Можно ли настроить RDP без доступа в инет к Win10ent?
В брандмауэре запретить исходящие соединения (экспериментировать локально, народная примета: "удалённая настройка брандмауэра - к дальней дороге").
Время доступа можно ограничить через планировщик заданий и настройку брандмауэра из командной строки (в 22:00 запрещать, с 8:00 до 21:55 каждые 5 минут включать, на случай, когда ночью отключилось электричество и компьютер включили позже 8:00).
Буфер обмена и проброс дисков запретить в настройках RDP. Но тогда уж и принтер тоже надо запретить.

Но вы никак не запретите сотруднику удалённо делать скриншоты. :)


Вы пытаетесь решить административную задачу техническими способами. Установите СМП и не компостируйте себе моск. 
Если ценностью являются собственно данные - сотрудник их может на бумажку переписывать. Это долго, не эффективно, но может быть оно стоит того. Не говоря уже о банальном фотографировании экрана.
Поставьте СМП с заметной плашкой, что система под наблюдением.

Есть еще решение - использовать VNC, там нет нифига от слова совсем. Но от фотографирования экрана это, понятное дело не спасет.