Você só precisa definir o GPO do Windows Update para instalação manual.
No Editor de políticas de grupo, vá para: Configuração do computador - > Modelos Administrativos - > Componentes do Windows - > Atualizações do Windows - > Configurar Atualizações Automáticas.
Defina isto como Desativado. Isso desabilitará a instalação automática das atualizações do Windows, mas não impedirá que as pessoas as configurem manualmente por meio do miniaplicativo do Windows Update.