Como usuário doméstico, eu entendo que as janelas são executadas e instaladas automaticamente. No entanto, no local de trabalho, software e atualizações de negócios poderiam colidir, fazendo com que executá-los automaticamente fosse uma má idéia ou dependesse da configuração? Seria melhor controlar todas as atualizações do nó principal do Active Directory e, em seguida, enviá-las para todas as máquinas clientes dessa maneira?
Gerenciamos isso muito de perto para nossa empresa (1000 pessoas, todos usuários de PC) usando Serviços de Atualização do Windows Server (WSUS) como @larrymachine mencionado. Mas, na minha experiência e opinião de opinião, se você não tiver muitos códigos personalizados integrados ao Office, suas chances de ter um problema com as atualizações automáticas são muito baixas.
Dado o risco de não fazê-las, prefiro automatizá-las e resolver os problemas ocasionais do que deixá-las sem correção.
Existe um papel para controlar o Windows Update em uma floresta de diretório ativo, é chamado Windows Server Update Services: link
Se você não quiser usar um WSUS (que é provavelmente sua melhor escolha de qualquer maneira) e ainda assim automatizar o processo do Windows Update (para atualizações do software da Microsoft, não de terceiros), e você está apto para Windows scripting, você pode fazer o script do processo de atualização usando a ferramenta de linha de comando WuInstall
Você apenas desativa a atualização automática em cada máquina e chama WuInstall em cada maquina, por exemplo remotamente de um ponto central usando psexec por exemplo, você pode especificar critérios ou arquivos de configuração nos quais você especifica as atualizações a serem instaladas - mesmo o cache de atualizações na rede local é possível.
Se mais tarde você decidir usar o WSUS, poderá manter os scripts porque o WuInstall não se importa se receber a atualização do Windows Update Site ou do WSUS, o processo permanece o mesmo.