores de la matriz aprobada. Seleccione Guardar cambios.
3. En Grupos y roles → Roles, abra el rol. Use Grupos del rol → Añadir grupo para asignar los grupos correspondientes. Gestione los miembros sincronizados mediante SCIM en el proveedor de identidad.
4. Configure Modelos → Valor predeterminado del espacio de trabajo y Modelos → Roles y establezca después los límites de uso. Apruebe por separado los plugins, las aplicaciones, las habilidades y el acceso a los sistemas de origen individuales.
5. Use Permisos → Permisos por roles para comparar las asignaciones y Probar para inspeccionar el acceso efectivo. Las actualizaciones de permisos pueden tardar hasta cinco minutos. Use Modelos → Probar para comprobar el acceso a los modelos.
6. Verifique los flujos de trabajo reales con miembros representativos, incluida una persona con roles superpuestos. Use el rol personalizado TEST para ejecutar acciones permitidas e intentar acciones bloqueadas intencionadamente, y retire después las concesiones temporales.

La vista de comparación puede conservar etiquetas anteriores que difieran de la página editable de permisos. Configure el acceso compartido a equipos en la nube en Funciones del espacio de trabajo → Permitir que los agentes usen equipos en la nube mediante Usar un navegador, Permitir acceso a la red y Permitir el uso del equipo.

Revise los roles en cada período académico y siempre que aparezca un nuevo permiso. Cuando se ofrezca Vista previa para administradores, decida por separado el acceso a la vista previa y el acceso tras el lanzamiento. La configuración general del espacio de trabajo, las políticas de identidad, la seguridad de agentes, las acciones de aplicaciones y la retención siguen siendo independientes de estas matrices de roles.